MIME sniffing dan X-Content-Type-Options: penjelasan nosniff

Tetapkan X-Content-Type-Options: nosniff di next.config.js agar berlaku untuk semua respons, termasuk rute API dan rute file statis.

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "X-Content-Type-Options", value: "nosniff" },
        ],
      },
    ];
  },
};

Tambahkan direktif di blok server agar berlaku untuk semua respons yang diproksikan melalui nginx.

add_header X-Content-Type-Options "nosniff" always;

nosniff paling efektif ketika setiap respons juga membawa header Content-Type yang benar. Untuk file yang diunggah pengguna, sajikan dengan tipe yang sesuai dan dari origin atau domain penyimpanan yang terpisah — bukan origin yang sama dengan aplikasi — sehingga meskipun file dieksekusi, ia tidak dapat mengakses cookie sesi pengguna Anda.

Pemeriksaan ekstensi dapat dilewati. Gunakan pustaka seperti file-type (npm) untuk memeriksa magic byte file di sisi server dan tolak apa pun yang tidak cocok dengan daftar jenis aman yang diizinkan sebelum mencapai lapisan penyimpanan.

import { fileTypeFromBuffer } from "file-type";

const ALLOWED = new Set(["image/jpeg", "image/png", "image/webp", "image/gif"]);

async function validateUpload(buffer: Buffer): Promise<void> {
  const type = await fileTypeFromBuffer(buffer);
  if (!type || !ALLOWED.has(type.mime)) {
    throw new Error("Upload rejected: unsupported file type");
  }
}