darioa
Laten we praten

Content Security Policy: een extra laag tegen XSS

Dario Albers · 10 november 2026 · 2 min lezen

Kort antwoord

Een Content Security Policy (CSP) is een HTTP-header die de browser vertelt welke bronnen een pagina mag laden. MDN beschrijft het als verdediging tegen cross-site scripting (XSS) en zegt uitdrukkelijk dat een CSP geen vervanging is voor het schoonmaken van invoer. Het advies is dus om beide te doen.

Hoe de header eruitziet

MDN geeft dit voorbeeld: `Content-Security-Policy: default-src 'self'; img-src 'self' example.com`. De eerste richtlijn, `default-src 'self'`, houdt alles bij de eigen site; `img-src` maakt een uitzondering voor afbeeldingen.

Naast invoer schoonmaken

MDN: "Websites should sanitize input and set a CSP, providing defense in depth against XSS." Een CSP is dus een tweede laag: gaat het schoonmaken een keer mis, dan beperkt de header wat er geladen kan worden.

Wat betekent dit voor je website

Een webapp van darioa kost EUR 999 eenmalig en EUR 150 per jaar, excl. btw; hosting zit in dat jaarbedrag (zie de prijzen). Welke beveiligingsheaders jouw webapp krijgt, staat niet op die pagina; wat darioa wel levert staat in de offerte, en wat niet in de offerte staat valt niet onder de opdracht (zie de voorwaarden). Meer over de inlogkant lees je in veilig inloggen in een webapp, headers controleren kan met HTTP-security headers testen, en wat een webapp is staat bij webapps.

Algemene informatie, geen juridisch advies; lees de officiële tekst via de algemene voorwaarden van darioa.

Gecontroleerd op 10 november 2026. Bron: MDN, Content Security Policy.

Lees ook

Handige hulp, gratis

Mollie foutcodes en betaalstatussen: wat betekenen ze?Alle Mollie-foutcodes en betaalstatussen, met wat je er in de praktijk mee doet.Lees de uitleg Je .nl-domein verhuizen en je verhuiscode opvragenVerhuiscode kwijt of een bureau dat niet reageert? De stappen van SIDN en een brief om te kopiëren.Lees de uitleg Bedrijfsgegevens op je website controlerenPlak je footer of contactpagina en zie welke verplichte bedrijfsgegevens ontbreken.Open de tool Thuisbezorgd-commissie berekenen per jaarWat kost de commissie van een bezorgplatform je per jaar, naast een vaste prijs?Open de tool Fietsverhuur: wat kost een boekingsplatform?Wat kost de commissie van een boekingsplatform je per jaar, naast een vaste prijs?Open de tool Eigen hosting of vaste prijs: kosten vergelijkenEigen server of hostingpakket naast een vaste prijs, inclusief je eigen tijd.Open de tool Mollie of Stripe: betaalkosten per jaarBetaalkosten van iDEAL en kaart bij Mollie en Stripe, per jaar.Open de tool Welk product past bij je zaak? Drie vragenDrie vragen, en je ziet welk product bij je zaak past en wat het kost.Open de tool PHP-versies: tot wanneer beveiligingsupdates?Welke PHP-versies nog beveiligingsupdates krijgen en welke niet meer, uit de bron van PHP zelf.Lees de uitleg

Zelf geen tijd om dit uit te zoeken?

Stuur me een WhatsApp. Je krijgt binnen een werkdag antwoord, en een vaste prijs voordat je iets betaalt.

WhatsApp DarioBekijk de prijzen

Bronnen (gecontroleerd op 10 november 2026)

  • MDN: Content Security Policy (gelezen op 10 november 2026)“This is mainly used as a defense against cross-site scripting (XSS) attacks, in which an attacker is able to inject malicious code into the victim's site.”
  • MDN: CSP, invoer (gelezen op 10 november 2026)“Setting a CSP is not an alternative to sanitizing input. Websites should sanitize input and set a CSP, providing defense in depth against XSS.”
  • MDN: CSP, voorbeeld (gelezen op 10 november 2026)“Content-Security-Policy: default-src 'self'; img-src 'self' example.com”