Voorbeeldrapport voor een fictieve bakkerij met WordPress, Cloudflare en Google Workspace. Er is geen echte website gecontroleerd.Mijn website controleren
Voorbeeldrapport
bakery.example
C
Beveiligingsscore
Met enkele oplossingen wordt uw bedrijf moeilijker aan te vallen.
Uw domein moet uiterlijk 25 oktober 2026 worden verlengd. Verloopt het, dan werken uw website en e-mail niet meer en kan iemand anders de naam kopen. Zonder verhuisvergrendeling kan iemand die in uw registraraccount komt, of uw registrar misleidt, uw domein makkelijker naar een ander bedrijf verhuizen.
Wat we vonden: verlenging uiterlijk 25 oktober 2026 · geen verhuisvergrendeling · registrar: OVH SAS
Wie kan het oplossen: Accounthouder bij de registrar
SPF somt de diensten op die e-mail namens uw domein mogen versturen. Zonder SPF, of met meerdere tegenstrijdige SPF-records, kunnen criminelen makkelijker e-mails in uw naam versturen en komen uw echte e-mails eerder in de spam terecht.
Wat we vonden: Uw domein ontvangt e-mail maar publiceert geen SPF-record, waardoor iedereen makkelijker e-mail kan versturen die van u lijkt te komen.
Wie kan het oplossen: Uw e-mailbeheerder en DNS-beheerder · hier gedetecteerd: Google Workspace (e-mail), Cloudflare (DNS)
Zonder HSTS proberen de browsers van uw bezoekers mogelijk eerst de onversleutelde versie van uw website, die op gedeelde netwerken zoals openbare wifi kan worden onderschept.
Wat we vonden: Uw website stuurt deze beschermende instelling (HTTP-header) niet naar browsers.
Wie kan het oplossen: Uw webhost of webontwikkelaar · hier gedetecteerd: Cloudflare (website), WordPress (website)
Uw webadres en e-mail vragen directe actie om uitval en misleiding te voorkomen.
Gemini 3.8 FlashAfgestemd op uw antwoord ‘Ik ben niet technisch’
Verhoogd risico
Uw website heeft een goede basis met een beveiligde verbinding, maar uw internetadres verloopt over 24 dagen en moet op tijd worden verlengd om bereikbaar te blijven. Daarnaast ontbreekt de bescherming die voorkomt dat internetcriminelen uit naam van uw bakkerij e-mails sturen naar klanten. Ook draait de website op verouderde software die gevoelig is voor geautomatiseerde aanvallen. Met enkele gerichte acties van uzelf en uw webbureau stelt u uw online bestellingen en reputatie veilig.
Pagina’s die de agent op uw site heeft verkend: 6
https://bakery.example/200
https://bakery.example/my-account/200
https://bakery.example/order/200
https://bakery.example/contact/200
https://bakery.example/legal-notice/200
https://bakery.example/privacy-policy/200
Verzoeken die zich identificeren als FmindCyber, alleen-lezen, beperkt tot uw domein en tot pagina’s waarnaar het linkt: geen inloggen, geen formulieren verzenden en geen geraden paden.
Uw actieplan
Nu doenEen paar minuten · De eigenaar van de bakkerij bij registrar OVH SASGratis
Domeinnaam per direct verlengen en verhuisslot activeren
Uw internetadres verloopt over 24 dagen. Als de registratie afloopt, zijn uw website, webwinkel en e-mailverkeer per direct onbereikbaar en kan een vreemde uw bedrijfsnaam registreren. Een verhuisslot zorgt ervoor dat niemand uw domein zonder uw toestemming kan overdragen.
Hoe u het doet
Log in op het klantenpaneel van uw domeinbeheerder OVH SAS.
Controleer de status van de domeinnaam bakery.example en verleng de registratie direct voor minstens één jaar.
Schakel automatische verlenging in en controleer of de gekoppelde betaalmethode geldig is.
Activeer in het domeinbeheer de verhuisvergrendeling (transfer lock) om ongeoorloofde verhuizingen te blokkeren.
Zet in uw OVH-account tweestapsverificatie aan voor maximale accountbeveiliging.
Controleer of het werkt: Controleer in het OVH-dashboard of de nieuwe vervaldatum in 2027 staat en de status vergrendeld aangeeft. Voer daarna de controle opnieuw uit.
Volgende stap, zodra dit werkt: Noteer de jaarlijkse verlengingsdatum in uw zakelijke agenda als extra controle.
