Je voordeur staat op een kier: stel je beveiligingsheaders in

Beveiligingsheaders zijn korte instructies die je server met elke pagina meestuurt aan de browser. Ze zeggen bijvoorbeeld: gebruik altijd HTTPS, laat deze pagina niet in een ander venster insluiten. Bezoekers zien ze niet, maar ze beschermen wel.

In het kud-rapport Je voordeur staat op een kier

Waarom het uitmaakt

Zonder deze headers zijn bepaalde aanvallen makkelijker, zoals het insluiten van je site in een nep-pagina om mensen ergens op te laten klikken (clickjacking).

Ze kosten niks en zijn in een paar minuten ingesteld. Het is een teken van een verzorgde site.

Zo los je het op

Strict-Transport-Security (HSTS): zegt dat browsers je site alleen via HTTPS mogen bezoeken.
X-Content-Type-Options: nosniff: voorkomt dat browsers bestanden als iets anders gaan uitvoeren dan ze zijn.
X-Frame-Options: SAMEORIGIN, of in je Content-Security-Policy frame-ancestors 'self': voorkomt dat andere sites jouw pagina insluiten.
Referrer-Policy: strict-origin-when-cross-origin: bepaalt hoeveel van je adres je meestuurt als iemand doorklikt naar een andere site.
Stel ze in bij je hosting, in je .htaccess, of bij je CDN. Test daarna met securityheaders.com.

# .htaccess (Apache)
<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Op jouw platform

WordPress: Plugins zoals Really Simple Security kunnen deze headers voor je instellen, of je host doet het op serverniveau.
Cloudflare: HSTS zet je aan bij SSL/TLS, Edge Certificates. De andere headers met een Transform Rule (Response Header).

Veelgestelde vragen

Kan HSTS mijn site kapotmaken?

Alleen als je HTTPS ooit weer uitzet: browsers weigeren dan de onveilige versie. Zorg dat HTTPS goed werkt voordat je HSTS aanzet.

Wat is een Content-Security-Policy?

Een uitgebreidere header die precies bepaalt welke scripts en bestanden je pagina mag laden. Krachtig, maar lastiger om goed in te stellen; laat dat aan je developer.