Website beveiliging controleren met een praktische checklist

Het is goed om eerst de scope eerlijk vast te leggen. Deze checklist richt zich op publiek zichtbare beveiligingssignalen: dingen die iedereen aan de buitenkant van je website en domein kan meten. Denk aan een geldig SSL-certificaat, een correcte HTTPS-doorverwijzing, security headers in je serverantwoorden en de DNS-records die bepalen wie namens jouw domein e-mail mag versturen. Dit zijn precies de onderdelen die klanten, Google en geautomatiseerde scanners als eerste tegenkomen.

Wat je hiermee niet controleert, is minstens zo belangrijk om te benoemen. Een goede score op deze checklist zegt niets over verouderde plugins, zwakke wachtwoorden, SQL-injecties, lekken in je CMS of misconfiguraties in je serverbeheer. Die vragen om een diepere, vaak handmatige beoordeling of een echte penetratietest. Zie deze checklist daarom als de basishygiëne: noodzakelijk, maar niet voldoende als enige maatregel.

Voor mkb-ondernemers is dit onderscheid praktisch. Je kunt met deze controles zelfstandig de meest voorkomende en zichtbare zwakke plekken afvangen, en pas een specialist inschakelen voor het diepere werk. Voor webbureaus is het een handige standaard om bij elke oplevering en bij periodiek onderhoud langs te lopen, zodat je niets vergeet en het richting de klant aantoonbaar maakt.

De eerste stap bij website beveiliging controleren is altijd de verbinding zelf. Controleer of je website over HTTPS draait, of het SSL-certificaat geldig is en of het van een vertrouwde uitgever komt. Een verlopen of verkeerd geïnstalleerd certificaat zorgt voor browserwaarschuwingen die bezoekers direct afschrikken, ongeacht hoe goed de rest van je site is.

Kijk daarnaast naar de doorverwijzingen. Alle varianten van je domein, dus met en zonder www en de http-versie, horen automatisch en zonder omwegen op één HTTPS-adres uit te komen. Een veelgemaakte fout is dat de homepage netjes naar HTTPS gaat, maar dat oude links of een specifiek subdomein nog op een onversleutelde verbinding blijven hangen. Dat is precies het soort gat dat je bij een snelle handmatige test makkelijk over het hoofd ziet.

Let ook op de geldigheidsduur. Veel certificaten, zeker gratis varianten via Let's Encrypt, lopen elke 90 dagen af en horen automatisch te vernieuwen. Controleer of die vernieuwing daadwerkelijk werkt, want een mislukte auto-renew is een klassieke oorzaak van een plotseling onbereikbare of als onveilig gemarkeerde site. Noteer de vervaldatum of laat monitoring je hierop attenderen, zodat je nooit verrast wordt.

Security headers zijn instructies die je server meestuurt en die de browser vertellen hoe hij veiliger met jouw pagina moet omgaan. Ze kosten niets, maar worden op heel veel websites simpelweg vergeten. De belangrijkste om te controleren zijn HSTS (dwingt HTTPS af), Content-Security-Policy (beperkt welke scripts en bronnen mogen laden), X-Frame-Options (voorkomt clickjacking via iframes), Referrer-Policy en Permissions-Policy.

De waarde van headers zit in de details, dus controleer niet alleen of ze aanwezig zijn maar ook of ze zinnig zijn ingesteld. Een Content-Security-Policy die alles toestaat biedt nauwelijks bescherming, en een HSTS-header met een hele korte geldigheidsduur stelt weinig voor. Tegelijk is voorzichtigheid geboden: vooral CSP kan formulieren, betaalflows, analytics of chatwidgets breken als externe bronnen niet correct zijn opgenomen.

Voer headerwijzigingen daarom altijd gefaseerd door. Begin met de veilige, onschuldige headers zoals X-Frame-Options en Referrer-Policy, en bewaar CSP voor het laatst, eventueel eerst in report-only modus zodat je ziet wat er geblokkeerd zou worden zonder dat er echt iets stukgaat. Test na elke wijziging de belangrijke functionaliteit. Een CheckBorg-scan laat in één oogopslag zien welke headers ontbreken of zwak zijn ingesteld, zodat je gericht kunt prioriteren.

E-mailbeveiliging valt buiten de website zelf, maar hoort wel bij het controleren van je domein, want misbruik raakt direct je merk en je klanten. Drie DNS-records doen hier het werk: SPF bepaalt welke servers namens jouw domein mogen verzenden, DKIM zet een digitale handtekening op je berichten, en DMARC vertelt ontvangende mailservers wat ze moeten doen met berichten die niet door SPF of DKIM komen.

Zonder deze records is je domein een aantrekkelijk doelwit voor spoofing: kwaadwillenden sturen dan phishingmails die lijken te komen van jouw bedrijf. Klanten die zo'n nepmail ontvangen, geven jou de schuld, ook al heb je er technisch niets mee te maken. Goed ingestelde SPF, DKIM en DMARC maken dat veel moeilijker en verbeteren bovendien de afleverbaarheid van je échte e-mail.

Wees voorzichtig met de strengheid van DMARC. Een DMARC-beleid op reject is het sterkst, maar pas zodra je zeker weet dat alle legitieme verzenders, denk aan je nieuwsbrieftool, CRM, facturatiesysteem en eventuele externe leveranciers, correct zijn opgenomen in SPF en DKIM. Begin daarom met een beleid op none en monitor de rapporten, schakel daarna naar quarantine en pas als laatste naar reject. Zo voorkom je dat je per ongeluk je eigen post tegenhoudt.

Website beveiliging controleren is geen eenmalige actie maar een terugkerend onderdeel van onderhoud. Beveiligingssignalen veranderen: certificaten lopen af, een nieuwe marketingtool wijzigt onbedoeld je DNS, een plugin-update overschrijft serverinstellingen, of een collega zet een testsubdomein online zonder HTTPS. Wat vandaag in orde is, kan over twee maanden een gat hebben.

Leg daarom vast wie waarvoor verantwoordelijk is. Vaak zijn er meerdere partijen betrokken: een hostingpartij, een webbureau en intern iemand voor marketing of tooling. Documenteer welke partij welke onderdelen opvolgt, en leg DNS- en securitywijzigingen vast inclusief datum, zodat je bij problemen snel kunt terugrollen. Een simpel logboek voorkomt urenlang zoekwerk wanneer er iets misgaat.

Voor mkb-bedrijven werkt een vaste maand- of kwartaalcontrole goed: loop de checklist langs, controleer certificaatdata, headers en DNS-records, en bewaar de uitkomst. Voor webbureaus is een herhaalbare scan bovendien een manier om onderhoudswaarde aantoonbaar te maken richting klanten. Een terugkerende CheckBorg-scan levert telkens een vergelijkbaar rapport, zodat je verbetering of achteruitgang over de tijd zichtbaar kunt maken zonder dat het handwerk wordt.