Je site mist een paar goedkope beveiligingsinstellingen.

Headers zijn regels die je server meestuurt met elke pagina, buiten het zicht van de bezoeker. Een paar daarvan zijn instructies aan de browser over veiligheid. De scan kijkt naar vier.

Strict-Transport-Security zegt dat de browser deze site voortaan alleen nog over https mag benaderen, ook als iemand een http-adres intikt. Zonder deze regel loopt dat allereerste verzoek onversleuteld, en juist dat moment is de kwetsbaarste in de hele verbinding.

X-Frame-Options en de modernere frame-ancestors in een Content-Security-Policy bepalen of anderen jouw site in een onzichtbaar kader op hún pagina mogen zetten. Dat is de basis van clickjacking: de bezoeker denkt dat hij op iets van hen klikt, maar klikt in werkelijkheid op een knop van jou.

X-Content-Type-Options met de waarde nosniff zegt dat de browser het bestandstype moet geloven dat de server opgeeft, in plaats van zelf te gaan raden. Dat raden is een bekende manier om een geüpload bestand alsnog als script uitgevoerd te krijgen.

Dit is de goedkoopste bescherming die er bestaat. Geen extra software, geen abonnement, geen effect op je laadtijd. Bij de meeste hostingpartijen en frameworks is het een paar regels in een instellingenbestand, eenmalig.

Voor een site met een contactformulier, een inlog of een bestelproces is het bovendien geen theorie. Zodra bezoekers gegevens achterlaten, is de vraag of iemand tussen hen en jou kan gaan zitten een praktische vraag. Op een openbaar wifinetwerk is dat gemakkelijker dan mensen denken.

Verwacht er geen wonderen van: deze headers dichten specifieke gaten en vervangen geen goed onderhoud of degelijke code. Maar dat ze ontbreken zegt meestal iets breders, namelijk dat er bij het opleveren niemand naar dit soort dingen gekeken heeft.