Nu doenEen paar uur · Uw IT-beheerder of DNS-beheerder (Cloudflare en Google Workspace)Meestal inbegrepen bij uw provider
E-mailauthenticatie instellen met SPF en DMARC
Zonder deze controleberichten kan iedereen ter wereld e-mails versturen die afkomstig lijken van uw bakkerij. Dit maakt het voor internetcriminelen makkelijk om uit uw naam valse betaalverzoeken naar klanten te sturen. Bovendien belanden uw eigen zakelijke e-mails daardoor sneller in de spambox.
Hoe u het doet
Vraag uw DNS-beheerder om in Cloudflare een TXT-record voor SPF toe te voegen waarin Google Workspace als geautoriseerde afzender staat.
Laat de e-mailbeheerder in Google Admin via Apps → Google Workspace → Gmail → E-mail verifiëren controleren of DKIM-ondertekening actief is.
Vraag om bij het domein een DMARC-record aan te maken met toezichtstatus (p=none) en een rapportage-adres voor foutmeldingen.
Activeer zelf tweestapsverificatie op uw Google-account via myaccount.google.com onder Beveiliging met een authenticator-app of fysieke sleutel.
TXT op bakery.example:
v=spf1 include:_spf.google.com ~all
TXT op _dmarc.bakery.example:
v=DMARC1; p=none; rua=mailto:goldencrust.bakery@gmail.com
Controleer of het werkt: Stuur na verwerking een testmail vanuit uw Google-account naar een externe mailbox en controleer in de details of SPF en DKIM slagen. Voer daarna deze controle opnieuw uit.
Volgende stap, zodra dit werkt: Controleer na enkele weken de verzamelde rapporten en schroef het DMARC-beleid via uw beheerder op naar p=quarantine en uiteindelijk p=reject.
Nu doenEen paar uur · Pixel Agency (uw webbureau)Meestal inbegrepen bij uw provider
WordPress, WooCommerce en plug-ins bijwerken naar recente versies
De website draait op een oudere versie van het beheersysteem en verouderde hulpbestanden waarin bekende beveiligingslekken zitten. Kwaadwillenden speuren het internet af naar deze zwakke plekken om geautomatiseerd in te breken, bestelgegevens te stelen of schadelijke code te injecteren.
Hoe u het doet
Vraag Pixel Agency om vooraf een volledige reservekopie (back-up) te maken van de websitebestanden en de database.
Laat hen WordPress bijwerken van versie 6.8 naar de actuele versie (7.1.3 of nieuwer) en automatische beveiligingsupdates activeren.
Laat hen alle plug-ins bijwerken, in het bijzonder WooCommerce, Contact Form 7 en Cookie Notice, en verwijder plug-ins die niet meer nodig zijn.
Vraag het bureau om het versienummer van WordPress af te schermen in de broncode van de pagina.
Stel voor alle beheerdersaccounts in WordPress verplichte tweestapsverificatie in.
Controleer of het werkt: Vraag Pixel Agency om bevestiging van de update en controleer in het WordPress-beheerpaneel onder Dashboard → Updates of alle meldingen zijn verdwenen.
Volgende stap, zodra dit werkt: Laat Pixel Agency maandelijks periodiek onderhoud uitvoeren zodat updates tijdig en veilig worden doorgevoerd.
Binnenkort doenEen paar uur · Pixel Agency en de beheerder van CloudflareMeestal inbegrepen bij uw provider
Verbinding beveiligen met HSTS en framingbescherming
Hiermee dwingt u af dat browsers altijd de beveiligde verbinding gebruiken en nooit een onbeveiligde versie proberen. Daarnaast voorkomt u dat andere websites uw bestelpagina onzichtbaar in een venster laden om stiekem muisklikken van bezoekers af te vangen.
Hoe u het doet
Laat Pixel Agency in WordPress onder Instellingen → Algemeen zorgen dat het webadres begint met https:// en vervang de onveilige afbeeldingslink van het logo door de beveiligde link.
Laat de beheerder in Cloudflare onder SSL/TLS → Edge Certificates de schakelaar Always Use HTTPS aanzetten.
Maak in Cloudflare onder Rules → Overview een Response Header Transform Rule aan voor Strict-Transport-Security met een initiële testwaarde van max-age=300.
Voeg in dezelfde regel een header toe voor X-Frame-Options met de waarde SAMEORIGIN.
Match: (http.host eq "bakery.example" and ssl)
Operation: Set static
Header: Strict-Transport-Security, Value: max-age=300
Header: X-Frame-Options, Value: SAMEORIGIN
Controleer of het werkt: Open de website in een browser en controleer of er geen waarschuwingen over gemengde inhoud zijn. Voer daarna deze controle opnieuw uit om te controleren of HSTS als actief wordt gezien.
