Bescherming tegen kwaadaardige scripts

Onderdeel van de gratis websitecheck: 15 instellingen van je website en e-mail in één keer gecontroleerd.

In gewone taal

Als iemand via een lek of een gehackte plug-in code op je site krijgt, kan die bijvoorbeeld betaal- of inloggegevens van je bezoekers stelen. Een CSP is een lijst van bronnen die je site mag gebruiken; de browser blokkeert al het andere.

Wat te doen: Laat je webbouwer een beleid opstellen. Dat kan eerst in testmodus, zodat er niets stukgaat.

Voor je developer · Content-Security-Policy (CSP)

CSP bepaalt waar scripts, styles en frames vandaan mogen komen en is de belangrijkste verdediging tegen XSS. Zonder script-src/default-src, met wildcards, of met 'unsafe-inline' zonder nonce of hash biedt het weinig bescherming.

Begin met Content-Security-Policy-Report-Only, verhelp de meldingen en zet het daarna aan, bijv.:

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'