HTTP Security Headers in de praktijk (bij Joomla User Group Maastricht)

Op zaterdag 11 oktober 2025 was Peter Martin te gast bij de Joomla User Group Maastricht. Tijdens deze bijeenkomst liet hij zien hoe je met HTTP Security Headers eenvoudig extra beveiliging toevoegt aan je Joomla-website, een krachtige, maar vaak vergeten laag in websitebeveiliging.

Wat zijn HTTP Security Headers?

HTTP Security Headers zijn een reeks instructies die de webserver aan de browser geeft. Ze bepalen:

• wat de browser mag doen (bijvoorbeeld: welke scripts of bronnen veilig zijn), en
• wat de browser juist moet blokkeren (zoals verdachte scripts of onveilige inhoud).

Kort gezegd: HTTP Security Headers zijn de veiligheidsregels waarmee de server duidelijk maakt hoe de browser zich moet gedragen om de website en de bezoeker te beschermen.

Om dat te demonstreren begon Peter de presentatie enigszins anders dan normaal: door de slides van een andere presentatie te tonen (niet verwacht, want niet vooraf aangekondigd) en door letterlijk op de tafel te gaan staan (ongewenst gedrag, was vooraf niet expliciet niet toegestaan).

Waarom zijn ze belangrijk?

Peter legde in een presentatie over HTTP Security Headers uit dat veel websites kwetsbaar zijn door ontbrekende of verkeerd ingestelde headers. Aanvallers kunnen daardoor misbruik maken van JavaScript, iFrames of cookies. Door een paar goed gekozen headers toe te voegen, kun je die risico’s drastisch verkleinen, en het vertrouwen van je bezoekers vergroten.

Tijdens de sessie liet hij in een live-demo stap voor stap zien hoe je dit zelf kunt doen met de ingebouwde HTTP Headers plugin in Joomla, zonder extra extensies of complexe code.

De HTTP Headers plugin in Joomla

Sinds Joomla 4.0 (uitgebracht op 17 augustus 2021) bevat Joomla standaard de plugin "System - HTTP Headers". Daarmee kun je beveiligingsheaders instellen zoals: Content-Security-Policy (CSP), X-Frame-Options, Referrer-Policy en andere essentiële headers. Deze plugin maakt het eenvoudig om het beveiligingsniveau van je website te verhogen, rechtstreeks vanuit de Joomla core.

Eerst testen, dan verbeteren

Voor je begint met instellen, is het slim om eerst te meten hoe je site er nu voorstaat. Dat kan bijvoorbeeld met: SecurityHeaders.com en Internet.nl. Zet tijdens het testen alle cache uit, anders zie je geen effect van je aanpassingen.

Tijdens de workshop hielp Peter de aanwezigen om met hun site een A of A+ score te behalen op SecurityHeaders.com. Vooral het correct instellen van de Content Security Policy (CSP) bleek uitdagend, maar met wat analyse van foutmeldingen in de Chrome-console konden deelnemers hun instellingen snel verbeteren.

Praktisch resultaat

De sessie bij de Joomla User Group Maastricht liet zien dat Joomla sterke beveiligingstools standaard in huis heeft. Met wat kennis en aandacht kun je je website snel en effectief beter beschermen, zonder externe extensies of extra kosten. Lees meer in het verslag-pizza-jug-fun-dag-11-oktober-2025.

Wil je weten hoe jij jouw Joomla-website beter kunt beveiligen met HTTP Security Headers of andere maatregelen?
Neem dan contact op met db8