Volgende stap, zodra dit werkt: Verhoog na een foutloze testperiode van enkele dagen de HSTS-duur via Cloudflare naar minstens zes maanden (max-age=15768000) of één jaar (max-age=31536000).
LaterEen paar uur · Pixel AgencyMeestal inbegrepen bij uw provider
Beveiligingscontact publiceren en koekjesbeveiliging aanscherpen
Een openbaar contactbestand zorgt ervoor dat ethische beveiligingsonderzoekers u snel kunnen bereiken als zij een probleem ontdekken. Goed beveiligde koekjes zorgen ervoor dat gegevens niet via onbeveiligde verbindingen kunnen weglekken.
Hoe u het doet
Vraag Pixel Agency om een tekstbestand te plaatsen op de locatie /.well-known/security.txt met een geldig e-mailadres en een toekomstige verloopdatum.
Laat de webontwikkelaar controleren dat koekjes zoals wp_lang altijd met het kenmerk Secure worden meegestuurd.
Bespreek met het bureau om op termijn een verkennend beleid voor goedgekeurde bronnen (CSP) in testmodus in te stellen om ongeoorloofde scripts te signaleren.
Controleer of het werkt: Surf naar https://bakery.example/.well-known/security.txt en controleer of het tekstbestand direct zichtbaar is in de browser.
Volgende stap, zodra dit werkt: Zet een jaarlijkse herinnering in de agenda om de datum in het contactbestand voor het verstrijken te vernieuwen.
Beste beheerder,
Onlangs hebben wij een beveiligingsbeoordeling laten uitvoeren voor onze website en ons domein (bakery.example). Hieruit zijn enkele belangrijke verbeterpunten naar voren gekomen die wij graag op korte termijn willen doorvoeren.
Zou u ons kunnen helpen met de volgende werkzaamheden, gerangschikt op prioriteit?
1. E-mailauthenticatie configureren (hoge prioriteit)
- Voeg in de DNS bij Cloudflare een SPF-record toe voor Google Workspace:
v=spf1 include:_spf.google.com ~all
- Controleer in Google Admin (Apps > Google Workspace > Gmail > E-mail verifiëren) of de DKIM-ondertekening actief is.
- Stel een DMARC-record in om te starten met toezicht:
TXT op _dmarc.bakery.example: v=DMARC1; p=none; rua=mailto:goldencrust.bakery@gmail.com
2. WordPress, plug-ins en thema bijwerken (hoge prioriteit)
- Maak vooraf een volledige back-up van de bestanden en database.
- Werk WordPress bij van versie 6.8 naar de meest recente stabiele versie en schakel automatische updates in.
- Werk alle plug-ins bij (waaronder WooCommerce, Contact Form 7 en Cookie Notice) en werk het thema Astra bij.
- Schakel het openbaar tonen van het WordPress-versienummer uit.
- Zorg dat tweestapsverificatie verplicht is voor alle beheerderaccounts.
3. Beveiligde verbinding en beveiligingsheaders afdwingen (binnenkort)
- Zorg dat in WordPress zowel het WordPress-adres als het Siteadres op https:// staan en werk de logo-afbeelding bij zodat deze via HTTPS laadt.
- Schakel in Cloudflare 'Always Use HTTPS' in.
- Configureer in Cloudflare via een Response Header Transform Rule:
Strict-Transport-Security: max-age=300
X-Frame-Options: SAMEORIGIN
4. Beveiligingsbestand en koekjesconfiguratie (later)
- Plaats een bestand op /.well-known/security.txt met onze contactgegevens en een vervaldatum:
Contact: mailto:goldencrust.bakery@gmail.com
Expires: 2027-10-31T23:59:59Z
Canonical: https://bakery.example/.well-known/security.txt
- Zorg dat het koekje wp_lang het kenmerk Secure meekrijgt.
- Onderzoek de mogelijkheid om een verkennend Content Security Policy (report-only) op te zetten.
Kunt u laten weten wanneer u deze punten kunt oppakken en of u hier nog vragen over heeft?
Alvast hartelijk dank voor uw ondersteuning.
