Kan niet online tv kijken via de web browser

Goh, die hebben we nog niet eerder gehoord...

Je hebt geen concrete update hierover, maar het “TV-team” is wel druk bezig een nieuwe versie uit te rollen?

Maanden verder geen fix, laat staan een hoopgevende update. 

Na het waardeloze datalek wist ik het al, maar na dit gezeik weet ik het zeker:
Odido neemt de klanten niet serieus en het boeit ze eigenlijk ook geen ene reet.

Niks ten nadele van de klantenservice medewerkers hoor. Die doen ook maar wat ze kunnen.

Ik ga opzeggen en kom niet weer.

Bijna een jaar verder. En het werkt nog steeds niet. Wat een grap, dat Odido.

Hi ​@Zippy1970, sorry hiervoor! We zijn ervan bewust hoelang dit duurt en dit spijt ons. Ik kan echter nog geen informatie delen over een update. Wanneer deze er wel is, delen we het meteen!

Ik snap niet waarom dit issue al niet is opgelost. Het probleem zit hem in het ophalen van de DRM licentie (NPO & RTL Z zijn unencrypted, dus die werken wel).

curl -v -X POST \
  -H "Origin: https://tv.odido.nl" \
  -H "Content-Type: application/json" \
  -d '{}' \
  https://tv.odido.nl/VSP/V3/ExternalDRMLicense \
  2>&1 | grep -i "^< "
< HTTP/1.1 200 OK
< Server: WebServer
< Date: Tue, 22 Sep 2026 10:23:53 GMT
< Content-Type: text/plain;charset=UTF-8
< Content-Length: 80
< Connection: keep-alive
< Keep-Alive: timeout=300, max=767
< X-CACHE-S: no-cache
< Access-Control-Allow-Methods: GET,POST,OPTIONS
< X-XSS-Protection: 1; mode=block
< X-Download-Options: noopen
< X-Content-Type-Options: nosniff

TL;DR: Het endpoint mist de ene header (Access-Control-Allow-Origin) die het hele CORS-mechanisme laat werken. De Allow-Methods-header is decoratief zonder deze specifieke header. Dit is een server-side configuratiefout in hun DRM-licentie-endpoint — er is geen client-side workaround.

Hi ​@LordChaos, wat fijn dat je dit deelt. Ik heb het gedeeld met het team die bezig is met dit onderzoek, je weet maar nooit!

Edit: een aantal zaken iets verduidelijkt.

Nee, dat is niet het probleem. Als het DRM-licentie-endpoint daadwerkelijk een algemeen CORS-probleem zou hebben, zouden de beveiligde zenders niet gewoon op andere computers via dezelfde website kunnen worden afgespeeld.

Ik heb het probleem inmiddels vrij nauwkeurig kunnen isoleren. Op mijn PC zijn vier monitoren aangesloten, waarvan alleen mijn hoofdmonitor HDCP ondersteunt. Zodra ik de andere drie monitoren in Windows uitschakel, werken alle beveiligde zenders onmiddellijk. Zodra ik één van die monitoren weer activeer, werken ze niet meer.

Ik heb vervolgens een breakpoint gezet in de Widevine DRM-afhandeling van de Odido-player en de daadwerkelijke DRM-status uitgelezen.

Met een niet-HDCP-monitor actief krijg ik:

status-pending → output-restricted

Met uitsluitend mijn HDCP-monitor actief krijg ik direct:

usable

De DRM-licentie wordt dus wel aangevraagd en verwerkt, maar Widevine blokkeert het gebruik van de sleutel vanwege een beperking in de outputbeveiliging. Het maakt daarbij niet uit dat de video zelf op een HDCP-compatibele monitor wordt weergegeven.

Het probleem is dus niet dat het DRM-licentie-endpoint niet bereikbaar is, maar dat de DRM-sessie uiteindelijk de status output-restricted krijgt en de player daar niet op terugvalt.

In mijn geval wordt die status veroorzaakt door de aanwezigheid van een niet-HDCP-monitor, maar dezelfde status kan ook door andere beperkingen in de outputbeveiliging ontstaan.

Wat Odido zou moeten onderzoeken, is waarom de huidige DRM-policy in deze situatie tot een blokkade leidt en of er, wanneer Widevine output-restricted retourneert, automatisch kan worden teruggevallen op een alternatieve stream of licentie met minder strenge outputbeveiligingseisen.

Andere streamingdiensten, zoals Ziggo GO en Netflix, kunnen op dezelfde PC met alle vier de monitoren actief wél beveiligde HD-content afspelen. Er zijn dus kennelijk manieren om met deze monitorconfiguratie om te gaan zonder de volledige weergave te blokkeren.

Overigens bewijst die curl-test geen CORS-probleem. De request bevat geen src-parameter, geen geldige DRM-licentieaanvraag en geen browser-preflight. Bovendien wordt CORS door browsers afgedwongen, niet door curl. De daadwerkelijke licentieaanvraag van de Odido-webplayer gaat ook gewoon naar tv.odido.nl, vanaf dezelfde website. Daarvoor is geen Access-Control-Allow-Origin-header nodig.