Techniek: wat de server zegt HTTP · Security

Statuscode, doorverwijzingen, headers en beveiliging. Wat de browser normaal verbergt, staat hier in één oogopslag, met kant-en-klare Apache-code voor de security-headers.

1Wat is het?

Het onderdeel Techniek toont de HTTP-status, de doorverwijsketen, belangrijke antwoordheaders (Content-Type, cache, X-Robots-Tag), serversoftware, IPv4 en IPv6, certificaat en de security-headers met een cijfer van A tot F.

2Waarom belangrijk?

Een keten van drie doorverwijzingen kost tijd en ranking. Een X-Robots-Tag: noindex in de header is onzichtbaar in de HTML en haalt de pagina toch uit de zoekresultaten. Ontbrekende security-headers maken de pagina kwetsbaar.

3Wat TagSpion controleert

4Zo los je het op

• Laat doorverwijzingen rechtstreeks naar het doel wijzen, niet via tussenstations.
• Zet security-headers in de .htaccess of de vHost. Het kant-en-klare blok vind je via „Fix”.
• Test CSP eerst in report-only-modus, anders blokkeert ze je eigen scripts.

# .htaccess or vHost - security headers (grade A)
<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  # Test CSP first with Content-Security-Policy-Report-Only
  Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data:; style-src 'self'; script-src 'self'"
</IfModule>