01 — Website-APK
Komt je website nog door de keuring?
Vul je domeinnaam in en zie binnen een halve minuut wat er aan je site mankeert. Cookies, certificaat, beveiligingsheaders, WordPress-versie, SPF en DMARC, en de basis van toegankelijkheid. Bij elk punt staat hoe we het hebben gemeten. Gratis, zonder account, zonder cookie.
Voor wie dit is
Voor wie een website heeft maar er niet elke week mee bezig is: de ondernemer die de site ooit heeft laten bouwen, de vrijwilliger die de site van de vereniging bijhoudt, of degene die het er op kantoor bij doet. Je hoort dat je cookiebanner niet klopt, dat je mail in spam belandt, of dat WordPress verouderd is. Maar wat betekent dat voor jouw site, en wat moet er eerst?
De scan geeft daar een nuchter antwoord op. Hij gebruikt geen kleurenmeters of een score van honderd, maar dezelfde drie woorden als bij een keuring: in orde, advies of afkeur. Bij elk punt staat wat we hebben gezien, met de waarde die je server zelf meestuurde. Dan kun je het zelf nakijken, of doorsturen naar wie je site bouwt.
Waarom elk punt een bron heeft
Een scanner die iets afkeurt zonder te zeggen waarom, is niet te vertrouwen. Elke controle heeft daarom een vaste drempel en een bron: de wet, een RFC, de WCAG-richtlijn, php.net of de documentatie van de browsers. De drempels staan op de pagina Werkwijze. Hoe de scanner zich gedraagt in de lastige gevallen, zoals precies op een drempel, bij een nulgeval of bij een versie die we niet kennen, staat in de voorbeeldentabel.
Deze pagina is opgesteld met hulp van een AI-model. De metingen zelf zijn gewone code, zonder AI.
02 — Wat dit is
Een keuring, geen verkoopgesprek
Bij een APK loopt de keurmeester een vaste lijst af en zegt per punt: in orde, advies of afkeur. Deze scan doet hetzelfde met je website. Hij leest wat iedere bezoeker ook kan zien: je homepage, de headers die je server meestuurt en de openbare DNS-records van je domein. Daarna geeft hij één oordeel, met elk punt los daaronder.
De uitslag is meteen compleet. Je hoeft geen e-mailadres achter te laten om hem te zien, en er zit geen betaalmuur voor de punten die ertoe doen.
03 — Wat we controleren
Vijf onderdelen, vierentwintig punten
Elk punt heeft een vaste drempel en een bron. De volledige lijst, met de drempels, staat op de werkwijzepagina.
| Onderdeel | Wat we bekijken | Waarom het telt |
|---|---|---|
| Privacy en cookies | Cookies die de server meteen zet, trackers die laden vóór toestemming, externe lettertypes en scripts, een link naar je privacyverklaring | Tracking zonder toestemming mag niet (Telecommunicatiewet art. 11.7a), en elke externe bron krijgt het IP-adres van je bezoeker |
| Beveiliging | HTTPS en het certificaat, de doorverwijzing van http naar https, HSTS, gemengde inhoud, vier beveiligingsheaders, zichtbare softwareversies | Dit zijn de punten die een aanvaller als eerste probeert, en die een browser als eerste afstraft |
| WordPress en PHP | De WordPress-versie tegenover de nieuwste release, en de PHP-versie tegenover de ondersteuningstabel van php.net | Verouderde software is de meest voorkomende reden dat een site wordt gehackt |
| DNS en mail | Het SPF-record en het DMARC-beleid van je domein | Zonder deze twee kan iedereen mail versturen die van jouw domein lijkt te komen |
| Toegankelijkheid (basis) | Taal van de pagina, paginatitel, alt-teksten, inzoomen, een hoofdkop en labels bij invulvelden | Zes basispunten uit WCAG 2.2 die je zonder browser kunt vaststellen |
Bron: Drempels en bronnen per controle: /werkwijze/
Zo werkt het
1
Je vult één domeinnaam in
Bijvoorbeeld jouwbedrijf.nl. Geen account, geen e-mailadres.
2
We kijken wat iedere bezoeker ziet
De homepage over https en over http, het certificaat, de headers, en de DNS-records voor SPF en DMARC. We loggen nergens in en proberen niets uit.
3
Je krijgt één oordeel, met elk punt los
Goedgekeurd, goedgekeurd met advies, of afgekeurd. Onder elk punt kun je openklappen hoe het gemeten is en op welke bron de drempel rust.
4
Oplossen kan, hoeft niet
Wil je dat iemand de punten voor je oplost, dan is daar na de uitslag een aparte, vrijblijvende stap voor.
04 — Eerlijk over de grenzen
Wat deze scan niet doet
Geen gok
Kunnen we iets niet meten, bijvoorbeeld een verborgen WordPress-versie of een DNS-server die niet antwoordt? Dan staat er niet gemeten, met de reden erbij. Dat punt telt niet mee in het oordeel.
Geen opslag
We bewaren het adres dat je invult niet, en de uitslag ook niet. Er is geen account en geen geschiedenis. Wil je de uitslag bewaren, sla dan de pagina op.
Geen volledige audit
Dit is een APK, geen revisie. We kijken alleen naar de homepage. Een volledige WCAG-toets, een penetratietest of een controle van je plugins is werk voor een mens.
Veelgestelde vragen
Is de scan echt gratis?
Ja. De uitslag is compleet en gratis, en blijft dat. Je hoeft er niets voor achter te laten.
Mag ik een site scannen die niet van mij is?
De scan bekijkt alleen wat iedere bezoeker van die site ook ziet, en vraagt de homepage een paar keer op. Dat is niet meer dan één bezoek met een browser. We scannen geen IP-adressen, geen interne netwerkadressen en geen andere poorten dan de gewone webpoorten.
Waarom zie ik niet gemeten bij de PHP-versie?
Omdat je server zijn PHP-versie niet meestuurt. Dat is goed, want het geeft aanvallers minder informatie. Maar dan kunnen we de versie ook niet beoordelen, en dat zeggen we liever eerlijk dan dat we gokken.
Mijn cookiebanner werkt toch? Waarom krijg ik een advies over trackers?
We zien alleen de HTML die je server stuurt. Staat het script van een tracker daar gewoon in, dan laadt het direct, ook vóór de keuze van de bezoeker. Een banner die trackers tegenhoudt, doet dat meestal door het script als type="text/plain" te zetten. Dat herkennen we, en dan telt het niet.
Hoe vaak klopt de lijst met versies nog?
De nieuwste WordPress-versie halen we bij elke scan op bij api.wordpress.org. De PHP-tabel komt van php.net. Bij die tabel staat een datum waarop hij opnieuw wordt gelezen. Is die datum voorbij, dan geeft de scanner bij PHP geen oordeel meer tot de tabel is bijgewerkt.
Zet je site op de brug
Eén domeinnaam, een halve minuut, en je weet waar je staat.