Met vriendelijke groet,
[Name]
Golden Crust Bakery
Meer uit uw analyse: risico’s, wat de agent opviel, stappenplan en woordenlijst
Wat er mis kan gaan
Waarschijnlijk
Factuurfraude en misleiding van klanten via nagemaakte e-mails
Omdat er geen regels zijn ingesteld die controleren wie namens uw bakkerij mag mailen, kunnen oplichters eenvoudig berichten versturen die exact van uw domein lijken te komen. Een aanvaller stuurt bijvoorbeeld een valse orderbevestiging of gewijzigd bankrekeningnummer naar een klant die een grote cateringbestelling of bruidstaart heeft geplaatst. De klant denkt dat het bericht echt van uw bakkerij afkomstig is en maakt het geld over naar de rekening van de oplichter. Dit leidt tot direct financieel verlies voor uw klant en ernstige reputatieschade voor uw onderneming.
Waarschijnlijk
Inbraak op de website via verouderde software
Geautomatiseerde scans van aanvallers zoeken het internet voortdurend af naar websites die draaien op oudere softwareversies met bekende zwakke plekken. Omdat uw websitebeheersysteem en gekoppelde hulpbestanden niet zijn bijgewerkt, kan een aanvaller misbruik maken van deze bekende ingangen om zonder wachtwoord toegang te krijgen tot het beheer van uw website. Eenmaal binnen kan de aanvaller bestelgegevens van klanten inzien, de website onbereikbaar maken of stiekem kwaadaardige software plaatsen die bezoekers doorstuurt naar malafide pagina's.
Wat de agent op uw site opviel
Onderhoudspartner en hostingpartij zijn vermeld in het colofonWaargenomen
Op de pagina met juridische gegevens vermeldt u dat Pixel Agency de website heeft gebouwd en onderhoudt, en dat de hosting plaatsvindt bij OVHcloud. Dit biedt direct duidelijkheid over wie verantwoordelijk is voor het uitvoeren van updates aan het beheersysteem en de plug-ins.
Website built and maintained by Pixel Agency. Hosting: OVHcloud, Roubaix, France.https://bakery.example/legal-notice/
Gratis Gmail-adres gebruikt als primair contactadresWaargenomen
In de voettekst en op de contactpagina staat een gratis Gmail-adres (goldencrust.bakery@gmail.com), terwijl uw domein al is gekoppeld aan Google Workspace. Het gebruik van een e-mailadres op uw eigen domeinnaam oogt professioneler en verkleint de kans dat klanten twijfelen aan de echtheid van berichten.
Bestandsupload aanwezig op het contactformulierWaargenomen
Het contactformulier biedt bezoekers de mogelijkheid om voorbeeldfoto's voor taarten mee te sturen. Omdat bestanden naar de webserver worden geüpload, is het essentieel dat de plug-in Contact Form 7 streng controleert op bestandstypen en bestandsgrootte om misbruik met kwaadaardige bestanden te voorkomen.
Analytische scripts laden voorafgaand aan cookietoestemmingWaargenomen
Het script voor Google Tag Manager wordt direct bij het openen van de homepage geladen, tegelijk met het script voor de cookiemelding. Het verdient aanbeveling om met een privacyadviseur na te gaan of meetscripts pas na actieve toestemming van de bezoeker geactiveerd mogen worden.
De website gebruikt een geldig beveiligingscertificaat met moderne versleuteling, waardoor bezoekers standaard een beveiligde verbinding zien.
Bezoekers die het webadres zonder beveiliging intypen, worden automatisch doorgestuurd naar de veilige versie van de website.
De website staat niet als gevaarlijk of verdacht geregistreerd bij beveiligingsscans van Google.
Er zijn regels vastgelegd die bepalen welke instanties beveiligingscertificaten voor uw domein mogen uitgeven.
Voor de zakelijke e-mailomgeving is al een digitale handtekeningsleutel aanwezig in de domeininstellingen.
De server stuurt een instelling mee die voorkomt dat browsers bestandstypen op een onveilige manier interpreteren.
Woorden in dit rapport
SPF
Een openbare lijst in uw domeininstellingen die aangeeft welke mailservers namens uw bedrijf e-mails mogen versturen.
DKIM
Een digitale handtekening die aan uitgaande e-mails wordt toegevoegd om te bewijzen dat het bericht echt door uw bedrijf is verstuurd en onderweg niet is gewijzigd.
DMARC
Een beleidsregel die ontvangende mailservers vertelt wat ze moeten doen met e-mails die niet door de SPF- of DKIM-controle komen, zoals blokkeren of in spam plaatsen.
HSTS
Een instelling die de webbrowser van een bezoeker dwingt om altijd de beveiligde HTTPS-versie van uw website te gebruiken.
CSP
Content Security Policy, een beveiligingsinstructie die bepaalt welke externe scripts, lettertypen en afbeeldingen op uw website mogen worden geladen.
