X-XSS-Protection

Wat doet hij?

X-XSS-Protection schakelde vroeger een ingebouwde reflected-XSS-detectie in oudere browsers (IE, oude Chrome/Safari) in of uit. Chrome en Edge hebben die detectie inmiddels volledig verwijderd; Firefox heeft hem nooit gehad. De header doet in moderne browsers dus letterlijk niets meer.

Waarom telt hij mee?

Niet alleen is de header nutteloos geworden, de oude XSS-auditor die hij aanzette bleek zelf misbruikt te kunnen worden om via timing- en side-channel-technieken data uit de pagina te lekken. Om die reden raden OWASP en Mozilla nu aan de header expliciet op 0 te zetten (of helemaal weg te laten) in plaats van een 'aan'-waarde te laten staan.

Aanbevolen waarde

Veelgemaakte fout

Een oude '1; mode=block' waarde laten staan omdat een tutorial uit 2016 dat aanraadt — dat activeert juist het risicovolle gedrag in de browsers die de header nog wel lezen.

Configuratievoorbeelden

Kant-en-klare snippet om X-XSS-Protection in te stellen, per platform.

add_header X-XSS-Protection "0" always;