Mengijinkan akses HTTP dan HTTPS hanya dari CloudFlare

Karena mudahnya penggunaan CloudFlare dalam mengoptimasi kecepatan website, ada fitur perlindungan walaupun sederhana untuk yang gratis, juga dilengkapi CDN maka jelas banyak yang memilihnya. Karena sistem dari CloudFlare sendiri adalah reverse proxy, dimana setiap trafik pengunjung akan melewati network mereka dulu baru diteruskan ke web server maka sebenarnya kalau kita tahu alamat IP servernya bisa diakses secara langsung.

Read more

Menghilangkan X-Powered-By: PHP/ 5.6.22

Kalau anda mengecek informasi header HTTP dari web server yang kita gunakan maka akan muncul berbagai macam baris datanya. Paling sering akan ada nama web servernya dan mesin pengolah scriptnya. Walaupun bukan fitur yang bisa dimanfaatkan menjadi celah keamanan tapi bisa membuat orang tahu stacknya dan versinya.

Ini yang bisa jadi berbahaya kalau kebetulan ada celah keamanan berbahaya dan kita tidak cepat mengupdatenya. Karena itu ada baiknya dimatikan atau dihilangkan saja informasi yang berlebihan ini.

Masih bingung? Maksud saya seperti ini, silahkan cek header website anda:

curl -I nama_domain.com

Balasannya akan mirip seperti ini:

HTTP/1.1 200 OK
Server: nginx
Date: Sat, 02 Jul 2016 13:00:01 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Vary: Accept-Encoding
Set-Cookie: PHPSESSID=rj51sgdksc4papgjmtngkbg9r5; path=/
Pragma: no-cache
Cache-Control: private
X-Frame-Options: SAMEORIGIN
X-XSS-Protection: 1
X-Content-Type-Options: nosniff
Expires: Mon, 26 Jul 1997 05:00:00 GMT
Last-Modified: Sat, 02 Jul 2016 13:00:01 GMT
X-Powered-By: PHP/5.6.22

Langsung ketahuan apa web servernya dan menggunakan PHP versi berapa.

Untuk menghilangkannya maka kita perlu mengedit konfigurasi PHP:

nano /etc/php.ini

Kemudian cari dan ubah baris dibawah:

exposed_php = Off

Dan akhirnya restart proses PHP-FPM:

service php-fpm restart

Selesai sudah dan bisa anda cek lagi header situs tadi dan mestinya sudah tidak ada lagi.

Mengalihkan HTTP ke HTTPS pada Apache

Sekarang sedang tren – trennya mengaktifkan HTTPS pada website dan memang bukanlah hal yang sulit dilakukan. 🙂 Tapi kalau hanya sekedar memasang sertifikat SSL maka situs anda akan bisa diakses dari HTTP (port 80) dan HTTPS (port 443) yang melayankan konten yang sama. Ini resikonya bisa dianggap duplikat oleh Google. Solusinya? Ya kita alihkan trafik pengunjungnya dari HTTP ke HTTPS. 🙂

Read more

Mengalihkan HTTP ke HTTPS pada OpenLiteSpeed

Mungkin karena saya banyak membahas OpenLiteSpeed dan juga saya sendiri secara aktif menggunakannya jadi cukup banyak yang bertanya – tanya. Salah satunya adalah bagaimana agar trafik HTTP biasa pada port 80 secara otomatis akan dialihkan ke HTTPS pada port 443. Ini kalau dibiarkan maka oleh Google akan dianggap menjadi 2 situs yang berbeda dan resiko dianggap duplicate content. Rugi kan?

Read more