Beveiliging afstemmen op een gehost platform
Op een gehost platform (een websitebouwer of een gehoste webshop) bepaalt het platform wat je kunt instellen. Sommige headers kun je via de eigen opties zetten, andere zijn van het platform en niet door jou te wijzigen. Wat kan, hangt af van je abonnement; kijk dus na wat jouw abonnement toelaat.
Response-headers (CSP, HSTS, X-Frame-Options)
Via het custom-code- of head-blok kun je vaak een Content-Security-Policy als meta-tag toevoegen, wat een deel afdekt van wat een CSP-header doet. Echte response-headers zoals HSTS en X-Frame-Options zijn dat niet: die kun je niet als meta-tag zetten. Voor volledige controle heb je dan het hoogste abonnement van het platform nodig, of een reverse proxy (bijvoorbeeld Cloudflare) ervoor, voor zover de domeininstelling dat toelaat.
In de pagina (trackers na toestemming)
Trackers die pas na toestemming mogen laden, regel je in het embed- of custom-code-blok waar het script staat. De gebruikelijke route is een tagmanager die op de toestemming wacht, zodat analytics en advertenties pas na een antwoord laden.
De verbinding (HTTPS en het certificaat)
Op een gehost platform regelt het platform zelf HTTPS en het certificaat, en dat doet het meestal goed. Een melding hier is daarom eerder een misconfiguratie om bij het platform aan te kaarten dan iets wat je zelf zet.
DNS-records (SPF, DMARC, DNSSEC, IPv6)
Deze staan los van je site: het zijn records bij je domein. Je zet ze bij je DNS-provider of domeinregistrar, niet in je CMS of op je host. SPF en DMARC gaan over wie mail namens je domein mag sturen, DNSSEC ondertekent je DNS, en IPv6 is de enige waarvoor je host eerst IPv6 moet ondersteunen voordat je het AAAA-record kunt zetten.