1. Inleiding

In de moderne digitale wereld is de veiligheid van webapplicaties cruciaal, ook voor lokale besturen die gevoelige informatie verwerken en diensten aan hun gemeenschap leveren. HTTP Security Headers spelen een belangrijke rol bij het versterken van de beveiliging van webapplicaties omdat ze extra beveiligingsmaatregelen toevoegen aan HTTP-responses. Deze headers helpen bij het beschermen van webapplicaties tegen verschillende aanvallen en kwetsbaarheden. 

Via dit kennisartikel willen we een overzicht geven van de HTTP Security Headers die we lokale besturen aanbevelen te implementeren. Gezien de technische aard van dit artikel, zal dit voornamelijk nuttige informatie bieden voor onder andere domeinbeheerders en web ontwikkelaars.  

2. Wat zijn HTTP Security Headers? 

HTTP Security Headers zijn kleine stukjes informatie die door een webserver worden meegegeven als reactie op een HTTP-verzoek. Ze bevatten instructies voor de browser over hoe met de ontvangen webpagina om te gaan en welke beveiligingsmaatregelen toe te passen. Deze headers zijn van cruciaal belang om beveiligingsrisico’s te minimaliseren en te beschermen tegen aanvallen zoals Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), en andere potentiële bedreigingen.  

3. Hulpmiddelen 

Voor het implementeren en testen van HTTP Security Headers kunnen verschillende hulpmiddelen worden gebruikt. Enkele suggesties zijn: 

• Security Headers: dit is een online tool voor het analyseren van de HTTP Security Headers van een website. 

• Mozilla Observatory: dit is een web gebaseerde scanner voor veiligheidsconfiguraties.  

4. De drie belangrijkste HTTP Security Headers voor lokale besturen

4.1. Content Security Policy (CSP)

Content Security Policy bepaalt welke bronnen mogen worden geladen op een webpagina. Dit voorkomt onder andere XSS-aanvallen door te beperken welke scripts en bronnen mogen worden uitgevoerd en geladen. 

Een sterke Content-Security-Policy maakt volgende HTTP Headers overbodig: 

• X-XSS-Protection dmv het unsafe-inline attribuut. 

• X-Frame-Options dmv het frame-ancestors attribuut.

CSP Attributen 

De tabel hieronder biedt een overzicht van de belangrijkste CSP attributen, die elk een specifieke rol spelen in het beveiligen van uw webapplicatie tegen verschillende soorten aanvallen. 

Hulpmiddelen  

Een aantal tools bieden de mogelijkheid om CSP headers te genereren, bijvoorbeeld:  

• Report URI: Generate your Content Security Policy 

• CSP Evaluator  

4.2. HTTP Strict Transport Security (HSTS)

HTTP Strict Transport Security zorgt ervoor dat de communicatie tussen de browser en de server plaatsvindt over een beveiligde HTTPS-verbinding. Dit minimaliseert het risico van man-in-the-middle-aanvallen. 

Voorbeeld  

strict-transport-security: max-age=63113904 ; includeSubDomains 

Hulpmiddelen  

• HTTP Strict Transport Security - OWASP Cheat Sheet Series  

4.3. X-Frame-Options 

De X-Frame-Options header voorkomt dat een webpagina wordt ingesloten binnen een iframe. Dit is essentieel om te voorkomen dat kwaadwillende websites uw inhoud insluiten, wat kan leiden tot clickjacking-aanvallen. De CSP frame-ancestors richtlijn is een geavanceerder en flexibeler alternatief voor de X-Frame-Options header en geniet de voorkeur vanwege zijn uitgebreidere capaciteiten. Wanneer beide headers aanwezig zijn, geven moderne browsers voorrang aan de CSP frame-ancestors richtlijn. 

Het is aanbevolen om de CSP frame-ancestors richtlijn te hanteren in plaats van de X-Frame-Options header voor een fijnmazigere controle. Als u echter besluit om X-Frame-Options te gebruiken, stel het dan in op de waarde "DENY" voor maximale beveiliging. 

5. Additionele HTTP Security Headers 

1. Permanente HTTPS Redirect: Gebruik een permanente redirect (HTTP status code 301) van HTTP naar HTTPS om Man-in-the-middle aanvallen te voorkomen. 

2. HTTP Public Key Pinning (HPKP): Aanbevolen om niet meer te gebruiken vanwege belangrijke risico's en beperkingen. 

3. X-Content-Type-Options: Voorkomt dat de browser bestanden interpreteert als een ander MIME-type dan gespecificeerd, met het 'nosniff' attribuut. 

4. Permissions-Policy: Beperkt de functionaliteiten van browsers voor bepaalde webpagina's, zoals toegang tot de webcam, microfoon, locatieservices. 

5. Referrer-Policy: Bepaalt welke referrer-informatie meegestuurd moet worden bij navigatie naar een andere website, ter bescherming van privacy en gevoelige gegevens. 

6. Cross-origin Resource Sharing (CORS): Stelt webbrowsers in staat om veilige en gecontroleerde integraties tussen verschillende webdomeinen mogelijk te maken.  
   CORS kan gezien worden als een uitbreiding op het gebruik van Referrer-Policy: same-origin om alsnog op een gecontroleerde manier communicatie met andere domeinen mogelijk te maken. 

7. Subresource Integrity (SRI): Stelt browsers in staat om te controleren of opgehaalde resources, zoals scripts of stylesheets, niet zijn aangepast. 

8. Cookie Header: Helpt bij het beveiligen van cookies die worden gebruikt voor het opslaan van gebruikersdata op websites. Belangrijke opties zijn: 

• Secure: Zorgt ervoor dat cookies alleen over HTTPS verzonden worden. 

• HttpOnly: Voorkomt toegang tot cookies via JavaScript, wat beschermt tegen cross-site scripting (XSS) aanvallen. 

• SameSite: Beperkt hoe cookies worden verzonden bij cross-site requests om te beschermen tegen cross-site request forgery (CSRF) aanvallen. Heeft opties Strict, Lax, en None. 

• Max-Age en Expires: Bepaalt hoe lang een cookie geldig blijft. 

6. Conclusie 

Het implementeren van deze HTTP Security Headers versterkt de beveiliging van lokale besturen tegen diverse webgebaseerde aanvallen. Het is van cruciaal belang om regelmatig de configuratie te controleren en bij te werken om de veiligheid te waarborgen in een steeds veranderend bedreigingslandschap.