In dit artikel
Wat zijn HTTP-beveiligingsheaders?
HTTP-beveiligingsheaders zijn responseheaders die browsers instrueren hoe ze met de inhoud van uw site moeten omgaan. Ze vormen een kritieke verdedigingslaag tegen veelvoorkomende webaanvallen zoals XSS, clickjacking en protocol-downgrade-aanvallen.
Beveiligingsheaders maken deel uit van de HTTP-respons. Ze kosten niets om te implementeren, vereisen geen codewijzigingen en beschermen alle bezoekers. OWASP beveelt ze aan voor elke productiewebsite.
Hoe HTTP-beveiligingsheaders werken
Elke beveiligingsheader bestuurt een specifiek aspect van browsergedrag en creëert meerdere beschermingslagen.
- Content-Security-Policy (CSP) — definieert vertrouwde bronnen voor scripts, stijlen en afbeeldingen, voorkomt XSS door ongeautoriseerde code-uitvoering te blokkeren
- Strict-Transport-Security (HSTS) — dwingt browsers HTTPS te gebruiken voor alle toekomstige verzoeken, voorkomt protocol-downgrade-aanvallen
- X-Frame-Options en X-Content-Type-Options — voorkomen clickjacking door iframe-inbedding te blokkeren en stoppen MIME-type-sniffing
Probeer gratis — geen aanmelding vereist
Genereer beveiligingsheaders →Wanneer beveiligingsheaders configureren
Beveiligingsheaders moeten op elke productiewebsite worden geconfigureerd.
- XSS-aanvallen voorkomen — CSP is de meest effectieve browserbescherming tegen cross-site scripting
- HTTPS afdwingen — HSTS met preload garandeert altijd HTTPS-verbinding, zelfs bij het eerste bezoek
- Nalevingseisen — PCI DSS, SOC 2 en HIPAA vereisen beveiligingsheaders als onderdeel van webapplicatie-hardening
Veelgestelde vragen
Wat is CSP report-only modus?
Content-Security-Policy-Report-Only stuurt overtredingsrapporten naar een opgegeven endpoint zonder bronnen te blokkeren. Dit laat u een nieuw CSP-beleid testen in productie. Schakel over naar handhaving zodra tests succesvol zijn.
Hoe werkt HSTS-preload?
HSTS-preload is een lijst van browserleveranciers die HTTPS-only toegang afdwingt voor vermelde domeinen. Om in aanmerking te komen: een HSTS-header met minimaal een jaar max-age, includeSubDomains en de preload-richtlijn.
Hoe kan ik mijn beveiligingsheaders testen?
Gebruik tools zoals securityheaders.com of Mozilla Observatory om uw site te scannen. U kunt headers ook direct inspecteren in browser DevTools op het tabblad Netwerk.