De homepage stuurt minder dan vier van de zes gangbare beveiligingsheaders mee die bezoekers helpen beschermen tegen onderschepte verbindingen, clickjacking en geïnjecteerde scripts. De meeste vergen één regel configuratie.
Wat het betekent
Beveiligingsheaders zijn instructies die de server bij elke pagina meestuurt en die de browser vertellen wat is toegestaan. Ze lossen geen zwakke plekken in de website zelf op, maar ze maken veel gangbare aanvallen een stuk moeilijker.
De zes beoordeelde headers zijn Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (of CSP frame-ancestors), Referrer-Policy en Permissions-Policy.
Wat het activeert
Eenmaal per week laadt de controle Beveiligingsheaders de homepage via HTTPS en telt hoeveel van de zes headers worden meegestuurd: alle zes is een A, vijf een B, vier een C, drie een D, twee een E en minder een F. Bij D of lager wordt dit probleem met prioriteit Gemiddeld gemeld, met het cijfer in de titel en een lijst van de ontbrekende headers. Het verschijnt in de app en wordt niet gemaild.
Een ontbrekende HSTS-header wordt ook apart gemeld. Zie Geen HSTS-header.
Veelvoorkomende oorzaken
- De meeste webservers en hostingpakketten sturen standaard geen van deze headers mee.
- De headers zijn ingesteld voor sommige mappen of servers, maar niet voor de homepage.
Hoe je het oplost
- Voeg eerst de eenvoudige toe, die zelden iets breken: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin en een Permissions-Policy zoals camera=(), microphone=(), geolocation=().
- Stel ze in via je webserver, CDN, het configuratiescherm van je hosting of een beveiligingsplug-in voor je CMS.
- Voeg Content-Security-Policy als laatste toe, na testen met Content-Security-Policy-Report-Only, omdat een strikt beleid je eigen scripts, lettertypen of tracking kan blokkeren.
Wanneer het verdwijnt
Het probleem verdwijnt bij de volgende wekelijkse controle die minstens vier van de zes headers vindt (cijfer C of beter), en de actie verdwijnt 7 dagen later uit het actieplan.
Als je de actie als klaar markeert en het probleem 14 dagen later nog steeds wordt gevonden, komt ze terug als “Oplossing werkte niet”. Zie Het actieplan gebruiken.