Beveiligingsheader ontbreekt

Waarom het belangrijk is

Een paar regels in de response vertellen de browser wat is toegestaan: embed de site niet in een vreemde pagina, raad geen bestandstypen, geef niet alles door aan andere sites. Zonder deze headers is een site makkelijker te misbruiken, bijvoorbeeld voor clickjacking.

Hoe Snaglist dit controleert

Dit hoort bij de veiligheidscheck, een eigen check naast de crawl, in Studio en Bureau, en alleen op een site die je hebt geverifieerd. Snaglist kijkt alleen naar wat elke bezoeker van buitenaf kan zien. Hij logt nooit in, raadt geen wachtwoorden en stuurt geen aanvallen. Hij leest de response-headers van de homepage en controleert vijf ervan: X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Content-Security-Policy en Permissions-Policy. Elke ontbrekende header wordt vermeld.

Veelvoorkomende oorzaken

• De host of server zet ze niet standaard
• Geen beveiligingsplugin of serverregel voegt ze toe
• Een Content-Security-Policy is weggelaten omdat het lastiger in te stellen is

Hoe je het oplost

1. Begin met X-Content-Type-Options, X-Frame-Options en Referrer-Policy. Ze breken zelden iets.
2. Stel ze in via de serverinstellingen, in .htaccess of met een beveiligingsplugin.
3. Test een Content-Security-Policy eerst in report-only-modus.
4. Draai de veiligheidscheck opnieuw ter controle.

Zo staat het in het rapport

In het rapport voor je klant staat dit onder de kop "Je site mist een paar standaard beschermingen". Is alles in orde, dan meldt het rapport: "De standaard beveiligingsheaders staan aan".