Security headers-check
Test HSTS, CSP, X-Frame-Options en andere beveiligingsheaders.
Over deze tool
Security headers zijn korte instructies die je webserver bij elke pagina meestuurt naar de browser van je bezoeker. Ze vertellen de browser bijvoorbeeld dat je site alleen via https bereikbaar is, van welke websites scripts mogen laden en of je pagina in een frame op een andere website mag verschijnen. Ontbreken ze, dan is je website kwetsbaarder voor aanvallen zoals cross-site scripting (XSS), clickjacking en het afluisteren van verbindingen op openbare wifi. Het instellen kost meestal weinig tijd, terwijl het je bezoekers en je reputatie flink beter beschermt.
Met deze gratis security headers-check zie je in een paar seconden welke headers je website al goed heeft ingesteld en welke ontbreken. Je krijgt een score, uitleg in gewone taal en per header een voorbeeld van een veilige waarde, plus waar je die instelt: in .htaccess, in nginx, via Cloudflare of met een WordPress-plugin. Ook zie je of je server onnodig versienummers prijsgeeft en of je cookies de juiste beveiligingsvlaggen hebben.
Wat we controleren
- HSTS (Strict-Transport-Security): staat https afdwingen aan, en voor hoe lang
- Content-Security-Policy: aanwezig, en zonder zwakke plekken zoals 'unsafe-inline' of 'unsafe-eval'
- Bescherming tegen clickjacking via X-Frame-Options of CSP frame-ancestors
- X-Content-Type-Options: nosniff
- Referrer-Policy (ook via een meta-tag in je HTML) en Permissions-Policy
- Cross-Origin-Opener-Policy en Cross-Origin-Resource-Policy
- Informatielekken via de Server-header, X-Powered-By en vergelijkbare headers
- Secure, HttpOnly en SameSite op cookies, en onveilige CORS-instellingen
Veelgestelde vragen
Wat zijn security headers precies?
Security headers zijn regels die je webserver meestuurt met elke pagina, onzichtbaar voor je bezoekers. De browser houdt zich aan die regels: hij gebruikt bijvoorbeeld alleen nog https, laadt geen scripts van onbekende websites en weigert je pagina in een verborgen frame te tonen. Zo sluit je hele groepen aanvallen uit zonder iets aan je website zelf te veranderen.
Welke security headers zijn het belangrijkst?
De vier belangrijkste zijn Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options (of frame-ancestors in je CSP) en X-Content-Type-Options. Die tellen in deze check daarom zwaarder mee. Referrer-Policy en Permissions-Policy zijn een goede aanvulling, maar minder dringend.
Hoe stel ik security headers in bij WordPress?
Draait je WordPress-site op Apache-hosting, dan kun je de headers in het .htaccess-bestand zetten; de check geeft per header de exacte regel. Wil je niet in bestanden werken, dan kan het met een plugin zoals Headers Security Advanced & HSTS WP. Gebruik je Cloudflare, dan stel je ze in via Transform Rules. Kom je er niet uit, dan kan Held IT dit voor je instellen en testen.
Kan een Content-Security-Policy mijn website kapotmaken?
Ja, een te strenge policy kan scripts, lettertypes of ingesloten video's blokkeren. Begin daarom met de header Content-Security-Policy-Report-Only: die blokkeert niets, maar laat in de browserconsole zien wat er geblokkeerd zou worden. Pas je policy aan tot er geen meldingen meer zijn en zet hem daarna pas echt aan.
Mijn website draait op Wix, Shopify of Squarespace. Kan ik de headers zelf aanpassen?
Meestal niet. Bij deze platforms bepaalt de aanbieder welke headers worden meegestuurd, en je hebt daar zelf geen toegang toe. Een lagere score zegt dan vooral iets over het platform. Richt je op wat je wel zelf in de hand hebt, zoals sterke wachtwoorden, tweestapsverificatie en een kritische blik op apps en koppelingen.
Is het erg als mijn server een versienummer laat zien?
Op zich is het geen lek, maar het maakt het een aanvaller wel makkelijker om gericht te zoeken naar bekende kwetsbaarheden in die versie. Het verbergen kost weinig moeite, bijvoorbeeld met ServerTokens Prod in Apache of server_tokens off in nginx. Veel belangrijker is dat je software wel up-to-date is.