Tweestapsverificatie
Een extra beveiligingslaag waarbij u naast uw wachtwoord een tijdelijke code op uw telefoon invoert om in te loggen.
Registrar lock
Een beveiligingsinstelling bij uw domeinbeheerder die voorkomt dat een domeinnaam zonder uw uitdrukkelijke toestemming naar een andere partij wordt verhuisd.
Transform Rule
Een regel in Cloudflare waarmee u automatisch beschermende HTTP-headers kunt toevoegen aan de antwoorden van uw website.
Deze beoordeling is gebaseerd op een passieve controle van buitenaf, openbare DNS-gegevens en een zorgvuldige verkenning van openbare pagina's van uw website, waaronder uw homepage, de inlogpagina, de bestelpagina, het contactformulier en de juridische toelichtingen. Wij hebben geen inlogpogingen gedaan, geen formulieren verzonden en geen beveiligingslekken actief uitgebuit. Een passieve controle kan niet achter de schermen kijken: configuraties van de achterliggende webserver, interne database-instellingen, de sterkte van individuele wachtwoorden en de daadwerkelijke aflevering van e-mails in mailboxen van ontvangers kunnen hierdoor niet worden waargenomen. Raadpleeg voor juridische en privacy-eisen altijd een gekwalificeerd adviseur. Geschreven door een AI-agent in een geïsoleerde sandbox op basis van het bewijs in dit rapport en de pagina’s die hij heeft verkend; de score en de controles hieronder komen uit deterministische tests.
Dit premiumvoorbeeld is in het Engels geschreven. Uw eigen premiumanalyse wordt in uw taal geschreven.
AI-actieplan
Renew your domain urgently, update WordPress, and protect your bakery against email spoofing.
Premium · Gemini 4 ArgonAfgestemd op uw antwoord ‘Ik beheer mijn site via een beheerpaneel’
Verhoogd risico
Golden Crust Bakery (bakery.example) currently earns a C grade (score 65) with an elevated risk level. Your foundation has solid pieces in place: a valid TLSv1.3 HTTPS certificate, automatic redirection from HTTP to HTTPS, x-content-type-options: nosniff protection, CAA records restricting certificate issuance to letsencrypt.org, and Google Workspace MX and candidate DKIM records. However, three urgent issues put your business at immediate risk. First, your domain registration at OVH SAS is due for renewal on October 25, 2026, and has no transfer lock enabled, meaning your website and email could stop working or be transferred away if not renewed and locked today. Second, your website runs WordPress 6.8 (while 7.1.3 is available) and loads an outdated jQuery 1.12.4 library with known security flaws, while your public user sitemap and author page (/author/marie/) expose the administrator username marie. Third, your domain publishes no SPF record and its DMARC policy (p=none) does not block fake emails or send reports to any mailbox, allowing scammers to spoof @bakery.example emails to your catering and online-order customers. Working with Pixel Agency (listed on your legal notice as your website maintainer) and using your OVH, Cloudflare, and Google Workspace dashboards, you can resolve the most urgent domain, WordPress, and email spoofing risks this week and then add browser security headers and cookie protections over the coming month.
Pagina’s die de agent op uw site heeft verkend: 14
Verzoeken die zich identificeren als FmindCyber, alleen-lezen, beperkt tot uw domein en tot pagina’s waarnaar het linkt: geen inloggen, geen formulieren verzenden en geen geraden paden.
Uw actieplan
Nu doenEen paar minuten · Business owner (in your OVH SAS registrar dashboard)Gratis
Renew your domain name immediately and turn on the registrar transfer lock
Your domain registration is due for renewal on October 25, 2026, and has no transfer lock enabled. If it expires, both your website and email stop working immediately and someone else can buy your domain name. Without a transfer lock, anyone who gets into your registrar account can move your domain to another provider.
Hoe u het doet
Sign in to your OVH SAS control panel and open the Domain Names section for bakery.example.
Renew the domain immediately for at least one year, turn on automatic renewal, and confirm that your saved payment method is valid.
In the domain general information tab, enable the domain transfer lock (protection against transfer) and turn on two-step sign-in for your OVH account.
Controleer of het werkt: Check your OVH domain panel to confirm the new expiration date is in 2027 or later and that transfer protection shows as active.
Volgende stap, zodra dit werkt: Keep automatic renewal enabled and verify your saved payment card in OVH each year at least 30 days before the renewal date.
