Beveiligingsheaders: kleine instellingen die je bezoekers beschermen

Een paar regels in de instellingen van je webserver vertellen de browser van je bezoekers hoe ze zich moeten beschermen. Ze zijn snel ingesteld, maar ontbreken vaak.

Bijgewerkt op 27 oktober 2026 · 2 minuten lezen

Als iemand je website bezoekt, stuurt de webserver naast de pagina ook een aantal onzichtbare regels mee: de headers. Een deel daarvan is bedoeld voor beveiliging. Ze vertellen de browser wat wel en niet mag. Ontbreken ze, dan is de browser van je bezoeker minder goed beschermd.

De belangrijkste beveiligingsheaders

• Strict-Transport-Security (HSTS): de browser gebruikt voortaan altijd de beveiligde versie van je website, ook als iemand http:// intypt of op een oude link klikt.
• Content-Security-Policy (CSP): een lijst van bronnen waar je website scripts, afbeeldingen en andere onderdelen vandaan mag halen. Lukt het een aanvaller toch om kwaadaardige code in een pagina te krijgen, dan weigert de browser die uit te voeren.
• X-Frame-Options of frame-ancestors: voorkomt dat een andere website jouw website onzichtbaar inlaadt om bezoekers ergens op te laten klikken zonder dat ze het doorhebben.
• X-Content-Type-Options: zorgt dat de browser een bestand niet anders gaat uitvoeren dan bedoeld.
• Referrer-Policy: bepaalt hoeveel informatie over de pagina waar een bezoeker vandaan kwam, wordt doorgegeven aan andere websites.

Waarom ontbreken ze zo vaak?

Een website werkt prima zonder deze headers. Je ziet dus niet dat ze ontbreken. Ze moeten bewust worden ingesteld, in de webserver, bij de hostingpartij of met een plug-in. Vooral de Content-Security-Policy vraagt wat zorg, want een te strenge instelling kan onderdelen van je website blokkeren. Een te ruime instelling (bijvoorbeeld met "unsafe-inline") helpt dan weer weinig.

Wat vraag je je websitebouwer?

1. Stel HSTS in met een looptijd van minstens een jaar (max-age=31536000).
2. Zet X-Content-Type-Options op nosniff en bescherm tegen inladen in een andere website met frame-ancestors of X-Frame-Options.
3. Kies een veilige Referrer-Policy, zoals strict-origin-when-cross-origin.
4. Maak een Content-Security-Policy die past bij de website, en test hem eerst in de stand waarin hij alleen rapporteert.

De gratis snelle check op onze homepage laat zien welke van deze headers je website meestuurt. Insighta controleert ze daarna doorlopend, ook na een update of een verhuizing naar een andere hostingpartij, want juist dan verdwijnt zo'n instelling nog weleens.