HTTP Headers

Securitycijfer

Aggregaatscore van security-headers, gewogen naar impact: HSTS en CSP wegen het zwaarst. A+ vereist alle vijf headers correct ingesteld; F betekent dat er geen aanwezig zijn. Gebruik als snelle eerste indicator en duik daarna de per-header bevindingen in.

HTTP-protocol

HTTP/1.1 is het legacy tekstprotocol. HTTP/2 multiplext streams over één TCP-verbinding (headercompressie, server push). HTTP/3 draait over QUIC (UDP) — beter op verlies- of mobiele netwerken. Moderne servers horen minstens HTTP/2 aan te bieden.

Latency

Round-trip van onze server naar het doel tot de eerste responsbyte arriveert. Geen CDN-benchmark — geografische afstand, TLS-handshake en server-warm-up spelen mee. Gebruik als grove versheidsindicator, niet als productie-performancedata.

Redirect-keten

Een lange keten (3+ redirects) schaadt SEO en performance. Het klassieke patroon is <code>http://example.com → https://example.com → https://www.example.com</code>: twee hops, acceptabel. Meer dan vijf duidt op een misconfiguratie.

Strict-Transport-Security (HSTS)

HSTS zegt tegen browsers: "verbind nooit meer met mij over plain HTTP". <code>max-age=15768000</code> (6 maanden) is het praktische minimum; <code>includeSubDomains; preload</code> opteert in op de globale HSTS preload-lijst. Eenmaal preloaded kunt u zo'n 12 maanden niet meer terug — zet eerst al het overige goed.

Content-Security-Policy (CSP)

CSP whitelist waar scripts, styles, afbeeldingen en frames vandaan mogen laden. <code>default-src 'self'</code> is een verstandige baseline; nonce-based <code>script-src</code> is het sterkst. Pas op met <code>unsafe-inline</code> en <code>unsafe-eval</code> — die ontkrachten de XSS-bescherming van CSP. Gebruik report-uri / report-to voor monitoring.

X-Frame-Options

Stel <code>DENY</code> in om framing volledig te verbieden, of <code>SAMEORIGIN</code> om alleen same-origin frames toe te staan. Het moderne equivalent is <code>frame-ancestors</code> in CSP (rijkere syntax) — beide voldoen aan onze audit.

Referrer-Policy

Bepaalt wat de browser in de <code>Referer</code>-header meestuurt. <code>strict-origin-when-cross-origin</code> (standaard in moderne browsers) is een goede baseline: volledige URL same-origin, enkel origin cross-origin, niets bij downgrade. <code>no-referrer</code> verwijdert referrer volledig; <code>unsafe-url</code> lekt volledige URL's bij downgrade — vermijden.

Permissions-Policy

Opvolger van Feature-Policy. Laat u browser-API's per origin toestaan of weigeren: <code>camera=(), microphone=(), geolocation=(self)</code>. Vooral defense-in-depth; afgedwongen op iframes, dus veiliger gedrag voor ingebedde content.

X-Content-Type-Options: nosniff

Zonder deze header kan een browser een JSON-respons als JavaScript uitvoeren als het "op script lijkt". <code>X-Content-Type-Options: nosniff</code> dwingt af dat het opgegeven Content-Type wordt gerespecteerd. Goedkoop, altijd veilig om aan te zetten — er is geen goede reden om dit weg te laten.