Wat is Content Security Policy (CSP)?

Content Security Policy is een HTTP-responseheader die de browser vertelt welke bronnen mogen worden geladen op een webpagina. Het voorkomt cross-site scripting (XSS), clickjacking en andere code-injectieaanvallen door de bronnen van scripts, styles, afbeeldingen en andere bronnen te beperken. Zonder CSP laadt de browser elke bron waarnaar in de pagina wordt verwezen, inclusief kwaadaardige scripts die door aanvallers zijn geïnjecteerd.

Wat is het verschil tussen report-only en enforce-modus?

Content-Security-Policy-Report-Only stuurt overtredingsrapporten zonder bronnen te blokkeren, waardoor het veilig is voor testing. Content-Security-Policy handhaaft de policy en blokkeert overtredingen. Begin altijd met report-only-modus om alle legitieme bronnen die je pagina nodig heeft te identificeren voordat je overschakelt naar handhavingsmodus.

Vervangt CSP invoervalidatie?

Nee. CSP is een defense-in-depth-laag, geen vervanging voor invoervalidatie en uitvoercodering. Je moet nog steeds alle gebruikersinvoer sanitizen, uitvoer escapen en veilige codeerpraktijken volgen. CSP biedt een extra veiligheidsnet dat de schade beperkt als er een XSS-kwetsbaarheid wordt ontdekt, maar het moet niet je enige verdedigingslinie zijn.

Hoe test ik mijn CSP voordat ik deze handhaaf?

Gebruik Content-Security-Policy-Report-Only om je policy te testen zonder je site te breken. Configureer een report-uri-endpoint om overtredingsrapporten te verzamelen. Monitor de rapporten gedurende een voldoende lange periode (dagen of weken) om alle legitieme bronnen te identificeren. Los eventuele overtredingen op door de benodigde bronnen aan je policy toe te voegen. Zodra er geen legitieme overtredingen meer verschijnen, schakel je over naar de handhaving-header.

Kan CSP mijn website breken?

Ja, een verkeerd geconfigureerde CSP kan legitieme bronnen blokkeren, wat leidt tot kapotte functionaliteit, ontbrekende afbeeldingen, mislukte API-aanroepen en niet-werkende scripts. Daarom moet je altijd eerst testen met report-only-modus en je policy geleidelijk aanscherpen. Het gebruik van 'unsafe-inline' of 'unsafe-eval' verzwakt de bescherming, maar kan nodig zijn voor legacy-applicaties.

Content Security Policy (CSP)-gids: Bescherm je website

Cross-site scripting (XSS) blijft een van de meest voorkomende kwetsbaarheden op het web en staat consequent in de OWASP Top 10. Ondanks decennia van bewustwording blijven XSS-aanvallen websites compromitteren omdat traditionele verdedigingen zoals invoervalidatie en uitvoercodering niet waterdicht zijn. Content Security Policy (CSP) biedt een krachtige extra verdedigingslaag door browsers precies te vertellen welke bronnen mogen worden geladen en uitgevoerd op je pagina's. Bij correcte configuratie kan CSP XSS-aanvallen volledig neutraliseren door de uitvoering van ongeautoriseerde scripts te voorkomen. Deze gids behandelt alles wat je moet weten over CSP, van het begrijpen van de richtlijnen tot het opbouwen en uitrollen van een policy die klaar is voor productie.

Wat is Content Security Policy?

Content Security Policy is een HTTP-responseheader (of meta-tag) waarmee websitebeheerders goedgekeurde bronnen van inhoud kunnen declareren die de browser mag laden. Het werkt als een whitelist: elke bron die niet expliciet door de policy is toegestaan, wordt geblokkeerd. Dit mechanisme voorkomt dat aanvallers kwaadaardige scripts, styles of andere bronnen in je pagina's injecteren, zelfs als ze een manier vinden om HTML in je applicatie in te voegen.