Website beveiligen: de checklist
Website beveiligen klinkt als één taak, maar het zijn er vier: het adres dat een bezoeker typt, de verbinding die daarna wordt opgezet, de headers die het antwoord dragen, en de post-laag die rond je domein draait. Wie "HTTPS aan" zet, heeft hooguit één van de vier gedaan.
De checklist hieronder is geen mening: bij élk puntje staat de meting die het kan bewijzen, en de tool in dit artikel die die meting doet. Een beveiligde website is geen gevoel — het is een reeks waarneembare antwoorden op adressen die anderen zien.
Begin bij de website-scan: één verzoek, vier lagen in één rapport, en een cijfer dat alleen telt waar echt gemeten is. Daarna wijst dit artikel per laag de tool die dieper graaft.
1. Het adres: wat er gebeurt als iemand typt
Beveiliging begint waar de bezoeker begint: typt hij voorbeeld.nl, wat ziet hij dan? Een redirect-keten die om drie hoeken gaat, een www-variant die op een ander certificaat landt, of een domein dat op IPv6 helemaal niet antwoordt — dat zijn geen stijlkwesties, het zijn antwoorden die een scanner noteert. Controleer de keten en beide adressen met de Domeinhygiëne.
De meetvraag is simpel: hoe ziet mijn domein eruit voor iemand die er niets van vooraf weet? Die vraag is precies wat de Domeinhygiëne stelt — nameservers, IPv4 en IPv6, MX, SPF en CAA in één rapport, opgevraagd via onze resolver, beoordeling in je browser.
2. De verbinding: certificaat en open versies
"HTTPS werkt" is een resultaat, geen beleid. Wat nog open staat naast TLS 1.3 — 1.2 is prima, 1.0 en 1.1 zijn verjaard — én of het certificaat op dit adres nog geldig is, wie het uitgaf en welke namen de SAN-dekking draagt, komt uit de handshake zelf. De Certificaat-check leest het certificaat, de SSL-test steekt élke versie apart op. Meer erover in TLS: wat is er nog open.
3. Het antwoord: headers die beleid dragen
HSTS zonder includeSubDomains, een CSP die niets doet, een cookie zonder Secure-vlag: de response-headers zijn waar beveiligingsbeleid zichtbaar wordt voor de buitenwereld. De HTTP-headers-tool legt hop voor hop bloot wat je origin zet en wat een proxy erbij knutselt — en de checklist beveiligingsheaders zegt wat er hoort te staan.
4. Meet vóór en meet erna
Eén scan is een momentopname; beveiliging is een verloop. Bewaar het rapport van vóór de wijziging en dat van erna en leg ze naast elkaar met de rapportvergelijker: "werd het beter?" krijgt dan een antwoord met twee data in plaats van een gevoel. De post-laag van je domein — SPF, DKIM, DMARC — hoort bij hetzelfde plaatje; SPF, DKIM en DMARC uitgelegd is daar de instap.