Cara Menambahkan Security Headers di .htaccess cPanel Hosting: Lindungi Website dari Clickjacking dan XSS

Banyak pemilik website bisnis dan pengelola blog di Indonesia merasa situs mereka sudah sepenuhnya aman hanya karena sudah memasang sertifikat SSL gratis dan menampilkan ikon gembok hijau di bilah alamat browser.

Padahal, sertifikat SSL (HTTPS) hanya bertugas mengenkripsi jalur pengiriman data antara pengunjung dan server. SSL sama sekali tidak melindungi pengunjung Anda dari serangan injeksi skrip berbahaya di browser, pencurian data melalui iframe palsu, atau pemalsuan tipe file konten. Jika Anda menguji alamat website Anda di alat audit keamanan seperti SecurityHeaders.com, jangan heran jika skor keamanan situs Anda masih mendapat rapor merah Grade F.

Untuk mendongkrak pertahanan website dan menaikkan skor keamanan ke Grade A, Anda hanya perlu menambahkan sekumpulan instruksi bernama HTTP Security Headers ke dalam file .htaccess di cPanel hosting Anda tanpa perlu menginstal plugin tambahan yang memberatkan server.

5 Header Keamanan Wajib untuk Website Modern

Ketika browser pengunjung membuka halaman website Anda, web server akan mengirimkan sinyal instruksi (headers) tentang bagaimana konten tersebut boleh ditampilkan. Berikut lima header keamanan paling penting yang wajib dipasang:

• X-Frame-Options (SAMEORIGIN): Mencegah pihak luar membungkus (embed) website Anda ke dalam tag iframe di situs lain. Tanpa header ini, penjahat siber bisa melakukan teknik serangan Clickjacking, yaitu menumpuk halaman transaksi Anda di balik tombol palsu untuk menipu pengunjung mengklik tombol transfer atau ganti password.
• X-Content-Type-Options (nosniff): Memerintahkan browser untuk mematuhi tipe MIME file yang dideklarasikan oleh server. Ini mencegah peretas menyamarkan file script berbahaya (seperti JavaScript jahat) sebagai file gambar JPG atau PNG.
• Strict-Transport-Security (HSTS): Memaksa browser pengunjung untuk selalu terhubung menggunakan koneksi aman HTTPS, mencegah upaya penyerang menurunkan enkripsi ke HTTP biasa di jaringan Wi-Fi umum.
• Referrer-Policy (strict-origin-when-cross-origin): Melindungi privasi pengguna dengan membatasi informasi URL yang dikirimkan saat pengunjung mengklik tautan keluar dari website Anda.
• Permissions-Policy: Mengunci akses fitur perangkat keras (seperti mikrofon, kamera laptop, atau sensor lokasi GPS) agar tidak bisa diakses diam-diam oleh script pihak ketiga yang disusupkan ke halaman Anda.

Cara Pasang Security Headers di File .htaccess cPanel

Langkah penerapannya sangat sederhana dan hanya membutuhkan waktu kurang dari tiga menit:

• Masuk ke dashboard cPanel hosting Anda.
• Buka menu File Manager, lalu masuk ke dalam folder utama situs Anda (public_html).
• Pastikan pengaturan menampilkan file tersembunyi aktif. Cari file bernama .htaccess.
• Klik kanan pada file .htaccess, lalu pilih Edit.
• Salin dan tempelkan blok kode berikut di bagian paling atas file .htaccess:

<IfModule mod_headers.c>
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set X-Content-Type-Options "nosniff"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS
</IfModule>

• Klik tombol Save Changes di sudut kanan atas editor cPanel.

Bungkus direktif <IfModule mod_headers.c> memastikan bahwa server Apache atau LiteSpeed hanya akan menjalankan perintah ini jika modul header aktif, sehingga website Anda terhindar dari risiko error HTTP 500 Internal Server Error.

Cara Verifikasi Keberhasilan Pasca-Pemasangan

Setelah menyimpan file .htaccess, Anda wajib memverifikasi apakah header keamanan tersebut sudah terpancar sempurna:

• Buka browser Google Chrome atau Mozilla Firefox.
• Kunjungi halaman utama website Anda, lalu tekan tombol F12 untuk membuka Developer Tools.
• Beralih ke tab Network, lalu muat ulang (refresh) halaman.
• Klik pada baris permintaan nama domain paling atas, lalu perhatikan bagian Response Headers.
• Pastikan baris seperti x-frame-options: SAMEORIGIN dan x-content-type-options: nosniff sudah tertera di sana.
• Anda juga bisa membuka situs SecurityHeaders.com, masukkan alamat domain Anda, dan saksikan skor keamanan website Anda melonjak dari Grade F langsung menjadi Grade A!

Kesimpulan

Mengamankan website tidak harus selalu mahal atau menguras resource hosting dengan plugin berat. Dengan menambahkan baris kode sederhana pada file .htaccess di cPanel, website Anda kini memiliki perisai tangguh terhadap serangan Clickjacking dan injeksi skrip berbahaya.

— Catatan editor: Referensi teknis: Dokumentasi Mozilla Developer Network (MDN Web Docs) mengenai HTTP Security Headers, pedoman OWASP Secure Headers Project, dan standar konfigurasi Apache mod_headers. Disusun secara orisinal dengan panduan aplikatif untuk pengguna hosting cPanel di Indonesia.