Inspecteur van beveiligingsheaders FREE
Controleer je HTTP-beveiligingsheaders en ontvang een beoordeling met duidelijke, praktische aanwijzingen over wat je moet verbeteren.
Wat een headerscan aantoont
Dit leest de respons, niet je configuratie
Het cijfer weerspiegelt de headers die dit ene verzoek kreeg, op deze ene URL, via de proxy of CDN die ervoor staat. Een ander pad of een andere route kan andere headers sturen. Advies over HSTS en CSP is bewust behoudend: een lange max-age of een smalle policy kan een site platleggen als je die uitrolt zonder eerst de hele hostnaamboom te controleren.
FAQ
Waarom staat er „Niet ingesteld” en niet „Ontbreekt”?
Kritieke headers melden we als Ontbreekt, aanbevolen headers als Niet ingesteld. Dat onderscheid telt, want de tweede groep is vaak een bewuste keuze en de eerste bijna nooit.
Kan ik gewoon ergens een strenge CSP kopiëren?
Nee. Een Content-Security-Policy die niet past bij hoe je pagina scripts en stijlen echt laadt, breekt de pagina eerder dan dat hij beschermt. Begin in report-only, lees de overtredingen en dwing daarna pas af.
Waarom geldt X-Frame-Options als gedekt terwijl hij ontbreekt?
Omdat de CSP-directive frame-ancestors framing al regelt en browsers die respecteren. De oudere header erbovenop verandert niets, dus de regel wordt goedgekeurd in plaats van gemarkeerd.
Betekent een goed cijfer dat de site veilig is?
Nee. Headers zijn één laag. Ze doen niets aan authenticatie, toegangscontrole, kwetsbaarheden in afhankelijkheden of de applicatielogica zelf.
Basisbeginselen van cyberbeveiliging voor bedrijfswebsites en webapplicaties
De meeste incidenten zijn geen geavanceerde aanvallen. Het zijn oude problemen, verouderde software, hergebruikte wachtwoorden, blootgestelde adminpanelen, die nooit zijn aangepakt. Dit zijn de fundamenten die het merendeel van de problemen voorkomen.
HTTP-beveiligingsheaders: CSP, HSTS, Permissions-Policy en een complete configuratie
HTTP-beveiligingsheaders laten een server regels aan de browser doorgeven voor scripts, frames, apparaatfuncties, referrer-informatie, MIME-typen en HTTPS. Een passende configuratie beperkt de gevolgen van onder meer XSS, clickjacking, MIME confusion, XS-Leaks en ongewenste cross-origin embedding.
Fortify vs Checkmarx One vs Veracode vs Snyk vs GitHub Code Security vs Semgrep: welk enterprise AppSec-platform kies je in 2026?
Een organisatie vraagt vaak om “één security scanner”, maar het echte probleem bestaat uit meerdere lagen:
Hulp nodig bij het verbeteren van je beveiliging?
We helpen je de beste beveiligingspraktijken toe te passen en je webapplicaties te beveiligen.