FmindAlle beveiligingshandleidingen
Beveiligingshandleiding
Bescherming tegen kwaadaardige scripts (CSP)
Een Content Security Policy vertelt browsers welke scripts en bronnen uw website mag laden. Zonder zo’n beleid kan kwaadaardige code die in uw website is binnengesmokkeld (bijvoorbeeld via een kwetsbare plug-in) vrij draaien in de browsers van uw bezoekers en stelen wat zij intypen.
Wie kan helpen
Uw webontwikkelaar
Eerst bekijken, dan wijzigen
Gebruik deze stappen voor een website of e-maildomein dat u beheert. Vul de tijdelijke aanduidingen in hoofdletters in met uw eigen waarden. Als een stap verwijst naar opgeslagen bewijs, voer dan de gratis controle uit en bevestig uw domein om het privérapport te openen. Gebruik de exacte hostnaam of DNS-querynaam die daar staat.
- Controleer zowel Content-Security-Policy als Content-Security-Policy-Report-Only op de HTTPS-homepage. Maak samen met uw ontwikkelaar een lijst van de scripts, frames, lettertypen en verbindingen die de website nodig heeft voordat u een report-only-beleid opstelt, en kies een rapportageadres dat u goedkeurt.
Huidig afgedwongen beleid: RECORD
Huidig Report-Only-beleid: RECORD
Benodigde bronnen en essentiële gebruikerstrajecten: INVENTORY
Bestemming en bewaartermijn van rapporten: OWNER_APPROVALWat te doen
Dit vraagt zorgvuldigheid, want een te streng beleid kan ervoor zorgen dat uw website niet meer goed werkt. Vraag uw ontwikkelaar de scripts, lettertypen en diensten op te sommen die uw website gebruikt (statistieken, betalingen, chat), en daarna een beleid te testen in de modus “report-only”, die problemen meldt zonder iets te blokkeren. Schakel pas over op afdwingen als uw belangrijkste pagina’s werken, en houd de vorige instelling klaar om terug te zetten.
Hoe u de wijziging controleert
Voer deze controle opnieuw uit: dit onderdeel moet op Goed staan. Test daarna uw belangrijkste pagina’s (contactformulier, afrekenen, reserveren) om zeker te weten dat er niets kapot is gegaan.
Wat deze controle kan vaststellen
We controleren of uw homepage een afgedwongen beleid verstuurt dat scripts beperkt, zonder 'unsafe-inline' of wildcardbronnen. Dat zo’n beleid er is, bewijst niet dat het volledig is of dat uw website niet kan worden aangevallen.