X-Content-Type-Options

Wat doet hij?

Sommige browsers proberen het bestandstype van een response te 'raden' op basis van de inhoud, ook als de server een ander Content-Type opgeeft. Met X-Content-Type-Options: nosniff wordt de browser gedwongen de opgegeven Content-Type te vertrouwen.

Waarom telt hij mee?

Zonder deze header kan een bestand dat als onschuldige afbeelding of tekstbestand is geüpload, door de browser als HTML of JavaScript geïnterpreteerd worden — een bekende route naar XSS via user-uploads.

Aanbevolen waarde

Veelgemaakte fout

De header simpelweg vergeten, omdat hij geen zichtbaar effect heeft totdat iemand hem misbruikt via een user-upload-endpoint.

Configuratievoorbeelden

Kant-en-klare snippet om X-Content-Type-Options in te stellen, per platform.

add_header X-Content-Type-Options "nosniff" always;