Je checkout kan onbekende scripts tegenhouden. Bij veel webshops staat die bescherming nog op ‘alleen melden’. Een script dat er niet hoort, wordt dan gezien en daarna gewoon uitgevoerd. Hier lees je wat CSP is, waarom het nodig is en hoe we het aanzetten.
Heb je van ons een bericht over CSP gekregen? Dan staat de checkout van je webshop nog op alleen melden.
De kern · in vijf seconden
Content Security Policy (CSP) is een lijst van scripts en bronnen die op je checkout mogen draaien. De browser van je klant houdt zich aan die lijst, maar alleen als hij aan staat.
Standaard sinds Magento 2.4.7
Magento dwingt CSP op de checkout standaard af. Zo hoort het te staan.
Report-only: alleen melden
Is de checkout nog niet volledig op CSP ingericht, dan staat hij in report-only. Een onbekend script wordt gemeld, en dan toch uitgevoerd.
De laatste verdedigingslinie
Komt iemand toch binnen, met een gelekt wachtwoord of via een lek in een extensie, dan kan hij met CSP nog steeds geen eigen script in je checkout draaien.
Onderdeel van PCI DSS
Sinds 31 maart 2025 vraagt PCI DSS 4.0 (eis 6.4.3) dat je vastlegt en bewaakt welke scripts op je betaalpagina draaien. Report-only dekt dat niet.
Bij webshops heet dit web skimming: iemand zet een eigen script in de checkout en vangt de betaalgegevens van je klanten af. Hieronder twee keer dezelfde aanval. Een keer zoals de checkout nu staat, een keer met CSP aan.
Betaalmethode
Illustratief en vereenvoudigd. Domeinnaam en aantallen zijn verzonnen.
Zo staat het nu
Wat we doen
We zetten elk script dat je checkout nodig heeft op de lijst en passen aan wat niet past. Pas als alles werkt, zetten we de bescherming aan.
Eigen code
Shop, checkout en maatwerk
Betalen
Mollie, MultiSafepay, Adyen of een andere
Meten en marketing
Tracking en tags
Niet op de lijst
Alles wat er niet hoort
Vereenvoudigd. De lijst voor jouw shop volgt uit de analyse van je checkout.
Zo pakken we het aan
Zo blokkeert de browser nooit iets dat je checkout echt nodig heeft.
Elk script, elke stylesheet en elke externe bron die je checkout laadt: eigen code, betaalprovider, Tag Manager en tracking.
Vertrouwde bronnen komen op de lijst. Inline scripts krijgen een vaste handtekening (nonce of hash), zodat de browser ze herkent. Wat niet past, passen we aan.
We lopen complete bestellingen door, met alle betaal- en verzendmethoden, tot er geen meldingen meer komen voor scripts die erbij horen.
We zetten report-only uit. Vanaf dat moment dwingt de checkout CSP af en draait alleen wat op de lijst staat.
Wat het kost
Elke checkout is anders, dus je krijgt een vaste prijs op basis van een analyse van jouw checkout. Wat het voor jouw shop inhoudt, hoor je van je contactpersoon bij Vendic.
Waar het over gaat
De checkout, waar betaalgegevens worden ingevoerd. Daar dwingt Magento CSP sinds versie 2.4.7 standaard af. Nieuwe tools die je later toevoegt, lopen via het gewone change management.
Na het aanzetten
Met CSP aan draait in de checkout alleen wat op de lijst staat. Ook een nieuwe tool die je zelf toevoegt, dus die moet er eerst op.
Een andere betaalprovider, een nieuwe pixel, een tag in Tag Manager of een A/B-test. Laat het ons vooraf weten, dan zetten we hem op de lijst.
Een script dat buiten de lijst om in de checkout komt, blokkeert de browser. Zo hoort het ook: precies daar zit de bescherming.
Zien wij een beveiligingsrisico, dan hoor je het van ons, met uitleg wat het betekent. Wat je ermee doet, beslis je zelf. We leggen ons advies en je reactie vast.
De uitkomst
We adviseren dit op korte termijn te doen, zodat de gegevens van je klanten goed beschermd zijn.
Nu · alleen melden
Open
Een script dat in de checkout terechtkomt, wordt gemeld en daarna gewoon uitgevoerd.
Straks · afgedwongen
Dicht
Alleen scripts van de lijst draaien. Een script dat er niet hoort, houdt de browser tegen.
Begrippen
Vragen over CSP, of wil je weten wat het voor jouw shop inhoudt? Neem contact op met je vaste contactpersoon bij Vendic, of reageer op het bericht waarin je deze link kreeg.