Waar ook nog een enorm braakliggend terrein ligt, is bij websites voor beter beveiligde Content Security Policies. Google eens op CSP Portswigger github. Ik draai CSP Evaluator extensie in de browser en vervolgens is het schrikken waar op sites nog voorbij te fietsen valt. Ook nog het enorme aantal websites waar deze extensie grijsgekleurd blijft. Kijk dan eens wat er verder aan header beveiliging is vergeten te "setten" via Recx Security Analyzer v.1.3.0.4 en Web Developer tools extensie en Javascript errors Notifier en Retire.JS voor af te voeren jQuery bibliotheken. Shodannetje op de webserver client, wat fuzzen, linten en een privacy scannetje e.d. vertellen steeds meer over de spreekwoordelijke onveiligheid van een website. Vaak flink "under par", folks. Helemaal leuk wordt het vervolgens bij websites met op PHP gebaseerde CMS. En dan praat ik niet alleen over brak gehouden Word Press plug-ins, niet disabled user enumeration & directory listing, een veel meer passeert de revue. Draai eens een ...