X-Content-Type-Options

De X-Content-Type-Options antwoord HTTP header is een aanduiding die door de server wordt gebruikt om aan te tonen dat de MIME types die in de Content-Type headers zijn geadverteerd, niet gewijzigd moeten worden en moeten worden gevold. Dit zorgt voor de mogelijkheid om niet deel te nemen aan MIME type sniffing, of, met andere woorden, het is een manier waarop de webmasters tonen dat ze weten wat ze deden

Deze header is geïntroduceerd door Microsoft in IE8 om webmasters de mogelijkheid te geven om het content sniffing te blokkeren dat toen gebeurde. De header kan niet uitvoerbare MIME types omvormen tot uitvoerbare MIME types. Andere browsers hebben dit later ook geïntroduceerd, ook al zijn hun MIME sniffing algoritmes minder agressief.

Site veiligheid testers verwachten dat deze header geset is.

Nota: nosniff wordt enkel toegepast op "script" en"style" types. Het toepassen van de nosniff op afbeeldingen bleek niet compatibel te zijn met bestaande websites.

Header type	Response header
Forbidden header name	nee

Syntax

X-Content-Type-Options: nosniff

Directives

nosniff

Blokkeert een aanvraag van het aangevraagde type als

"style" en het MIME type niet "text/css" zijn, of
"script" en het MIME type zijn niet een JavaScript MIME type.

Specificaties

Specificatie	Status	Comment
Fetch The definition of 'X-Content-Type-Options definition' in that specification.	Living Standard	Initial definition

Browser compatibiliteit

Update compatibility data on GitHub

	Desktop						Mobile
	Chrome	Edge	Firefox	Internet Explorer	Opera	Safari	Android webview	Chrome voor Android	Firefox voor Android	Opera voor Android	Safari op iOS	Samsung Internet
`X-Content-Type-Options` Niet standaard	Chrome Volledige ondersteuning 64 Volledige ondersteuning 64 Gedeeltelijke ondersteuning 1 Opmerkingen Opmerkingen Not supported for stylesheets.	Edge Volledige ondersteuning Ja	Firefox Volledige ondersteuning 50	IE Volledige ondersteuning 8	Opera Volledige ondersteuning Ja	Safari Geen ondersteuning Nee	WebView Android Volledige ondersteuning 64 Volledige ondersteuning 64 Gedeeltelijke ondersteuning Gedeeltelijk Opmerkingen Opmerkingen Not supported for stylesheets.	Chrome Android Volledige ondersteuning 64 Volledige ondersteuning 64 Gedeeltelijke ondersteuning Gedeeltelijk Opmerkingen Opmerkingen Not supported for stylesheets.	Firefox Android Volledige ondersteuning 50	Opera Android Volledige ondersteuning Ja	Safari iOS Geen ondersteuning Nee	Samsung Internet Android Volledige ondersteuning 9.0 Volledige ondersteuning 9.0 Gedeeltelijke ondersteuning Gedeeltelijk Opmerkingen Opmerkingen Not supported for stylesheets.

Legenda

Volledige ondersteuning: Volledige ondersteuning
Geen ondersteuning: Geen ondersteuning
Niet standaard. Slechte ondersteuning verwacht voor meerdere browsers.: Niet standaard. Slechte ondersteuning verwacht voor meerdere browsers.
Zie implementatieopmerkingen: Zie implementatieopmerkingen

Verder lezen

Content-Type
De originele Microsoft definitie van X-Content-Type-Options.
De Mozilla Observatory tool voor het testen van de configuratie (waaronder deze header) van Websites voor veiligheid en bewaking
Beperken van MIME Confusion aanvallen in Firefox
Cross-Origin Read Blocking (CORB)
Google Docs CORB explainer

Laatst bijgewerkt: Apr 4, 2019, door MDN-medewerkers