Kunnen security headers mijn website breken?

De meeste niet. Content-Security-Policy wel, als die scripts blokkeert die je nodig hebt. Begin met Content-Security-Policy-Report-Only om te zien wat er geblokkeerd zou worden.

Is X-XSS-Protection nog nodig?

Nee. Moderne browsers hebben dat filter verwijderd. Gebruik in plaats daarvan een Content-Security-Policy.

Waarom kijkt de scan alleen naar de homepage?

Headers worden meestal voor de hele site tegelijk ingesteld. De scan is bewust passief: één bezoek, geen crawlen.

Security headers check

Test welke HTTP security headers een website meestuurt en krijg een cijfer van A tot F met precies de header die je moet toevoegen. HTTPS, cookies en zichtbare softwareversies staan in dezelfde scan.

Welke headers belangrijk zijn

Strict-Transport-Security (HSTS): browsers gebruiken alleen HTTPS voor je site, ook als iemand http:// typt.

Content-Security-Policy (CSP): welke scripts, stijlen en frames de pagina mag laden. De beste verdediging tegen cross-site scripting.

X-Frame-Options of CSP frame-ancestors: voorkomt dat andere sites de jouwe in een verborgen frame tonen (clickjacking).

X-Content-Type-Options: nosniff, zodat browsers niet gaan raden welk bestandstype iets is.

Referrer-Policy en Permissions-Policy: wat je site deelt met andere sites en welke browserfuncties hij mag gebruiken.

Voorbeeld voor nginx

Zet deze regels in het server-blok van je site en herlaad nginx. Bouw de Content-Security-Policy stap voor stap op, want een te strenge policy kan scripts breken.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

add_header X-Content-Type-Options "nosniff" always;

add_header X-Frame-Options "SAMEORIGIN" always;

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Apache, IIS, Cloudflare en hostingpanelen

Apache gebruikt “Header always set” in .htaccess of de virtual host, IIS gebruikt customHeaders in web.config en Cloudflare gebruikt Transform Rules. Bij beheerde hosting stuur je de link naar het rapport naar je provider: bij elke bevinding staat precies welke header.

Vragen

Kunnen security headers mijn website breken?: De meeste niet. Content-Security-Policy wel, als die scripts blokkeert die je nodig hebt. Begin met Content-Security-Policy-Report-Only om te zien wat er geblokkeerd zou worden.
Is X-XSS-Protection nog nodig?: Nee. Moderne browsers hebben dat filter verwijderd. Gebruik in plaats daarvan een Content-Security-Policy.
Waarom kijkt de scan alleen naar de homepage?: Headers worden meestal voor de hele site tegelijk ingesteld. De scan is bewust passief: één bezoek, geen crawlen.

OZAG Technologies · KVK 42167370 · Laan van Oversteen 20, 2289 CX Rijswijk · +31 6 24496620 · support@ozagsecurity.com