Securityheaders zijn instructies die je website meestuurt en waarmee de browser van je bezoeker extra beveiligingsregels toepast. Je zet ze eenmalig aan en ze beschermen daarna bij elk bezoek. Het is een van de eenvoudigste manieren om je site beter te beveiligen.
Wat zijn securityheaders?
Securityheaders zijn instructies die je website meestuurt en waarmee de browser van je bezoeker extra beveiligingsregels toepast. is een set instructies die je site met elke pagina meestuurt, en de browser van de bezoeker volgt ze. Daarom zijn het een van de goedkoopste beschermlagen die je aan een site kunt toevoegen.
Elk antwoord van je server draagt HTTP-headersEen HTTP-header is een regel met extra informatie die de browser van je bezoeker en de server van je website achter de schermen naar elkaar sturen., en sommige gaan over veiligheid. De browser doet wat een header zegt: vertel je hem dat hij alleen een beveiligde verbinding mag gebruiken, dan weigert hij terug te vallen op een onbeveiligde. Vertel je welke scripts zijn toegestaan, dan blokkeert hij de rest.
De belangrijkste zijn makkelijk te noemen. Strict-Transport-Security vertelt de browser HTTPS voor je site te gebruiken, voortbouwend op je TLSEen SSL-certificaat is het bewijs dat een website echt is wat hij zegt, en zorgt dat gegevens versleuteld worden verstuurd: het slotje bij https.-opzet. Content-Security-Policy somt op welke bronnen van scripts, stijlen en afbeeldingen zijn toegestaan. X-Content-Type-Options voorkomt dat de browser bestandstypen gaat raden. Een framingregel, het onderdeel frame-ancestors van het beleid of het oudere X-Frame-Options, bepaalt wie je pagina in een frame mag tonen. Referrer-Policy beperkt hoeveel van je adres naar andere sites gaat. Permissions-Policy beperkt browserfuncties zoals de camera.
Wat ze wel en niet doen
Securityheaders werken in de browser van de bezoeker. Ze kunnen een zwakke plek op je server niet repareren, en ze stoppen geen aanval die nooit een browser raakt. Wat ze wel doen, is een hele familie van problemen aan de browserkant lastiger maken, bijvoorbeeld door te beperken wat een ingespoten script uit cross-site scriptingCross-site scripting (XSS) is een aanval waarbij iemand een schadelijk script op jouw pagina zet dat meedraait in de browser van je bezoekers. kan doen.
Wat het betekent voor een PHP- of WordPress-site
Noch PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt., noch WordPress-core stelt een volledige set securityheaders voor je in. Die komen uit de configuratie van je webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt., je host, een CDNEen CDN is een netwerk van servers over de hele wereld dat kopieën van je website bewaart, zodat bezoekers hem van dichtbij krijgen. of een pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop.. Op veel sites ontbreken er een paar, wat makkelijk te zien en goedkoop te herstellen is. De Content-Security-Policy is het lastigst, omdat WordPress-themaEen WordPress-thema is het ontwerp van je WordPress-site: het bepaalt hoe pagina's eruitzien en hoe ze zijn opgebouwd.’s en plugins vaak leunen op inline scripts en externe diensten die het beleid zou blokkeren.
Headers staan naast andere signalen die je site naar buiten stuurt. De X-Powered-ByX-Powered-By is een regel die jouw server meestuurt en waarin staat met welke software, en vaak welke versie, je website werkt.-header onthult bijvoorbeeld je PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3., terwijl bovenstaande headers bescherming toevoegen.
Een concreet voorbeeld
Je opent de responsheaders van je site in de ontwikkelaarstools van je browser. Je ziet een regel “Strict-Transport-Security” en een regel “X-Content-Type-Options: nosniff”, maar niets voor Content-Security-Policy of Referrer-Policy. Dat is een normaal beeld. De eerste twee voeg je snel toe en ze geven zelden problemen. Het beleid vraagt meer zorg: begin in een stand die alleen meldt wat geblokkeerd zou worden, los op wat opduikt en dwing het dan af.
Zo controleer je het en wanneer je handelt
Gebruik de ontwikkelaarstools van je browser om de headers te lezen, of een online headerscanner. Onze gratis PHP exposure check leest de openbare headers van je site en laat zien wat er van buiten te zien is. Begin met de goedkope headers, plan het strenge beleid en noteer wat je hebt aangepast.
Toont je site vooral inhoud, dan wordt een website zonder PHP als bestanden geserveerd vanaf een host of CDN waar je de headers één keer op één plek instelt, wat het veel makkelijker maakt ze goed te houden. Welke route je ook kiest, headers zijn een extra laag en het bijwerken van de software blijft de hoofdzaak.
Veelgestelde vragen
Welke securityheaders zijn het belangrijkst?
Een goede basis is Strict-Transport-Security (alleen HTTPS), Content-Security-Policy (welke scripts mogen draaien), X-Content-Type-Options, een frame-ancestors-regel of X-Frame-Options (wie je pagina mag insluiten) en Referrer-Policy.
Lossen securityheaders kwetsbaarheden op?
Nee. Ze voegen een beschermlaag toe in de browser van de bezoeker en beperken wat een fout kan aanrichten. De fout zelf los je op door de software bij te werken.
Waar stel ik securityheaders in?
Op de webserver, in de instellingen van de CDN of host, of met een plugin. Waar precies hangt af van hoe je site wordt geserveerd. Een host of ontwikkelaar kan ze voor je instellen.
Kunnen securityheaders mijn site breken?
Ja, vooral een strenge Content-Security-Policy, die scripts en stijlen kan blokkeren die je site nodig heeft. Test wijzigingen op een kopie en voer ze stap voor stap in.