Security headers uitgelegd
Wat zijn security headers?
Security headers zijn extra instructies die een server bij elke pagina meestuurt naar de browser. Een bezoeker ziet ze niet, maar de browser leest ze en past zijn gedrag erop aan. Zo kan een site de browser vertellen welke beveiligingsregels hij moet volgen, bijvoorbeeld dat een pagina alleen via een beveiligde verbinding geladen mag worden.
Headers zijn geen vervanging voor een goed beveiligde website. Ze zijn een extra laag bovenop veilige software en een correct ingesteld HTTPS. Hun effect hangt sterk af van hoe ze zijn ingesteld.
Welke headers zijn het belangrijkst?
Er bestaan veel headers, maar drie komen het vaakst voor:
- HSTS (Strict-Transport-Security): vertelt de browser dat de site alleen via een beveiligde verbinding bezocht mag worden. Zo wordt het moeilijker om een bezoeker naar een onbeveiligde versie te lokken.
- Content-Security-Policy (CSP): legt vast van welke bronnen scripts, stijlen en afbeeldingen geladen mogen worden. Een goede CSP maakt het lastiger om ingevoegde scripts uit te voeren, zoals bij XSS.
- X-Frame-Options: bepaalt of je site in een frame op een andere site mag worden getoond. Dat voorkomt clickjacking, waarbij bezoekers onbedoeld klikken op knoppen die verborgen liggen onder een andere pagina.
Daarnaast bestaan headers die bepalen hoeveel informatie de browser meestuurt naar andere sites, en headers die het type inhoud vastleggen. Welke je nodig hebt, hangt af van je site.
Waarom kan een header je site breken?
Een te strenge instelling kan legitieme functies blokkeren. Een CSP die geen externe scripts toestaat, schakelt misschien je betaalmodule, statistiektool of chatvenster uit. Een X-Frame-Options-instelling kan een ingesloten dienst, zoals een video of betaalpagina, onbruikbaar maken.
Ook een HSTS-instelling met een lange looptijd blijft lang gelden, ook als je later iets aan je verbinding wilt veranderen. Test die daarom eerst goed.
Voer headers daarom stap voor stap in, test ze in de browser en betrek bij twijfel de ontwikkelaar. Let ook op de gevolgen voor externe diensten op je site, want die laden vaak eigen scripts.
Veelgestelde vragen
Welke security headers moet ik als eerste instellen?
HSTS is vaak een logische eerste stap, zolang HTTPS goed werkt op alle pagina's en subdomeinen. Een CSP vraagt meer werk, omdat je moet weten welke bronnen je site gebruikt. Zet nieuwe headers niet allemaal tegelijk aan, en controleer na elke wijziging of de site nog goed werkt.
Zijn security headers voldoende om mijn website te beveiligen?
Nee. Headers verkleinen een aantal aanvalsroutes in de browser, maar ze repareren geen fouten in je software. Een site met kwetsbare code, verouderde plugins of zwakke wachtwoorden blijft kwetsbaar, ook met goed ingestelde headers. Zie headers als een extra laag bovenop de basis.