formexposed
Aan de slag

Beveiligingsheaders

Hoe goed beschermt uw site wat bezoekers invoeren?

Een beoordeling van A+ tot F voor de HTTP-headers van uw startpagina: HTTPS en HSTS, Content Security Policy, bescherming tegen framing, cookies en wat de server prijsgeeft. Gratis, geen account, twee verzoeken.

We laden uw startpagina twee keer (https en http), verder niets. Domeinen die zich hebben afgemeld, worden niet gecontroleerd.

Wat we controleren

Start: 100 punten. Ontbrekende bescherming kost punten, extra bescherming levert er een paar op. De beoordeling volgt de punten: A+ vanaf 100 (met HTTPS, HSTS en een strikte CSP), A vanaf 90, B vanaf 75, C vanaf 60, D vanaf 45, daaronder F.

  • HTTPS: de pagina en formulierinvoer worden versleuteld verzonden (-40 zonder).
  • HSTS: browsers vallen nooit terug op onversleuteld http, ook niet bij een getypt adres (-20 zonder, -10 bij minder dan 6 maanden, +5 met preload).
  • Content Security Policy: alleen goedgekeurde scripts worden uitgevoerd - een geïnjecteerd script kan het formulier niet lezen (-25 zonder, -15 bij report-only, -10 met unsafe-inline/eval).
  • Framing: geen vreemde pagina kan de uwe in een frame tonen en klikken onderscheppen (-20 zonder X-Frame-Options of frame-ancestors).
  • nosniff: de browser raadt geen bestandstypen (-5 zonder).
  • Referrer-Policy: adressen met formulierparameters lekken niet naar andere sites (-5 bij onveilig).
  • Cookies: Secure, HttpOnly en SameSite (tot -20).
  • Server en X-Powered-By zonder versies - aanvallers zoeken precies daarnaar (-5).

Vergelijkbaar met Mozilla HTTP Observatory en securityheaders.com; onze weging zet voorop wat formulierinvoer beschermt. Een goede beoordeling betekent niet dat het formulier beschermd is - daarvoor is de formuliercontrole.