Onderstaand een ontzettend herkenbaar (zzp) ondernemersprobleem. Bereikbaarheid – Beschikbaarheid & Betrouwbaarheid in welk onderdeel ook.
HeadFirst.
Beveiligingsheaders (Security Headers) zijn inderdaad hét perfecte praktijkvoorbeeld van hoe audit-sites zzp schoonmaakondernemers onnodig en Tijdloos de stuipen op het lijf jagen. StangLang (er). ®
Als je een website scant via tools als Pentest-Tools, ImmuniWeb of zelfs de bekende SecurityHeaders.com, krijg je al snel een dikke, rode F of D-score omdat je bijvoorbeeld geen Content-Security-Policy (CSP) of Permissions-Policy hebt ingesteld.
Voor je eigen schoonmaak blog clean (ing) performance dagboek is dit een fantastische toevoeging, omdat het precies de vinger op de zere plek legt en een oplossing aanbiedt:
- De angst: De audit-site doet alsof je website wagenwijd openstaat voor hackers en elk moment kan exploderen.
- De realiteit: Voor een gemiddelde mkb-site, portfolio of eenvoudige blog zijn al die hardcore enterprise-headers vaak zware overkill. Sterker nog: als een leek zomaar een complexe
CSP-header kopieert en plakt, breken vaak direct alle plug-ins, YouTube-vimeo embeds of het lettertype van Google Fonts. De site doet het dan simpelweg niet meer.
Hoe je dit verwerkt in je blog (De “Header-valkuil”):
Dat die scanners statisch testen is niksnieuws. Ze, vele kijken puur in een checklist of het vinkje er staat, zonder te snappen wat voor website het is. Een rode score betekent niet dat je site gehackt is; het betekent alleen dat je niet de beveiligingsinstellingen van een online bank gebruikt.
Om beveiligingsheaders en algemene webveiligheid betrouwbaar en zonder onnodige paniekzaaierij, meer objectief te testen, kun je het beste de officiële standaarden gebruiken. Deze tools zijn niet al te commercieel, verkopen je geen dure abonnementen en geven duidelijke, objectieve feedback.
Dit is de absolute Top 3 van Betrouwbare schoonmaak testtools:
1. SecurityHeaders.com (door Scott Helme)
Dit is de wereldwijde standaard voor het testen van HTTP-beveiligingsheaders. De tool is gebouwd door cybersecurity-expert Scott Helme en is extreem transparant.
- Waarom betrouwbaar: Het verkoopt niks. Je krijgt een duidelijke letter-score (A+ tot F).
- De nuance voor je blog: Het legt per header exact uit waarom het belangrijk is en geeft duidelijke copy-paste voorbeelden om het op te lossen.
2. Internet.nl (Initiatief van de Nederlandse internetcommunity)
Dit is een gezamenlijk initiatief van de Nederlandse overheid (NCSC), de internetsector (o.a. SIDN) en brancheverenigingen.
- Waarom betrouwbaar: Volledig onafhankelijk, open-source en specifiek gericht op moderne webstandaarden.
- De nuance voor je blog: Deze tool test niet alleen je headers, maar ook je HTTPS-verbinding, DNS-beveiliging (DNSSEC) en e-mail. Het geeft een heel nuchtere procentuele score en legt in begrijpelijk Nederlands uit wat je moet doen.
3. Mozilla Observatory
Gebouwd door Mozilla (de makers van de Firefox-browser) om webontwikkelaars te helpen hun sites veiliger te maken.
- Waarom betrouwbaar: Mozilla heeft geen commercieel belang bij het bang maken van site-eigenaren. Hun testcriteria zijn streng, maar zeer technisch onderbouwd.
- De nuance voor je blog: Waar vage audit-sites vaak direct ‘scam’ roepen, geeft Mozilla je een heel helder technisch audit-rapport met aanbevelingen die écht hout snijden voor moderne webbrowsers.
De Nobrainer”Disclaimer” bij deze top 3.
Staar je niet blind op een perfecte A-score.
Om een ‘A’ of ‘A+’ te halen op deze sites, moet je vaak een zeer strikt Content Security Policy (CSP) instellen. Voor een gemiddelde WordPress-site met een paar plug-ins (zoals Google Analytics of een Facebook Pixel) zorgt zo’n strikt beleid er direct voor dat die functies blokkeren. Een B-score is voor 95% van de normale websites al meer dan uitstekend!
Lees méér.
Verbeter een VAK & Vind meer Resultaat® maar waar en hoe test je 123handy url bereikbaarheid? Er zijn duizenden online audit- en testtools, en ze roepen allemaal wat anders. Goed, Fout, Slecht. Niksnieuws anders verkopen ze ´niks´ natuurlijk. De ene site zegt dat je website perfect is, terwijl de andere tool roept dat je site in de helft van de wereld platligt. Het is heel makkelijk om daardoor door de bomen het bos niet meer te zien.
Veel van die gratis scanners, Website en tools audits gebruiken verouderde servers of simuleren verkeer op een manier die jouw eigen serverbeveiliging direct als “verdacht” markeert. Dan geeft de tool aan dat je site ‘plat’ ligt, terwijl je server in werkelijkheid gewoon netjes de aanval van die testtool afslaat. Je site doet het dan dus juist wél!
Als je in de toekomst je site betrouwbaar wilt testen kun je het beste deze drie officiële en gratis standaarden aanhouden:
- Voor wereldwijde bereikbaarheid: Een simpele, betrouwbare ping-test zoals DNS Checker. Als die groene vinkjes geeft, zit het met de techniek wel goed.
- Voor snelheid en techniek: Google PageSpeed Insights. Dit is de officiële tool van Google zelf. Wat zij ervan vinden, is het belangrijkste voor de vindbaarheid.
- Voor fouten in Google: Google Search Console. Dit is je dashboard rechtstreeks bij Google. Als er écht iets mis is met de bereikbaarheid van je pagina’s, herken je dat hier direct aan de meldingen.