Nu doenEen paar uur · Pixel Agency (your web developer) and business owner in WordPress AdminMeestal inbegrepen bij uw provider
Update WordPress, plugins, and jQuery, and protect the administrator account
Your website runs WordPress 6.8 (while 7.1.3 is available) and loads jQuery 1.12.4, both of which have publicly known security flaws that automated bots actively target. In addition, your user sitemap and author page reveal the administrator username marie, making password-guessing attacks against your sign-in page much easier.
Hoe u het doet
Take a full backup of your website files and database through your OVHcloud hosting panel or backup plugin before making changes.
In WordPress, go to Dashboard -> Updates, update WordPress from 6.8 to 7.1.3, update your theme (astra4.6.2) and plugins (woocommerce8.9.1, contact-form-75.9.3, cookie-notice2.4.16), and click Enable auto-updates for all plugins and themes.
Ask Pixel Agency to replace the external https://code.jquery.com/jquery-1.12.4.min.js script with the current version bundled with WordPress, and to hide public version numbers (WordPress 6.8 and ?ver= query strings).
Enable two-step sign-in for the marie administrator account and any staff accounts, change the public display name so it differs from the login username, and restrict public user sitemaps (/wp-sitemap-users-1.xml) and file upload types on /contact/.
Controleer of het werkt: Check Dashboard -> Updates in WordPress to confirm version 7.1.3 and all plugin updates are installed, confirm jquery-1.12.4.min.js and the WordPress 6.8 generator tag no longer appear on your homepage, and test signing in with two-step verification.
Volgende stap, zodra dit werkt: Review installed plugins quarterly with Pixel Agency and remove any plugins or themes that are no longer used.
Nu doenEen paar uur · Business owner (in Google Workspace Admin) and DNS manager (in Cloudflare)Gratis
Publish an SPF record, confirm DKIM signing, and set up DMARC reporting
Your domain receives email through Google Workspace (smtp.google.com) and publishes a google._domainkey record, but has no SPF record at all and its DMARC policy (v=DMARC1; p=none) neither blocks fake emails nor sends reports to a mailbox. Criminals can spoof @bakery.example to send fake catering invoices to your customers, and genuine emails may land in spam.
Hoe u het doet
List every service that sends email using @bakery.example, including Google Workspace, your website forms (woocommerce and contact-form-7), and Mailchimp if it sends from your domain.
In Cloudflare, go to DNS -> Records and publish a single TXT record on bakery.example with v=spf1 include:_spf.google.com ~all (adding any other confirmed sending services to that same record).
In the Google Workspace Admin console, go to Apps -> Google Workspace -> Gmail -> Authenticate email, select bakery.example, and confirm that DKIM signing is active for your google._domainkey record.
In Cloudflare (DNS -> Records), update the _dmarc.bakery.exampleTXT record to add a monitored reporting mailbox (rua=mailto:postmaster@bakery.example) while keeping p=none during initial monitoring, and replace goldencrust.bakery@gmail.com on your website footer with an @bakery.example address once ready.
Controleer of het werkt: Send a test email from a @bakery.example Google Workspace mailbox to an external email address and check the received message headers to confirm spf=pass, dkim=pass, and dmarc=pass.
Volgende stap, zodra dit werkt: After two to four weeks of clean DMARC reports showing that all legitimate emails pass, update _dmarc.bakery.example from p=none to p=quarantine, and later to p=reject.
Binnenkort doenEen paar uur · Pixel Agency (your web developer)Meestal inbegrepen bij uw provider
Add Secure and HttpOnly cookie protections and fix unencrypted image links
Cookies set on your homepage (wp_lang) and sign-in page (wordpress_test_cookie) lack the Secure flag, allowing them to travel over unencrypted connections, and session cookies without HttpOnly can be stolen by malicious scripts to hijack accounts. In addition, your homepage loads its logo (http://bakery.example/wp-content/uploads/2019/03/logo.png) over unencrypted HTTP.
Hoe u het doet
In WordPress, go to Settings -> General and confirm both WordPress Address (URL) and Site Address (URL) use https://, then update http://bakery.example/wp-content/uploads/2019/03/logo.png and any other http:// media links to https://.
Ask Pixel Agency to review the cookies set across the site (wp_lang on the homepage and wordpress_test_cookie on /my-account/) and ensure every cookie sets the Secure attribute and all sign-in or session cookies also set HttpOnly.
While reviewing /my-account/, check the WooCommerce endpoint settings (WooCommerce -> Settings -> Advanced) so customers have a working password reset flow.
Controleer of het werkt: Open https://bakery.example/ and https://bakery.example/my-account/ in a browser, check the developer tools cookie list to confirm Secure (and HttpOnly for session cookies) are enabled, and verify no http:// mixed content warnings appear.
