Gratis check, direct op het scherm
Security headers check: wat vertelt uw webserver de browser?
Zes regels in het antwoord van uw webserver bepalen wat een browser met uw pagina mag doen. Deze check haalt uw homepage op (doorverwijzingen binnen uw eigen domein volgen we, maximaal drie) en leest die headers af: HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy en Permissions-Policy, plus wat de server over zichzelf prijsgeeft.
Wat de check doet
- Welke van de zes beveiligingsheaders aanwezig zijn en of de waarde deugt (max-age van HSTS, unsafe-inline in CSP, nosniff).
- Of de server zijn product en versienummer noemt, en of cookies op de homepage de vlaggen Secure, HttpOnly en SameSite dragen.
- Of de homepage doorverwijst, en waarheen; een doorverwijzing naar http of naar een ander domein wordt niet gevolgd.
Wat deze check niet doet
- Geen letter zoals securityheaders.com; wel per header wat er staat en wat de norm zegt.
- Alleen de homepage; headers van inlogpagina's, API's of subdomeinen niet.
- Een foutpagina van een firewall of CDN wordt niet als uw homepage beoordeeld; de uitslag zegt dat dan.
Waarom alleen uw eigen domein
De check werkt op het hoofddomein achter uw zakelijke e-mailadres. Dat is een drempel tegen het nakijken van andermans domein, in lijn met ons gebruiksbeleid dat u alleen domeinen controleert waarvan u eigenaar of geautoriseerde beheerder bent. De controle leest alleen: DNS opvragen, enkele verbindingen, één pagina ophalen, wat een mailserver of browser ook ziet.
Wat de uitslag betekent
Beveiligingsheaders zijn instructies van uw server aan de browser: verbind bij elk volgend bezoek alleen via HTTPS (HSTS), laad scripts alleen van deze bronnen (Content-Security-Policy), toon deze pagina niet in een frame op een andere site (X-Frame-Options), bepaal zelf hoeveel van uw URL's naar derden gaat (Referrer-Policy). Het zijn instellingen op uw webserver, al vraagt een werkende Content-Security-Policy wel werk, en ze maken een hele klasse aanvallen een stuk moeilijker, van cross-site scripting tot clickjacking.
Een ontbrekende header is zelden op zichzelf een lek. Het is een verdedigingslaag die ontbreekt. Daarom telt de check HSTS en Content-Security-Policy als niet in orde en de overige vier als aandachtspunt. Een versienummer in de Server-header geeft een aanvaller een gericht zoekwoord: die zoekt dan naar bekende kwetsbaarheden van precies die versie.
Headers zijn één onderdeel van wat er van buitenaf zichtbaar is. Het hele plaatje, van DNS tot open poorten, staat in wat ziet een aanvaller van uw domein.
Dit is één momentopname
Een record dat vandaag klopt, sneuvelt bij de volgende DNS-migratie; een certificaat verloopt stil. De gratis securityscan kijkt breder naar wat er van uw domein aan internet hangt, en in de kennisbank leest u wat een gratis check wél en niet laat zien.
Ook controleren: mailrecords (SPF, DKIM, DMARC) · certificaat en TLS