Veel aanvallen op webapplicaties lopen via de browser. ZelixAI zet daar een aantal standaardmaatregelen tegen in.
CSRF: elke wijziging in het portaal vraagt een CSRF-token dat bij je sessie hoort, zodat een formulier op een andere website geen wijzigingen namens jou kan doen. CSP (Content Security Policy) beperkt uit welke bronnen de browser scripts, stijlen en andere inhoud mag laden. Inline scripts zijn nog toegestaan; CSP is hier dus een beperking, geen volledige blokkade.
HSTS vertelt de browser na het eerste bezoek een jaar lang alleen HTTPS te gebruiken, inclusief subdomeinen. Daarnaast sturen we X-Frame-Options mee tegen insluiten in andere sites (clickjacking) en nosniff, zodat de browser geen bestandstypen gaat raden.