Volgende stap, zodra dit werkt: Whenever a new plugin is installed, check browser storage tools to ensure any new session cookies include Secure and HttpOnly.
Binnenkort doenEen paar minuten · Pixel Agency or business owner (in Cloudflare dashboard)Gratis
Enable HSTS, clickjacking protection, and Permissions-Policy headers in Cloudflare
Without Strict-Transport-Security (HSTS), visitors on public Wi-Fi can have their initial connection intercepted before redirecting to HTTPS. Without X-Frame-Options and Permissions-Policy, other websites can embed your pages in hidden frames to trick customers into clicking buttons (clickjacking), and scripts could request access to camera, microphone, or location features.
Hoe u het doet
In the Cloudflare dashboard for bakery.example, check SSL/TLS -> Edge Certificates to confirm Always Use HTTPS is enabled and Minimum TLS Version is set to at least TLS 1.2.
Go to Rules -> Overview and create a Response Header Transform Rule matching HTTPS requests for http.host eq "bakery.example" and ssl.
Add three Set static header actions: Strict-Transport-Security with value max-age=300 (a five-minute initial trial), X-Frame-Options with value SAMEORIGIN, and Permissions-Policy with value camera=(), microphone=(), geolocation=().
Match: (http.host eq "bakery.example" and ssl)
Set static: Strict-Transport-Security = max-age=300
Set static: X-Frame-Options = SAMEORIGIN
Set static: Permissions-Policy = camera=(), microphone=(), geolocation=()
Controleer of het werkt: Load https://bakery.example/ and verify in browser developer tools (Network tab) that Strict-Transport-Security, X-Frame-Options, and Permissions-Policy appear in the response headers and that all pages and the booking frame load normally.
Volgende stap, zodra dit werkt: Once you confirm all pages and subdomains work over HTTPS without errors, increase Strict-Transport-Security step by step to max-age=15768000 (six months) and then max-age=31536000 (one year).
Binnenkort doenEen paar uur · Pixel Agency (your web developer) in CloudflareMeestal inbegrepen bij uw provider
Deploy a Content Security Policy starting in report-only mode
Your pages load third-party scripts and frames without a Content-Security-Policy header. If a vulnerable plugin or compromised script injects malicious code into your order or sign-in pages, browsers currently have no rule stopping that code from running and stealing customer information.
Hoe u het doet
Ask Pixel Agency to list every external script, font, style, form action, and frame origin used across your site, including www.googletagmanager.com, booking.example.net, and bakery.us21.list-manage.com.
In Cloudflare (Rules -> Overview), add a Response Header Transform Rule setting Content-Security-Policy-Report-Only first, so browsers report policy violations without blocking anything on the live site.
Test every customer journey—signing in at /my-account/, ordering pick-up items at /order/, sending a message with an image at /contact/, and loading the booking widget on the homepage—before switching to enforcement.
Controleer of het werkt: Open your homepage, /my-account/, /order/, and /contact/ in a browser, confirm Content-Security-Policy-Report-Only is present in the response headers, and check the browser console to ensure legitimate features work cleanly.
Volgende stap, zodra dit werkt: After testing all key pages in report-only mode and resolving any legitimate warnings, change the header name from Content-Security-Policy-Report-Only to Content-Security-Policy to enforce the protection.
LaterEen paar minuten · Pixel Agency or website managerGratis
Publish a security.txt contact file for security researchers
No /.well-known/security.txt file is currently available on your website. If a security researcher or partner finds a problem on your site, they have no standard way to report it directly to your team.
Hoe u het doet
Set up a monitored email address or alias on your domain (such as security@bakery.example) for receiving security reports.
Ask Pixel Agency to publish a UTF-8 plain-text file at /.well-known/security.txt containing Contact:, Expires: (in RFC 3339 format), and Canonical: lines.
Controleer of het werkt: Open https://bakery.example/.well-known/security.txt in a browser and confirm it displays the plain-text contact file with a future expiration date.
Volgende stap, zodra dit werkt: Set a yearly calendar reminder to update the Expires: date before it lapses.
LaterEen paar minuten · DNS manager (in Cloudflare) and registrar manager (in OVH SAS)Gratis
Inspect and confirm end-to-end DNSSEC validation between Cloudflare and OVH SAS
Public DNS shows a published DS record for bakery.example, which helps prevent attackers from redirecting visitors or email to fake servers, but the passive check does not verify whether the cryptographic chain of trust is valid from end to end.
