Controles / Links, canonical en snelheid

Beveiligingsheaders ontbreken

Content-Security-Policy, X-Content-Type-Options, X-Frame-Options en Referrer-Policy beschermen bezoekers tegen geïnjecteerde scripts, clickjacking en lekkende URL's.

security_headers_missing · Links, canonical en snelheid · Opmerking

Wat haar activeert

Het antwoord van je startpagina mist minstens een van Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (telt niet mee als de Content-Security-Policy frame-ancestors heeft) en Referrer-Policy.

Wat je moet aanpassen

Voeg de headers uit het fixvak toe aan de configuratie van je server of CDN.

Voorbeeld

Responsheaders om op je server of CDN toe te voegen:

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: frame-ancestors 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Zo bevestig je de oplossing

1. Voer curl -I https://example.com/ uit en controleer dat elke header in het antwoord staat
2. Start een nieuwe crawl

Hoe vaak het voorkomt

We hebben niet gemeten hoe vaak dit voorkomt in een steekproef van sites. Cijfers verschijnen hier zodra een studie het dekt.

Over deze controle

Instellingen per platform

Waar de instelling staat op een paar platforms, volgens de eigen helppagina van elk platform, gelezen op 26 oktober 2026. Op elke andere server pas je het correctiekader hierboven toe.

Cloudflare

In Cloudflare: Rules Overview → Create rule → Response Header Transform Rule → Set static. (helppagina van Cloudflare)

Netlify

Netlify: zet dit in _headers. (helppagina van Netlify)

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  Content-Security-Policy: frame-ancestors 'self'
  X-Content-Type-Options: nosniff
  X-Frame-Options: SAMEORIGIN
  Referrer-Policy: strict-origin-when-cross-origin
  Permissions-Policy: camera=(), microphone=(), geolocation=()

Vercel

Vercel: zet dit in vercel.json. (helppagina van Vercel)

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        {
          "key": "Strict-Transport-Security",
          "value": "max-age=31536000; includeSubDomains"
        },
        {
          "key": "Content-Security-Policy",
          "value": "frame-ancestors 'self'"
        },
        {
          "key": "X-Content-Type-Options",
          "value": "nosniff"
        },
        {
          "key": "X-Frame-Options",
          "value": "SAMEORIGIN"
        },
        {
          "key": "Referrer-Policy",
          "value": "strict-origin-when-cross-origin"
        },
        {
          "key": "Permissions-Policy",
          "value": "camera=(), microphone=(), geolocation=()"
        }
      ]
    }
  ]
}

Verwante controles

• Openbare pagina kan niet worden gecachet
• Renderblokkerende scripts en stijlen
• De serverversie is openbaar
• Sitemap heeft geen bruikbare wijzigingsdatums

Hoe een audit werkt: methode