Terug naar begrippenlijst
Content-Security-Policy (CSP)
Een Content-Security-Policy (CSP) is als een strenge poortwachter voor je website. Het bepaalt precies welke onderdelen wél binnen mogen komen en welke worden geweigerd. Denk aan scripts, afbeeldingen of stylesheets: alleen bronnen die jij expliciet hebt goedgekeurd, worden geladen. Alles van onbekende of onbetrouwbare herkomst wordt direct tegengehouden.
Inhoudsopgave
De digitale bodyguard van je site
Zonder CSP kan een aanvaller bijvoorbeeld via een lek in je site een kwaadaardig script laten uitvoeren. Bezoekers merken daar niets van, maar hun gegevens kunnen wel gestolen worden. CSP fungeert dan als een extra bodyguard: alles wat niet op de whitelist staat, wordt geblokkeerd. Dit maakt CSP een belangrijke bescherming tegen veelvoorkomende aanvallen zoals Cross-Site Scripting (XSS).
Zo stel je de regels op voor je website
Een CSP stel je in via HTTP-headers of meta-tags. Daarmee leg je vast welke domeinen content mogen leveren. Zo kan je bijvoorbeeld vastleggen dat alleen scripts van je eigen domein en Google Analytics content mogen aanleveren..
Dat klinkt technisch, maar het principe is eenvoudig: je bepaalt wie wel en wie niet aan tafel zit. Alles wat buiten de lijst valt, komt er niet in.
Zonder CSP speel je met vuur
Voor ontwikkelaars is CSP een must-have, maar ook marketeers en site-eigenaren hebben er baat bij. Een gehackte site schaadt je imago, jaagt bezoekers weg en kan je SEO-positie flink beschadigen. Met een goed ingerichte CSP verklein je dat risico aanzienlijk. Het maakt je website betrouwbaarder en geeft gebruikers meer vertrouwen.
De keerzijde van te strenge regels
CSP is krachtig, maar niet onfeilbaar. Een slecht geconfigureerde policy kan functies op je site breken of juist onbedoeld ruimte laten voor aanvallen. Het vraagt dus om een zorgvuldige implementatie en regelmatig onderhoud. Zie het als een slot op je deur: alleen effectief als je het goed installeert én blijft gebruiken.
Veelgestelde vragen
CSP is een beveiligingsmaatregel waarmee je bepaalt welke bronnen je website mag laden. Het blokkeert alle content die van niet-vertrouwde plekken komt.
Nee, ook marketeers en ondernemers hebben er belang bij. Een veilige website vergroot het vertrouwen van bezoekers en beschermt je merk tegen reputatieschade.
Vooral Cross-Site Scripting (XSS), waarbij aanvallers schadelijke scripts in je site proberen te injecteren. CSP blokkeert die scripts als ze niet op de whitelist staan.
Ja, als je te streng instelt kan het legitieme scripts blokkeren. Daarom is het slim om eerst in “report only”-modus te testen voordat je het beleid afdwingt.
Thijn de Haas Lead developer
Gerelateerde begrippen
- Caching
- ChatGPT
- Cloud computing
- Data governance
- Datalek
- Datamigratie
- Drag-and-drop builder
- DRY
- Factory pattern
- First party data
- Functioneel ontwerp
- Git
- If-statements
- JavaScript libraries
- Lean
- Pull request
- Real-Time Bidding
- Software as a Service
- Sprint
- Strategy pattern
- Transport Layer Security
- User Acceptance Testing
- VS Code
- XML
