E-08 Beveiligingsheaders en configuratie: CSP, HSTS, restrictieve CORS

Waarom

De klassieke lekken: inloggen, rechten, injectie, geheimen en versleuteling. Hier gaat het in de praktijk het vaakst mis.

Hoe we het controleren

Methode: scan

• Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.

Deze check zit in de open-source scanner. Bekijk de code van deze check (aiscan/checks/live.py).

Zo los je een bevinding op

Stel HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy en frame-ancestors in (bv. met helmet) en beperk CORS tot vaste herkomsten.