HTTP security headers, één voor één uitgelegd
Elke header die headeraudit.nl controleert, met wat hij doet, waarom hij meetelt en de aanbevolen waarde.
De zwaarst wegende header tegen XSS: bepaalt welke scripts, stijlen en frames een pagina mag laden.
Dwingt de browser om altijd HTTPS te gebruiken voor dit domein, ook als een link of bladwijzer naar http:// wijst.
Eén woord, één functie: zet MIME-sniffing door de browser uit.
Bepaalt of andere sites deze pagina in een <iframe> mogen laden — de kernverdediging tegen clickjacking.
Regelt hoeveel van de eigen URL wordt doorgestuurd naar sites waar vandaan gelinkt wordt.
Schakelt browser-features (camera, microfoon, locatie, USB, …) expliciet uit per pagina.
Isoleert het browsing context van de pagina van vensters die door andere origins geopend zijn.
Bepaalt welke origins deze resource (afbeelding, script, font, …) mogen inladen.
Vereist dat ingesloten cross-origin resources expliciet toestemming geven om ingesloten te worden.
Verouderde header voor een browser-XSS-filter die niet meer bestaat — moderne browsers negeren hem.
Bepaalt welke andere origins deze response via JavaScript mogen uitlezen — verkeerd ingesteld lekt data.