Squish & Co. — afd. diagnostiek
Controle van beveiligingsheaders
Controleer de zes HTTP-beveiligingsheaders die ertoe doen en krijg een cijfer op basis van de vraag of elke header zijn werk echt doet, niet alleen of hij is meegestuurd. Een gratis hulpmiddel van Squish, zonder aanmelden.
Probeer , , Zonder account
De resultaten verschijnen hier. Typ een domein om te beginnen.
Wat beveiligingsheaders werkelijk doen
Beveiligingsheaders zijn instructies die uw server met elke pagina meestuurt en die de browser vertellen wat is toegestaan. HSTS weigert gewoon HTTP. Content-Security-Policy beperkt waarvandaan scripts mogen laden. X-Frame-Options voorkomt dat uw pagina in het onzichtbare frame van iemand anders wordt geladen. Ze kosten niets om in te stellen en sluiten hele categorieën aanvallen af, maar alleen als de waarde een echte beperking bevat — en daarom wordt hier beoordeeld wat elke header doet en niet of hij is meegestuurd.
Veelgestelde vragen
Welke headers controleren jullie?
Zes, gewogen naar hoeveel ze uitmaken: HSTS en Content-Security-Policy elk 25 punten, X-Frame-Options en X-Content-Type-Options 15, Referrer-Policy en Permissions-Policy 10. Samen 100 punten, en het cijfer volgt de score.
Waarom verlies ik punten op een header die ik heb ingesteld?
Omdat een aanwezige header niet altijd een werkende header is. content-security-policy: default-src * staat script vanaf elke host op internet toe, en x-frame-options: ALLOWALL is een waarde die al jaren door geen enkele browser wordt aangehouden. Beide worden beoordeeld op wat ze doen, dus beide krijgen halve punten in plaats van volle.
Ik heb geen X-Frame-Options en slaag toch — hoe kan dat?
Uw Content Security Policy bevat frame-ancestors, dat hetzelfde doet en de header vervangt in elke browser die beide ondersteunt. De oudere header er ook bij zetten kan geen kwaad, maar het ontbreken ervan is geen gat.
Zegt dit of mijn site veilig is?
Nee. Het leest de headers van één respons en beoordeelt die. Het zoekt geen malware, test uw login niet en kijkt niet naar uw code. Een goed cijfer hier betekent dat uw headers goed staan, meer niet — en dat zeggen we liever dan een schone verklaring te suggereren die we niet gemeten hebben.
Headers zijn werk voor de server, niet voor de website. Ze worden één keer in de serverconfiguratie gezet — precies de laag die managed hosting u uit handen neemt.
Bekijk Squish-hosting →