Gidsen voor security headers, stap voor stap
Praktische how-to's voor CSP, HSTS en meer — met configuratievoorbeelden per platform.
Hoe je Set-Cookie configureert met SameSite, Secure en HttpOnly — en waarom een cookie zonder deze vlaggen een makkelijk doelwit is voor CSRF en session hijacking.
CSP GuidesContent-Security-Policy configureren in een Next.js-app op Vercel — via next.config.js headers(), via middleware voor per-request nonces, en de valkuilen die specifiek zijn voor server components en de App Router.
Server SetupHoe je de Server- en X-Powered-By-headers verwijdert of onherkenbaar maakt op nginx, Apache en Express — zodat je serversoftware en versie niet gratis weglekken naar aanvallers.
Security Best PracticesHoe je integrity-attributen toevoegt aan scripts en stylesheets die je van een CDN laadt, zodat een gecompromitteerd bestand daar automatisch geweigerd wordt door de browser.
Security Best PracticesAccess-Control-Allow-Origin correct instellen zonder de kritieke fout van een wildcard-origin gecombineerd met credentials — met voorbeelden voor nginx, Apache en Caddy.
Security Best PracticesCOEP configureren voor volledige cross-origin isolatie samen met COOP — en waarom dit vaak ingesloten derde-partij-widgets stilletjes breekt.
Security Best PracticesCOOP configureren om je pagina te isoleren van vensters die door andere origins zijn geopend — inclusief de valkuil met OAuth-popups en betaalproviders.
Security Best PracticesCORP configureren om te bepalen welke andere origins jouw afbeeldingen, scripts en API-responses mogen inladen — inclusief de valkuil met CDN-subdomeinen.
CSP GuidesStap-voor-stap een Content-Security-Policy header configureren op nginx, Apache en Caddy — met voorbeeldpolicy's en de meest gemaakte fouten.
Server SetupStrict-Transport-Security configureren op nginx — inclusief preload-lijst, subdomains en de meest gemaakte fouten bij HSTS.
Server SetupPermissions-Policy configureren om browser-features als camera, microfoon en geolocatie standaard uit te schakelen — met voorbeelden voor nginx, Apache en Caddy.
Server SetupReferrer-Policy configureren zodat interne paden, zoektermen en tokens niet onnodig meelekken naar externe links — met de aanbevolen waarde en veelgemaakte fouten.
Server SetupIn één regel MIME-sniffing uitzetten met X-Content-Type-Options: nosniff — configuratie voor nginx, Apache en Caddy, met de reden waarom dit iedere site nodig heeft.
Server SetupX-Frame-Options en de moderne frame-ancestors-directive configureren om te voorkomen dat je site onzichtbaar in een iframe wordt geladen — met voorbeelden voor nginx, Apache en Caddy.
Security Best PracticesX-XSS-Protection doet in moderne browsers niets meer en het oude 'aan'-gedrag kan zelfs data lekken — de reden waarom OWASP aanraadt de header expliciet op 0 te zetten.