--- title: "Security headers: wat ze doen en hoe je ze instelt" description: "Security headers zijn HTTP-headers waarmee je website de browser vertelt welke beveiligingsregels hij moet volgen." canonical: https://www.keurigonline.nl/begrippenlijst/security-headers last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # Security Headers Security headers zijn HTTP-headers waarmee je website de browser vertelt welke beveiligingsregels hij moet volgen. Security headers zijn extra regels in het HTTP-antwoord van je webserver die de browser vertellen hoe hij je website veilig moet tonen. Bezoekers zien er niets van, maar de headers beschermen wel tegen aanvallen als clickjacking en cross-site scripting (XSS). De bekendste headers hebben elk een eigen taak. Strict-Transport-Security (HSTS) dwingt HTTPS af, en Content-Security-Policy (CSP) bepaalt van welke bronnen scripts en afbeeldingen mogen laden. X-Frame-Options voorkomt dat een andere site je pagina in een frame toont, en X-Content-Type-Options laat de browser niet raden naar bestandstypen. Referrer-Policy beperkt welke adresgegevens je meestuurt naar andere sites. Niet elke oude header is nog nuttig: OWASP raadt X-XSS-Protection af, omdat die juist nieuwe lekken kan veroorzaken. Je stelt headers in via je webserver, een .htaccess-bestand of een plugin. Op je hosting is de .htaccess van je website de gewone plek. Voor HSTS zet je daar bovenin bijvoorbeeld de regel Header set Strict-Transport-Security "max-age=31536000" env=HTTPS. Daarmee gebruikt de browser een jaar lang alleen HTTPS voor je site, want dat jaar staat er in seconden: 31.536.000. Zorg wel eerst dat je hele site goed over HTTPS werkt, want een browser die de header eenmaal heeft ontvangen, maakt geen gewone HTTP-verbinding meer. Voeg je includeSubDomains toe, dan geldt dat ook voor al je subdomeinen. Met de gratis websitetest van Internet.nl controleer je daarna of alles goed staat. ## Geschiedenis Security headers ontstonden toen browsers nieuwe aanvallen moesten afweren. Mozilla bouwde de eerste versie van Content Security Policy in Firefox 4, dat in 2011 verscheen. Daarna legden de IETF en het W3C de belangrijkste headers vast als standaard. Belangrijke mijlpalen: - **2011:** Firefox 4 ondersteunt een eerste versie van CSP ([Mozilla](https://blog.mozilla.org/security/2013/06/11/content-security-policy-1-0-lands-in-firefox/)) - **2012:** [RFC 6797](https://datatracker.ietf.org/doc/html/rfc6797) standaardiseert HSTS - **2013:** [RFC 7034](https://datatracker.ietf.org/doc/html/rfc7034) beschrijft X-Frame-Options - **2016:** [CSP Level 2](https://www.w3.org/TR/CSP2/) wordt een W3C-aanbeveling (15 december) ## Bronnen 1. **MDN Web Docs** - [Strict-Transport-Security](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security) 2. **MDN Web Docs** - [Content Security Policy (CSP)](https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP) 3. **OWASP** - [HTTP Security Response Headers Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/HTTP_Headers_Cheat_Sheet.html) 4. **IETF (2012)** - [RFC 6797: HTTP Strict Transport Security (HSTS)](https://datatracker.ietf.org/doc/html/rfc6797) 5. **Internet.nl** - [Beveiligingsopties](https://internet.nl/faqs/appsecpriv/) ## Gerelateerde artikelen Beveiliging 29 jun 2026 [Website beveiligen tegen AI-phishing: stappenplan voor 2026](https://www.keurigonline.nl/blog/website-beveiliging-phishing-ai) Een Web Application Firewall (WAF) filtert kwaadaardig verkeer voordat het je applicatie bereikt. Voor WordPress: Wordfence of Cloudflare (gratis tier volstaat voor de meeste MKB-sites). Concrete instellingen: rate-limiting op `/wp-login.php` (maximaal 10 verzoeken per minuut per IP) en blokkeer `/xmlrpc.php` voor niet-API-clients. WAF biedt ook *virtual patching*: een kwetsbare plugin is al beveiligd op firewallniveau, nog voor de update uitkomt. ### Content Security Policy: stop XSS aan de bron Een Content Security Policy (CSP) vertelt de browser welke scripts en bronnen geladen mogen worden. Begin met de header `Content-Security-Policy-Report-Only` om schendingen te loggen zonder de site te breken. Scherp daarna geleidelijk aan. Aanvullende security headers voor HSTS, X-Frame-Options en Referrer-Policy voeg je toe via `.htaccess`. Kant-en-klare snippets vind je in ons overzicht van [20 .htaccess code snippets](https://www.keurigonline.nl/blog/20-htaccess-code-snippets-voor-snellere-websites). ### WordPress-specifieke maatregelen WordPress drijft 43% van het internet en ontvangt daardoor 90.000 geautomatiseerde aanvallen per minuut. Drie directe acties: verberg de standaard wp-admin-URL, schakel XML-RPC uit voor niet-API-clients, en installeer alleen plugins uit de officiële WordPress.org-repository. Combineer dit met een actueel beveiligingsbeleid voor snelheid en beveiliging, zoals beschreven in ons artikel over [WordPress sneller maken in 2026](https://www.keurigonline.nl/blog/wordpress-sneller-maken). Beveiliging 10 jan 2026 [ WordPress beveiligen: 12 praktische tips \[2026 gids\] ](https://www.keurigonline.nl/blog/wordpress-beveiligen) 1. **File permissions** — 644 voor files, 755 voor mappen, 600 voor wp-config.php 2. **Database beveiliging** — sterk wachtwoord, custom prefix (niet wp\_) 3. **Security headers** — HSTS, X-Frame-Options, CSP via .htaccess 4. **Cloudflare CDN** — gratis DDoS-bescherming en WAF Elk jaar worden miljoenen websites gehackt. De gemiddelde schade bedraagt €3.86 miljoen per datalek volgens IBM's Cost of a Data Breach Report 2023. Het gaat niet alleen om financiële schade. Een gehackte website betekent ook verlies van klantvertrouwen en SEO-penalties van Google. In sommige gevallen volgen zelfs juridische consequenties onder de AVG en GDPR. Hosting 9 dec 2025 [20 .htaccess code snippets voor snellere websites](https://www.keurigonline.nl/blog/20-htaccess-code-snippets-voor-snellere-websites) - **max-age=31536000**: HSTS geldig voor 1 jaar (in seconden) - `includeSubDomains`: HSTS geldt ook voor subdomeinen ### 4. Security headers tegen XSS en clickjacking Voeg beveiligingsheaders toe die beschermen tegen cross-site scripting (XSS), clickjacking en MIME-type sniffing aanvallen.