Subresource Integrity laat je browser controleren of een geladen script of stijlbestand overeenkomt met de vooraf verwachte inhoud.
Definitiebron: MDN: Subresource Integrity. Gelezen op 24 oktober 2026. De praktische vragen op deze pagina helpen je de melding met je beheerder af te bakenen.
Wat controleert de browser?
Je ontwikkelaar kan voor een script of stijlbestand een controlewaarde vastleggen. De browser vergelijkt de opgehaalde inhoud met die verwachte waarde. MDN beschrijft dat een bestand bij een afwijking niet wordt geladen.
De controle gaat over gelijkheid van inhoud, niet over een oordeel dat die inhoud goed of veilig is.
Een CDNEen CDN is een netwerk van servers over de hele wereld dat kopieën van je website bewaart, zodat bezoekers hem van dichtbij krijgen. kan bestanden voor je website leveren. SRI helpt bij geschikte bestanden te controleren of die levering overeenkomt met wat vooraf is vastgelegd. Het is geen algemene scan van alles wat een bezoeker ontvangt.
Laat je ontwikkelaar benoemen welke bestanden deze controle daadwerkelijk hebben.
Waaraan herken je een probleem met SRI?
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Een ontwikkelaar kan een integriteitsfout in de browser vaststellen wanneer inhoud en controlewaarde niet overeenkomen. Voor jou kan een functie ontbreken of de opmaak afwijken. Dat kan komen door een legitieme update waarvan de controlewaarde niet is bijgewerkt.
De fout alleen bewijst geen aanval.
Vraag welke wijziging was gepland en welk bestand de browser weigerde. Laat de nieuwe inhoud vergelijken met de bedoelde levering. De controle uitschakelen omdat een knop niet werkt, haalt ook de afgesproken bescherming weg.
Bespreek daarom eerst de oorzaak van het verschil en de juiste versie van het bestand.
Wat spreek je af bij onderhoud?
Vraag de ontwikkelaar hoe updates van het bestand en de controlewaarde samen worden beheerd. Laat belangrijke functies op een testkopie controleren. Bij levering vanaf een ander domeinEen domeinnaam is het webadres waarmee bezoekers jouw website vinden, zoals jouwbedrijf.example. gelden ook voorwaarden voor die levering; MDN beschrijft daarvoor de technische vereisten.
Laat de implementatie aan iemand die die documentatie kan toepassen.
Een Content Security PolicyEen Content Security Policy (CSP) is een regel die de browser vertelt van welke plekken jouw pagina bestanden en scripts mag laden. en SRI beantwoorden verschillende vragen. Het beleid begrenst onder meer toegestane bronnen; SRI vergelijkt inhoud. Bij een supply-chain-aanvalEen supply-chain-aanval raakt je via een leverancier of geleverd onderdeel, in plaats van alleen via je eigen website. kan dat nuttig zijn, maar het dekt niet elke leverancier, elk bestand of elke verandering aan je eigen pagina.
Wanneer vraag je hulp?
Laat een ontwikkelaar meekijken als een betaalfunctie, formulier of belangrijke opmaak na een wijziging uitvalt. Geef de pagina en het moment van de wijziging door. Vraag of de blokkering verwacht was en wat nodig is om de bedoelde inhoud weer gecontroleerd te laden.
SRI is geen bewijs dat eerder geen gegevens zijn onderschept. Het zegt ook niets over inhoud die je zelf als verwacht hebt goedgekeurd. Houd configuratie, functionele tests en onderzoek naar een mogelijk incident daarom als afzonderlijke onderdelen in het onderhoudsverslag.
Namen van producten en bedrijven op deze pagina zijn van hun eigenaren. We noemen ze om te beschrijven wat er gebeurde. We zijn niet verbonden aan de genoemde partijen.
Bereid je hulpvraag voor
Maak voor je beheerder een korte notitie met de betrokken pagina, het moment van de waarneming en wat je team daarvoor veranderde. Voeg de oorspronkelijke melding toe als die beschikbaar is. Houd feiten en vermoedens apart.
Een beschrijving als ‘dit zag ik op deze pagina’ is bruikbaarder dan een conclusie waarvoor nog geen onderzoek is gedaan.
Voor regulier onderhoud aan een PHP-site kun je de bestaande diensten van een PHP-specialist bekijken. Bespreek eerst welke vraag binnen die dienst past. Deze begrippenpagina biedt uitleg, geen onderzoek van jouw installatie of toezegging over herstel.
Laat bij een mogelijk incident vooraf vastleggen welke deskundigheid nodig is en welke onderdelen iemand daadwerkelijk kan beoordelen.
Spreek af wie de bevindingen ontvangt en wie een open vraag opvolgt. Vraag om een verslag met de gecontroleerde onderdelen, de datum en de beperkingen. Dat helpt je beslissen over een volgende stap zonder een algemene geruststelling als bewijs te gebruiken.
Je eerste eigen stap is de waarneming vastleggen en aan de verantwoordelijke beheerder doorgeven.
Veelgestelde vragen
Bewijst een SRI-fout dat een leverancier is gehackt?
Nee. Ook een normale bestandsupdate kan een verschil veroorzaken. Laat de inhoud, de verwachte waarde en de geplande wijziging vergelijken voordat je conclusies trekt.
Wat geef ik door aan mijn beheerder?
De betrokken pagina, het tijdstip en de oorspronkelijke melding. Beschrijf wat je zelf zag en wat nog een vermoeden is. Deel geen wachtwoorden, sleutels of persoonsgegevens van klanten in een gewoon formulier.
Kan de PHP Exposure Check dit vaststellen?
Nee. Die check laat alleen zien wat je server publiek over onder meer de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. prijsgeeft. Hij onderzoekt geen malware, toegangsrechten of onderschepping van formuliergegevens.
Laat je concrete melding apart beoordelen.