U-07 Geen gevaarlijke DOM-functies met gebruikersinvoer (innerHTML, eval); berichten tussen vensters (postMessage) met controle van de herkomst

Waarom

Alles wat in de browser staat, kan iedereen lezen. Geheimen, tokens en scripts van derden horen daar niet zomaar.

Hoe we het controleren

Methode: scan + analist

• Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
• Keurder: een erkende keurder bekijkt het bewijs of de plekken die de scan aanwijst, en legt het oordeel vast.

Zo los je een bevinding op

Gebruik textContent in plaats van innerHTML, sanitiseer HTML met DOMPurify en controleer event.origin in postMessage-listeners.