Cross-site scripting, afgekort XSS, is een aanval op websites. Een aanvaller weet kwaadaardige code — meestal JavaScript — in een pagina te krijgen, bijvoorbeeld via een zoekveld, een reactieformulier of een reviewveld dat de invoer niet controleert. Die code wordt daarna uitgevoerd in de browser van iedereen die de pagina bezoekt.
Het gevaar zit hem in wat die code kan doen: sessiecookies stelen en zo inloggen als de bezoeker, een nepformulier tonen dat wachtwoorden afvangt, of de bezoeker doorsturen naar een phishingsite. Heb je een webshop, een klantportaal of een website waar mensen iets kunnen invullen, dan is dit een reëel risico — voor je klanten én voor je reputatie.
De verdediging ligt vooral bij de bouw en het onderhoud van de site: alle invoer valideren, uitvoer correct ‘escapen’ zodat tekst nooit als code wordt uitgevoerd, en een Content Security Policy instellen. Daarnaast helpt het om je CMS en plug-ins bij te werken (veel XSS-lekken zitten in verouderde plug-ins) en om periodiek te laten testen.
Wat OkayICT hierin doet: We controleren je website en webapplicaties op dit soort lekken, houden CMS en plug-ins actueel en adviseren over extra bescherming zoals een webapplicatie-firewall.
Meer lezen: Wat is SQL-injectie? · Wat is een kwetsbaarheid? · Wat is een pentest?
