Website security check: is je website veilig?
Vul je domein in en zie hoe je site er van buitenaf voor staat: https, beveiligingsheaders, je PHP-versie en de bekende zwakke plekken van WordPress. Daaronder lees je wat elk punt betekent.
Website security check
We lezen alleen wat elke bezoeker kan zien: headers, de homepage en een paar bekende adressen.
Deze check ziet alleen de buitenkant. Plugins, wachtwoorden en de server zelf kunnen we zo niet beoordelen.
Wat de website security check controleert
We kijken naar wat elke bezoeker kan zien: de antwoorden van je server, je homepage en een paar adressen die bij veel sites per ongeluk openstaan. Je hoeft niets op je site te installeren. Per punt:
| Punt | Wat het betekent | Wat je eraan doet |
|---|---|---|
| HTTPS en doorsturen | Of de verbinding tussen bezoeker en site versleuteld is, en of wie http typt automatisch op https uitkomt. | Vraag je hoster om een gratis certificaat (Let’s Encrypt) en een doorverwijzing naar https. |
| HSTS | Een header die browsers laat onthouden dat je site alleen via https mag. | Eén regel in de serverinstellingen, of één vinkje bij Cloudflare. Pas aanzetten als https overal werkt. |
| Content-Security-Policy | Een lijst van bronnen waar scripts vandaan mogen komen. Raakt een plugin besmet, dan draait vreemde code minder makkelijk mee. | Vraagt wat uitzoekwerk: een te strenge regel breekt je site. Begin in de modus die alleen meldt. |
| Bescherming tegen inbedden | Of andere sites jouw pagina’s onzichtbaar in een frame kunnen laden, om bezoekers op iets anders te laten klikken (clickjacking). | De header X-Frame-Options of frame-ancestors in je Content-Security-Policy. |
| Kleine headers | X-Content-Type-Options en Referrer-Policy maken browsers iets strenger en lekken minder informatie naar andere sites. | Twee regels in de serverinstellingen. Weinig werk, en het helpt. |
| Zichtbare versies | Of je server, PHP of WordPress laat zien welke versie draait. Aanvallers zoeken zo gericht naar sites met bekende lekken. | Verberg de versies, maar vooral: werk bij. Een verborgen oude versie blijft lek. |
| PHP-versie | Als je server zijn PHP-versie laat zien, vergelijken we die met de lijst van PHP2Shell, het lek van oktober 2026. | Update PHP, of laat je hoster dat doen. Zie hieronder. |
| .git en .env | Bestanden die nooit openbaar mogen zijn: je broncode en de bestanden met wachtwoorden en sleutels. | Direct afschermen en daarna alle wachtwoorden en sleutels vervangen die erin stonden. |
| WordPress: inlog, XML-RPC, gebruikers | Of de inlogpagina op het standaardadres staat, of xmlrpc.php aan staat en of gebruikersnamen op te vragen zijn. Samen maken ze wachtwoorden raden makkelijker. | Tweestapsverificatie, een limiet op inlogpogingen, XML-RPC uit en de gebruikerslijst afschermen. |
| Mapinhoud en readme | Of je uploadmap een lijst van alle bestanden toont, en of het standaardbestand readme.html van WordPress nog online staat. | Directory listing uitzetten en readme.html verwijderen. |
Een rood punt bij .git of .env is het enige dat echt niet kan wachten. Daar staan vaak wachtwoorden in. Scherm het vandaag af en vervang alles wat erin stond.
Wat de check niet kan zien
Is mijn website veilig? Die vraag beantwoordt geen enkele scan van buitenaf helemaal. Dit valt buiten beeld:
- Plugins en thema’s. Welke er draaien en of ze bijgewerkt zijn, zie je van buitenaf maar deels. Bij WordPress zit daar het grootste risico: 91% van de nieuwe lekken zit in plugins.
- Wachtwoorden en accounts. Of er zwakke wachtwoorden zijn, oude beheerders of accounts zonder tweestapsverificatie.
- De server zelf. De software, de instellingen en wie er verder toegang heeft. Een lek in PHP zie je alleen als de server zijn versie prijsgeeft.
- Malware. Dit is geen malware scan: die kijkt in de bestanden op de server, en daar kunnen wij van buitenaf niet bij. Vraag je hoster om een scan als je twijfelt.
Zoek je een algemene blik op je site, zoals snelheid, mobiel en vindbaarheid? Gebruik dan de website check.
Wat te doen bij een slechte score
- Begin bij de rode punten: openbare
.git- of.env-bestanden, geen https, of een uploadmap die alles laat zien. - Check je PHP-versie. Draait je site op PHP 8.1 of ouder, of op een versie zonder de patch voor PHP2Shell, dan is dat het volgende. Lees hoe je je PHP-versie veilig updatet of doe de PHP2Shell-check.
- Werk WordPress, plugins en thema’s bij en verwijder wat je niet gebruikt. De checklist voor WordPress beveiligen zet de maatregelen op volgorde.
- Dan de headers. HSTS, X-Content-Type-Options en bescherming tegen inbedden zijn kleine regels voor je hoster of developer. Content-Security-Policy vraagt meer tijd.
- Vermoed je dat je site al gehackt is? Stop met optimaliseren en volg eerst de stappen voor een gehackte website.
Wil je dit niet zelf bijhouden? Lees dan wat WordPress onderhoud kost.
Hoe wij helpen
Stuur ons het rapport via WhatsApp. We kijken het handmatig na en zeggen wat er moet gebeuren. Bestaande WordPress-sites repareren of onderhouden we niet. Wel bouwen we je site opnieuw als statische site, zonder WordPress, PHP of plugins. Dan staat er op de server geen software die een aanvaller kan misbruiken, en staan de headers uit deze check er standaard goed in.
Je teksten, domein, e-mail en posities in Google gaan mee. Je ziet eerst een proefversie en betaalt pas als je verder wil. Zo werkt de overstap van WordPress.
Vanaf €399 eenmalig daarna vanaf €39 per maand, excl. btw
Vragen
Is deze website security check veilig voor mijn site?
Ja. We doen alleen wat een gewone bezoeker ook doet: de homepage en een paar bekende adressen opvragen en de headers lezen. We proberen niet in te loggen en sturen geen aanvallen.
Mijn score is goed. Is mijn website dan veilig?
Dan is de buitenkant op orde. Verouderde plugins, zwakke wachtwoorden en lekken op de server ziet de check niet.
Waarom staat mijn PHP-versie niet in het rapport?
Dan stuurt je server zijn versie niet mee. Dat is goed, maar je moet hem dan zelf opzoeken, bijvoorbeeld in je hostingpaneel of in WordPress onder Sitestatus.
Wat is het verschil met de website check?
De website check kijkt naar je site als geheel: snelheid, mobiel, vindbaarheid en contact. Deze security check kijkt alleen naar beveiliging.
Wat kost het als jullie het oplossen?
Dat hangt af van wat er mis is. Headers zijn voor je hoster of developer meestal een klein klusje. Bouwen wij je site opnieuw als statische site, dan kost dat vanaf €399 eenmalig en €39 per maand, excl. btw, en vallen de meeste punten in één keer weg.
Actuele lekken in PHP, CMS’en en hosting volgen we in de Security Watchdog. Over het lek van oktober 2026: PHP2Shell.
Rode punten in je rapport?
App ons het adres van je site. We laten je weten wat er moet gebeuren, en wat het kost.