HTTP-headers van een URL

Wat NetCheck toont

NetCheck stuurt vanaf zijn eigen servers een verzoek naar het opgegeven adres, volgt de doorverwijzingen één voor één en toont voor het uiteindelijke antwoord:

• de statuscode en het aantal gevolgde doorverwijzingen;
• de opgegeven server en de reactietijd;
• een overzicht van aanwezige of ontbrekende beveiligingsheaders;
• de volledige lijst met headers, voor een grondige analyse.

Statuscodes die u moet kennen

De beveiligingsheaders

• Strict-Transport-Security (HSTS) dwingt de browser om voor het domein een tijd lang alleen HTTPS te gebruiken, wat aanvallen verijdelt die terug willen naar HTTP. Gebruikelijke waarde: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) somt de toegestane bronnen op voor scripts, stijlen, afbeeldingen en frames. Het is de beste verdediging tegen scriptinjectie (XSS), en het lastigst af te stellen: een te strenge policy maakt de site stuk.
• X-Frame-Options, of de CSP-richtlijn frame-ancestors, voorkomt dat de pagina in een frame op een andere site wordt ingesloten, wat clickjacking blokkeert.
• X-Content-Type-Options: nosniff verbiedt de browser het type van een bestand te raden, een klassieke manier om kwaadaardige inhoud te laten uitvoeren.
• Referrer-Policy beperkt hoeveel van haar adres de pagina doorgeeft aan de sites waarnaar ze linkt.
• Permissions-Policy schakelt gevoelige functies uit die de site niet nodig heeft: camera, microfoon, locatie.

Een ontbrekende header is op zich geen lek, maar elke header sluit voor bijna niets een hele categorie aanvallen uit.

Doorverwijzingen en SEO

Elke doorverwijzing kost een extra netwerkrondreis en verzwakt het signaal naar zoekmachines een beetje. Streef naar hoogstens één doorverwijzing tussen het ingetypte adres en de eindpagina. Een typische keten om te corrigeren: http://voorbeeld.nl, dan https://voorbeeld.nl, dan https://www.voorbeeld.nl, dan https://www.voorbeeld.nl/home. Verwijs het eerste adres beter direct door naar het laatste.

Caching

• Cache-Control bepaalt wie het antwoord mag bewaren en hoe lang. no-store verbiedt elke opslag, max-age=3600 staat een uur toe.
• ETag en Last-Modified laten de browser de pagina alleen opnieuw opvragen als ze veranderd is, wat een zeer lichte 304-respons oplevert.
• Age, toegevoegd door CDN's, geeft aan hoeveel seconden het antwoord al in de cache staat.

Veelgestelde vragen

Waarom wijkt het resultaat af van wat ik in mijn browser zie?

Het verzoek komt van de servers van NetCheck, niet van uw computer. Een site kan anders antwoorden afhankelijk van land, taal, cookies of type client, en sommige firewalls blokkeren geautomatiseerde verzoeken met een 403. Het resultaat blijft representatief voor wat een bot ziet, bijvoorbeeld een zoekmachine.

Is de header „Server” een risico?

Hij verraadt de gebruikte software, soms de versie, wat een aanvaller helpt om bekende lekken te zoeken. De versie verbergen is een goede gewoonte, maar geen bescherming op zich: de server bijgewerkt houden telt veel zwaarder.

Is een 301 of een 302 nodig om over te stappen op HTTPS?

Een 301 (of 308), omdat de wijziging definitief is. Voeg daarna de HSTS-header toe, zodat de browser de HTTP-versie niet eens meer probeert.

Mijn site geeft 200, maar de pagina is leeg of toont een fout: wat is er aan de hand?

Sommige applicaties tonen een foutpagina en geven toch code 200 terug. Zoekmachines noemen dat een „soft 404” en negeren zulke pagina's uiteindelijk. Een niet-bestaande pagina moet een echte 404 teruggeven.