Maar ook veel https sites maken niet gebruik van "best practices", zeker sites met mixed content ofwel trackable 3rd party content. Houdt hier de script blokker bij de hand in je browser. Zoals - deze webpage gebruikt HTTPS, maar deze bronnen zijn onveilig: URL Type http://fotkica.com/thumbs2/109451_tmb_343479479_2013-07-15_205112.jpg image De hoofdsite beschikte in dit geval niet over HTTP Strict Transport Security, om verkeer te forceren alleen https te gebruiken. Geen CSP ingesteld. Geen cookies met de secure flag. Same origin wordt gehandhaafd zonder sri-hashes omdat alles van uit een gelijke bron geladen wordt. Website volgens PSI-DSS. Security headers geïmplementeerd gedeeltelijk: X-Frame-Options X-XSS-Protection X-Content-Type-Options Heeft Access-Control-Allow-Origin en dit is nogal permissief en alleen geschikt (CORS) voor bepaalde typen websites. Sub-domein kan niet worden 'ge-preload". Certificaat als self-signed als root on de server geïnstalleerd, geen best practice! DigiCert SHA2 ...