Een HTTP-header is een regel met extra informatie die de browser van je bezoeker en de server van je website achter de schermen naar elkaar sturen. Je ziet hem niet op de pagina, maar hij bepaalt dingen als hoe lang een bestand bewaard mag blijven en welke beveiligingsregels gelden.
Wat is een HTTP-header?
Headers vertellen wat de pagina zelf niet zegt: wat voor bestand eraan komt, hoe lang het bewaard mag worden, welke taal de bezoeker wil of welke beveiligingsregels gelden. Je ziet ze niet op de pagina, maar ze bepalen hoe je site laadt en hoe veilig die is.
Als je een pagina opent, stuurt je browser een verzoek naar de webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt.. Dat verzoek bevat request headers, zoals de naam van de browser, de talen die hij accepteert en eventuele cookies. De server antwoordt met een statuscodeEen HTTP-statuscode is het getal van drie cijfers waarmee je server laat weten of een pagina goed is gegaan, zoals 200 (gelukt) of 500 (fout). en response headers, gevolgd door de pagina zelf.
Elke header is één regel. Content-Type: text/html zegt dat het antwoord een webpagina is. Cache-Control: max-age=3600 zegt dat de browser het antwoord een uur mag hergebruiken. Location gebruik je voor doorverwijzingen en Set-Cookie bewaart een cookie in de browser van de bezoeker.
Voor website-eigenaren zijn de response headers het belangrijkst, want jouw serverconfiguratie, PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. en je plugins bepalen wat erin staat.
Wat HTTP-headers betekenen voor een PHP- of WordPress-site
Bij een PHP-site komen headers uit drie bronnen: de webserver, PHP zelf en de code erbovenop, zoals WordPressWordPress is een programma waarmee je een website maakt en beheert zonder te hoeven programmeren. en de plugins. Afhankelijk van de instelling expose_php in php.iniphp.ini is het instellingenbestand van PHP, waarin staat hoeveel ruimte en tijd je website krijgt en of foutmeldingen op het scherm verschijnen. voegt PHP een header toe die X-Powered-ByX-Powered-By is een regel die jouw server meestuurt en waarin staat met welke software, en vaak welke versie, je website werkt. heet en de taal noemt, vaak met het exacte versienummer. De webserver kan een Server-header met vergelijkbare details meesturen.
Dat is handig bij het zoeken naar fouten, maar minder handig voor je privacy. Iedereen die het internet afscant kan de header lezen, een oude PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. zien en weten naar welke bekende kwetsbaarheden hij moet zoeken. De header weghalen repareert een oude versie niet, maar je roept hem dan wel niet meer rond.
Ook de securityheadersSecurityheaders zijn instructies die je website meestuurt en waarmee de browser van je bezoeker extra beveiligingsregels toepast. horen hier thuis. Die vertellen de browser om bepaald riskant gedrag te weigeren, bijvoorbeeld scripts laden van onbekende bronnen of jouw site tonen binnen het frame van een ander.
Hoe controleer je je headers?
De snelste manier is je browser. Open de ontwikkeltools, kies het tabblad Netwerk, laad de pagina opnieuw en klik op het eerste verzoek in de lijst. Onder Response Headers staat elke regel die je server heeft gestuurd. In een terminal krijg je hetzelfde resultaat met curlcURL is een hulpmiddel waarmee software, zoals PHP, gegevens ophaalt van of verstuurt naar andere websites en diensten. -I en je adres.
Let op vier dingen. Staat er in X-Powered-By of Server een versienummer? Is er een doorverwijzing van http naar https? Klopt de Cache-Control-regel met wat je verwacht? En zijn er überhaupt securityheaders aanwezig?
Wil je snel weten hoe het met het PHP-deel zit, dan leest de gratis PHP exposure check de openbare headers van je site en laat zien welke PHP-versie van buiten zichtbaar is.
Wanneer onderneem je actie?
Een versienummer dat naar een niet meer ondersteunde versie wijst, is een reden om een update te plannen. Een ontbrekende securityheader is minder dringend, maar goed om toe te voegen zodra je toch aan de serverconfiguratie zit. Headers die na een verhuizing of update plotseling anders zijn, laten zien dat er iets in de opzet is veranderd, en dat verdient een blik.
Draait je site op een oude PHP-versie, dan zet onze hulp bij php updaten hem over naar een ondersteunde versie, met eerst een test op een kopie. Gedraagt je site zich vreemd en laden pagina’s niet, dan wijst de statuscode in hetzelfde antwoord vaak al naar de oorzaak.
Veelgestelde vragen
Kunnen bezoekers mijn HTTP-headers zien?
Ja. Iedereen kan de response headers van je site lezen met de ontwikkeltools van de browser of een opdrachtregeltool. Een header die je exacte PHP-versie noemt, vertelt buitenstaanders dus meer dan je misschien wilt.
Hoe bekijk ik de HTTP-headers van mijn website?
Open de ontwikkeltools van je browser, ga naar het tabblad Netwerk, laad de pagina opnieuw en klik op het eerste verzoek. Daar staan de response headers. Je kunt ook in een terminal curl -I gevolgd door je adres typen.
Kan ik mijn HTTP-headers aanpassen?
Ja. Je stelt ze in via de webserverconfiguratie, in een PHP-bestand of met een pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop.. Waar je dat doet hangt af van je hostingWebhosting is de dienst die jouw website op een computer zet die altijd aan staat en met internet verbonden is, zodat bezoekers hem kunnen openen.. Een verkeerde waarde kan cachingEen cache is een tijdelijke opslag van kant-en-klare kopieën, zodat een pagina niet bij elk bezoek opnieuw gemaakt hoeft te worden., inloggen of de hele pagina breken, dus test de wijziging eerst.