Keamanan aplikasi web, dijelaskan

Content-Security-Policy (CSP): apa itu dan cara menambahkannya

Header yang mencegah script sisipan berjalan.

HTTP Strict Transport Security (HSTS) dijelaskan

Paksa setiap koneksi memakai HTTPS — bahkan yang pertama.

Clickjacking dan X-Frame-Options: jauhkan halamanmu dari iframe

Satu header menghentikan penyerang menumpuk aplikasimu di dalam iframe.

MIME sniffing dan X-Content-Type-Options: penjelasan nosniff

Satu header mencegah browser menebak jenis konten dan menjalankan file yang diunggah sebagai skrip.

Kesalahan Konfigurasi

File .env yang terekspos: cara penyerang menemukan rahasiamu

Satu .env yang bisa dijangkau bisa menyerahkan seluruh stack-mu.

Kesalahan konfigurasi CORS: jebakan wildcard dan reflection

Izinkan setiap origin dan situs mana pun bisa membaca API-mu.

Source map di produksi membocorkan kode sumbermu

File .map yang ikut terkirim menyerahkan kode sumber aslimu.

Direktori .git yang terekspos: kebocoran source code yang tersembunyi di depan mata

/.git yang dapat dijangkau menyerahkan seluruh codebase dan riwayat commit Anda.

Backup database yang terekspos: apa yang terjadi saat /backup.sql dapat dijangkau

Dump .sql yang dapat dijangkau sama dengan menyerahkan seluruh database Anda.

Secret yang Terekspos

API key terekspos di JavaScript sisi klien

Apa pun di bundle-mu bersifat publik. Perlakukan seperti itu.

Keamanan DNS & Email

Subdomain takeover: bagaimana terjadinya dan cara mencegahnya

CNAME menggantung adalah pintu terbuka di domainmu.

SPF dan DMARC: hentikan pemalsuan email atas nama domainmu

Hentikan penyerang mengirim email ke seluruh dunia atas namamu.

Keamanan Cookie

Flag cookie Secure, HttpOnly, dan SameSite

Tiga flag yang mencegah cookie sesi dicuri.

Rantai Redirect

Kenapa situsmu butuh redirect HTTP→HTTPS

Jangan biarkan pintu yang tidak aman terbuka.

Keamanan Database

Supabase Row Level Security (RLS): kunci tabel-tabelmu

Anon key-mu bersifat publik. RLS satu-satunya penghalang antara key itu dan datamu.

Firebase Security Rules: jangan biarkan database-mu terbuka

Konfigurasi Firebase-mu memang publik. Rules-mu yang menentukan siapa yang bisa melihat data.

Penanganan File, Path & Resource

Indeks direktori terbuka: saat file server Anda menampilkan semuanya

File server yang menampilkan isinya memberi penyerang inventaris gratis.

Penanganan Error & Ketahanan

Halaman error verbose dan stack trace di production

Stack trace memberi tahu penyerang persis ke mana harus membidik.

Keamanan API

Introspection GraphQL publik: mengapa ini masalah dan cara mematikannya

Satu query mengembalikan seluruh skema Anda. Matikan di production.

Protokol HTTP & Permintaan Sisi Server