X-Content-Type-Options
De
X-Content-Type-Options
antwoord HTTP header is een aanduiding die door de server wordt gebruikt om aan te tonen dat de MIME types die in de Content-Type (en-US) headers zijn geadverteerd, niet gewijzigd moeten worden en moeten worden gevold. Dit zorgt voor de mogelijkheid om niet deel te nemen aan MIME type sniffing, of, met andere woorden, het is een manier waarop de webmasters tonen dat ze weten wat ze dedenDeze header is geïntroduceerd door Microsoft in IE8 om webmasters de mogelijkheid te geven om het content sniffing te blokkeren dat toen gebeurde. De header kan niet uitvoerbare MIME types omvormen tot uitvoerbare MIME types. Andere browsers hebben dit later ook geïntroduceerd, ook al zijn hun MIME sniffing algoritmes minder agressief.
Site veiligheid testers verwachten dat deze header geset is.
Nota: nosniff
wordt enkel toegepast op "script
" en"style
" types. Het toepassen van de nosniff
op afbeeldingen bleek niet compatibel te zijn met bestaande websites.
Header type | Response header |
---|---|
Forbidden header name | nee |
Syntax
X-Content-Type-Options: nosniff
Directives
nosniff
- Blokkeert een aanvraag van het aangevraagde type als
- "
style
" en het MIME type niet "text/css
" zijn, of - "
script
" en het MIME type zijn niet een JavaScript MIME type.
- "
Specificaties
Specificatie | Status | Comment |
---|---|---|
Fetch The definition of 'X-Content-Type-Options definition' in that specification. |
Living Standard | Initial definition |
Browser compatibiliteit
BCD tables only load in the browser
Verder lezen
- Content-Type (en-US)
- De originele Microsoft definitie van X-Content-Type-Options.
- De Mozilla Observatory tool voor het testen van de configuratie (waaronder deze header) van Websites voor veiligheid en bewaking
- Beperken van MIME Confusion aanvallen in Firefox
- Cross-Origin Read Blocking (CORB)
- Google Docs CORB explainer