Security header memungkinkan website Anda memiliki lapisan keamanan untuk membantu mencegah aktivitas berbahaya agar tidak mempengaruhi kinerja website Anda. Aktivitas yang dapat membahayakan website antara lain penyusupan malware, SQL injection, Cross-Site Scripting (XSS) dan lain sebagainya.
Untuk mengetahui skor security header pada website, Anda dapat scan secara online di securityheaders.com
Berikut adalah cara untuk menambahkan security headers di cPanel.
Login SSH ke server WHM/cPanel sebagai user root
Kemudian buat folder untuk menambahkan headers pada domain tertentu.
mkdir -p /etc/apache2/conf.d/userdata/std/2_4/USER/DOMAIN.com/
mkdir -p /etc/apache2/conf.d/userdata/ssl/2_4/USER/DOMAIN.com/
Selanjutnya buat file /etc/apache2/conf.d/userdata/ssl/2_4/USER/DOMAIN.com/headers.conf lalu edit seperti berikut.
<IfModule mod_headers.c>
# Disable content sniffing, since it's an attack vector.
Header always set X-Content-Type-Options "nosniff"
# Disable Proxy header, since it's an attack vector.
RequestHeader unset Proxy
# Add CORS-Header
Header set Access-Control-Allow-Origin "*"
Header set Access-Control-Allow-Methods "GET"
# HSTS
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
# Referrer Policy
Header always set Referrer-Policy "strict-origin-when-cross-origin"
# Clickjack Attack
Header always set X-Frame-Options "SAMEORIGIN"
# X-Xss-Protection
Header always set X-Xss-Protection "1; mode=block"
# Header Injection
Header unset X-Forwarded-Host
</IfModule>
ProxyAddHeaders Off
Jika ingin menambahkan headers pada semua domain di akun tertentu.
nano /etc/apache2/conf.d/userdata/ssl/2_4/USER/headers.conf
Untuk menambahkan header pada semua akun dan domain.
nano /etc/apache2/conf.d/userdata/headers.conf
Rebuild httpd.conf dengan perintah.
/scripts/rebuildhttpdconf
Lalu restart service Apache.
/scripts/restartsrv_httpd
Terakhir cek header pada domain dengan curl
$ curl -I "https://example.com"
HTTP/1.1 200 OK
Date: Mon, 04 Dec 2023 12:10:17 GMT
Server: Apache
X-Content-Type-Options: nosniff
Referrer-Policy: same-origin
X-Frame-Options: SAMEORIGIN
X-Xss-Protection: 1; mode=block
Content-Type: text/html; charset=UTF-8