@Anoniem 12-09-2016, 15:51: hoewel ik betwijfel of security.nl volstrekt veilig en/of bugvrij is, betekent het ontbreken van een CSP header niet persé dat de site onveilig is. Bovendien, zoals de TS aangeeft, betekent het aanwezig zijn van een CSP header niet automatisch dat e.e.a. dan correct geïmplementeerd is, integendeel (in veel gevallen). Daarnaast vermoed ik dat het risico voor gebruikers, dat hun account wordt gekaapt (en bijdragen in hun naam wordem gepost en/of oudere gewijzigd of verwijderd), klein is. En daarmee ook het risico voor de eigenaar van deze site. Liever heb ik dat de beheerders van security.nl hun tijd stoppen in het dichten van lekken in de gebruikte CMS/forum software (nog steeds een afgeleide van vBulletin als ik me niet vergis), iets dat de Mozilla observatory niet meet - maar iets waar de beheerders van security.nl tot nu toe goed in lijken te slagen. Overigens is het de vraag of beheerders (zoals jij schrijft) zich met zaken als XSS/CSRF preventie, HSTS, CSP etc. moeten ...