Content Security Policy (CSP)

Content Security Policy (CSP) is een beveiligingslaag die je als website-eigenaar instelt via HTTP-headers. Het mechanisme bepaalt welke bronnen je browser mag laden: scripts, stylesheets, afbeeldingen, fonts en externe content. Door expliciet te definiëren welke domeinen en protocollen toegestaan zijn, blokkeer je ongewenste code-injectie. CSP voorkomt dat aanvallers kwaadaardige scripts in je pagina's injecteren, zelfs als er een kwetsbaarheid in je code zit. Voor MKB-bedrijven met een webshop, klantportaal of formulieren is dit een praktische verdedigingslinie tegen Cross-Site Scripting en datadiefstal.

Hoe Content Security Policy werkt in de praktijk

Je configureert CSP door een header mee te sturen met elke pagina die je server verstuurt. Die header bevat directives: instructies per type bron. De directive script-src 'self' https://cdn.example.com staat bijvoorbeeld alleen scripts van je eigen domein en dat specifieke CDN toe. Probeert een aanvaller een script van een ander domein te laden, dan blokkeert de browser dat en stuurt een melding naar je console. Je kunt CSP stapsgewijs invoeren: begin met een report-only modus die overtredingen logt zonder te blokkeren, analyseer de rapporten en verscherp daarna de regels. Moderne browsers zoals Chrome, Firefox, Safari en Edge ondersteunen CSP volledig. Volgens W3C Content Security Policy Level 3 is de standaard sinds 2018 stabiel en breed geïmplementeerd.

Waarom Content Security Policy nu relevant is voor Nederlandse websites

Cross-site scripting blijft een van de meest voorkomende aanvalsvectoren. Een webshop met duizenden productpagina's of een platform met gebruikersreviews biedt veel invoerpunten. Zelfs bij zorgvuldig programmeren kan een vergeten validatie of een kwetsbare plugin een lek openen. CSP fungeert als vangnet: ook al slaagt een aanvaller erin code in je HTML te krijgen, de browser weigert die uit te voeren als het niet van een toegestane bron komt. Daarnaast eist de Autoriteit Persoonsgegevens passende technische maatregelen bij verwerking van persoonsgegevens. CSP helpt aantonen dat je proactief beveiligt, wat relevant is bij audits of datalekken.

Wat Content Security Policy oplevert voor webshops en platforms

Voor een MKB-webshop met betalingsverkeer betekent CSP dat creditcardgegevens of klantdata niet door malafide scripts kunnen worden onderschept. Bij een B2B-portaal met inlogfuncties bescherm je sessietokens tegen diefstal. In de praktijk zien we bij klanten van Monkey Vision dat een goed geconfigureerd CSP-beleid ook helpt bij het opschonen van oude tracking-scripts en widgets die niet meer nodig zijn. Je krijgt inzicht in welke externe diensten je site daadwerkelijk gebruikt. Wil je weten hoe CSP past in een bredere beveiligingsstrategie voor je website? Bekijk onze webontwikkeling waarin we security by design toepassen, inclusief CSP-configuratie en monitoring.

Content Security Policy pas je toe in situaties waar je controle wil over welke code en content je website mag laden. De volgende scenario's laten zien wanneer CSP concreet waarde biedt en hoe je het inzet voor verschillende doelen binnen je organisatie.

Bescherming van webshops met betalingsverkeer

Een webshop verwerkt gevoelige gegevens: adressen, e-mailadressen en in sommige gevallen betalingsgegevens. Zelfs als je een externe payment provider gebruikt, blijven sessiegegevens en winkelwagen-inhoud kwetsbaar voor scripts die ongeautoriseerd data uitlezen. Met CSP blokkeer je scripts van onbekende domeinen. Je stelt bijvoorbeeld in dat alleen scripts van je eigen domein, je CDN en de payment provider mogen laden. Een aanvaller die via een kwetsbare plugin of een gecompromitteerd thema een script probeert in tejecteren, stuit op een harde blokkade. In de praktijk merken we bij webshop-projecten dat CSP ook helpt bij het identificeren van verouderde tracking-pixels of widgets die onbedoeld data doorsturen naar derde partijen.

Beveiliging van platformen met user-generated content

Heb je een platform waar gebruikers reviews, reacties of forumberichten plaatsen? Dan loop je risico op stored XSS: kwaadaardige code die een gebruiker achterlaat en die later bij andere bezoekers wordt uitgevoerd. Zelfs met input-sanitization blijft een restrisico bestaan. CSP voegt een extra laag toe: zelfs als een script door je validatie glipt, weigert de browser het uit te voeren. Je configureert CSP zo dat inline scripts volledig verboden zijn en alleen externe scriptbestanden van je eigen domein worden toegestaan. Voor een community-platform of een kennisbank met reacties is dit een effectieve maatregel. Je beperkt tegelijk het risico op reputatieschade: als je site gehackt wordt en malware verspreidt, schaadt dat het vertrouwen van je klanten direct.

Naleving van beveiligingseisen bij AVG-audits

De Algemene Verordening Gegevensbescherming vereist passende technische en organisatorische maatregelen. Bij een datalek of audit moet je aantonen dat je proactief hebt gehandeld. CSP is een concrete, verifieerbare maatregel: je kunt de header-configuratie laten zien en rapportages van geblokkeerde aanvallen overleggen. Veel MKB-bedrijven die met ons samenwerken, gebruiken CSP als onderdeel van een beveiligingsdossier. Het helpt ook bij certificeringen of bij aanbestedingen waar informatiebeveiliging een eis is. Let op: CSP alleen is niet voldoende, maar het is een belangrijk puzzelstuk naast HTTP Strict Transport Security en regelmatige updates.

Wanneer Content Security Policy de juiste keuze is en wanneer niet

CSP is zinvol voor elke website die gebruikersinvoer verwerkt, betalingen afhandelt of gevoelige data toont. Het loont vooral als je al een moderne stack hebt: een CMS of framework dat externe scripts beperkt en waarbij je controle hebt over de server-headers. CSP is minder urgent voor een eenvoudige one-pager zonder formulieren of externe integraties, hoewel het ook daar geen kwaad kan. Vermijd CSP als je geen tijd hebt om de configuratie te testen: een te strenge policy breekt functionaliteit, een te losse policy biedt geen bescherming. Begin altijd met report-only modus, analyseer twee weken lang de meldingen en pas dan de daadwerkelijke blokkade toe.