Elke beveiligingsheader krijgt een geslaagd, een waarschuwing of een mislukt, met de exacte regel om toe te voegen. Controleer de headers die je website verstuurt, of plak headers die je al hebt, en zie hoe goed je site beschermd is. Het is gratis en heeft geen account nodig.
Hoe je je headers controleert
- Voer op het tabblad Een URL controleren je site in bij Webadres en druk op Headers controleren.
- Of open het tabblad Headers plakken, plak de Responseheaders en druk op Deze headers beoordelen.
- Lees het cijfer en loop dan elke regel langs. Elk probleem komt met de regel die je moet toevoegen.
Wat er wordt verstuurd
Browsers kunnen de headers van een andere site niet lezen, dus als je Een URL controleren gebruikt, wordt het adres dat je invoert door de server van Snowkit opgehaald. Hij volgt tot 5 redirects, geeft na 8 seconden op, weigert privé- en lokale netwerkadressen en slaat niet op wat je controleert. Geplakte headers worden in je browser beoordeeld en nergens naartoe gestuurd.
De headers die het meest tellen
Strict-Transport-Security laat browsers je site elke keer via HTTPS gebruiken. Content-Security-Policy somt op waar scripts, stijlen en frames vandaan mogen komen, zodat geïnjecteerde code moeilijk kan draaien. X-Frame-Options of CSP frame-ancestors voorkomt dat andere sites de jouwe in een verborgen frame laden. X-Content-Type-Options: nosniff voorkomt dat browsers bestandstypen raden en Referrer-Policy en Permissions-Policy beperken wat naar andere sites lekt en welke browserfuncties pagina's kunnen gebruiken.
Hoe het cijfer werkt
Elke controle begint als geslaagd. HTTPS, HSTS en CSP tellen het zwaarst; framebescherming, nosniff en cookievlaggen tellen daarna; referrer- en permissiebeleid en versienummers in headers tellen het lichtst. Een waarschuwing kost half zoveel als een mislukking. Het cijfer is een snelle samenvatting, dus lees elke regel: een strikte CSP met een korte HSTS-tijd kan nog steeds een heel goed beschermde site zijn.
Waar je headers instelt
Voeg ze op Cloudflare Pages en Netlify toe aan een _headers-bestand. Gebruik op Vercel het headers-gedeelte van vercel.json. Gebruik bij nginx add_header, bij Apache Header always set en in Node-frameworks werkt een kleine middleware. Zet ze op elke HTML-respons, niet alleen op de startpagina.
Tips
- Voeg één header tegelijk toe en test je site na elke, want een strikte Content-Security-Policy kan dingen blokkeren die werkten.
- Begin met de makkelijke winst: nosniff, een referrerbeleid en framebescherming.
- Controleer opnieuw nadat je je hosting wijzigt of een nieuwe dienst toevoegt.
- Bekijk ook de DNS- en e-mailinstelling, met de DNS-lookup.
Wie gebruikt het
Website-eigenaren en kleine ondernemers, freelancers die een site overdragen en ontwikkelaars die de beveiliging voor een lancering beoordelen. Zie de cURL-converter om een verzoek om te zetten in code.
Vragen
Betekent een goed cijfer dat mijn site veilig is?
Nee. Headers zijn één beschermingslaag. Ze vervangen geen updates, sterke wachtwoorden of zorgvuldige code.
Waarom kan ik een lokaal adres niet controleren?
Privé- en lokale netwerkadressen worden geweigerd. Plak in plaats daarvan de headers om ze in je browser te beoordelen.
Slaat het mijn siteadres op?
Nee. Wat je controleert wordt niet opgeslagen.