Hoe u het doet
Note that this item is unassessed rather than a confirmed defect; inspect the current setup before changing anything, because an incorrect change can make your domain unreachable.
In Cloudflare (DNS -> Settings -> DNSSEC) and your OVH SAS domain control panel, check that the active zone signing key matches the published parent DS record (key tag 2371, algorithm 13).
Ask Pixel Agency or your DNS administrator to run an independent end-to-end DNSSEC chain validation and document a rollback procedure before making any future DNS changes.
Controleer of het werkt: Confirm in Cloudflare's DNSSEC settings that DNSSEC shows as active and that your DNS administrator confirms end-to-end signature validation.
Volgende stap, zodra dit werkt: Before any future DNS migration or registrar change, coordinate disabling and re-enabling DNSSEC carefully so your domain stays reachable.
Hello Pixel Agency team,
We recently completed a security review of https://bakery.example/ and would like your help applying the following updates, ordered by priority:
1. Domain renewal and transfer lock (urgent - due October 25, 2026)
- Please confirm with us that bakery.example is renewed in the OVH SAS registrar panel, automatic renewal is enabled, and the registrar transfer lock is turned on.
2. WordPress core, plugins, jQuery, and administrator security (urgent)
- Back up the site on OVHcloud, then update WordPress from 6.8 to 7.1.3 and update the astra (4.6.2) theme and all plugins (woocommerce 8.9.1, contact-form-7 5.9.3, cookie-notice 2.4.16), enabling automatic updates.
- Replace the external https://code.jquery.com/jquery-1.12.4.min.js script with the current version bundled with WordPress.
- Remove the public WordPress 6.8 generator tag and ?ver= asset version strings, disable the public users sitemap (/wp-sitemap-users-1.xml), change the public display name for the marie administrator account, and enable two-step sign-in for all administrators.
- Verify that the file upload field on /contact/ strictly restricts allowed image types and file sizes.
3. Email authentication for @bakery.example (high priority)
- Confirm all services that send email from @bakery.example (Google Workspace, WooCommerce/Contact Form 7, and Mailchimp if applicable) and publish a single SPF TXT record on bakery.example, starting from v=spf1 include:_spf.google.com ~all.
- Confirm active DKIM signing for google._domainkey.bakery.example in Google Workspace Admin (Apps -> Google Workspace -> Gmail -> Authenticate email).
- Update _dmarc.bakery.example to include a monitored report address (v=DMARC1; p=none; rua=mailto:postmaster@bakery.example) so we can review reports and move to p=quarantine and p=reject.
4. HTTPS mixed content, cookies, and password reset link (soon)
- Update the unencrypted logo URL (http://bakery.example/wp-content/uploads/2019/03/logo.png) to https:// and verify both URLs under Settings -> General use https://.
- Ensure all cookies (including wp_lang and wordpress_test_cookie) use the Secure attribute and that sign-in/session cookies also use HttpOnly.
- Check the /my-account/lost-password/ endpoint in WooCommerce so customer password resets work properly, and check that Google Tag Manager (G-EXAMPLE) waits for cookie consent.
5. Cloudflare security headers, security.txt, and DNSSEC check (soon / later)
- In Cloudflare (Rules -> Overview), add a Response Header Transform Rule for bakery.example over HTTPS setting Strict-Transport-Security: max-age=300 (to be increased after testing), X-Frame-Options: SAMEORIGIN, and Permissions-Policy: camera=(), microphone=(), geolocation=().
- Prepare and test a Content-Security-Policy-Report-Only header covering self, https://www.googletagmanager.com, https://booking.example.net, and https://bakery.us21.list-manage.com before enforcing it.
- Publish https://bakery.example/.well-known/security.txt as plain text with a monitored contact address and future expiration date, and confirm that the DNSSEC DS record (key tag 2371) at OVH SAS validates end to end with Cloudflare.
Please let me know when Steps 1 through 3 are complete and share the schedule for the remaining items.
Best regards,
[Name]
Meer uit uw analyse: risico’s, wat de agent opviel, stappenplan en woordenlijst
Wat er mis kan gaan
Waarschijnlijk
Automated website takeover via outdated WordPress software or exposed admin username
Automated bots constantly scan websites for WordPress 6.8 and jQuery 1.12.4, and read /wp-sitemap-users-1.xml and /author/marie/ to discover that your administrator username is marie. An attacker either exploits a known flaw in the outdated software or runs automated password-guessing attacks against /my-account/ for user marie, gaining control of your store to deface pages or read customer pick-up orders.
Waarschijnlijk
Spoofed catering invoices and payment requests sent in your bakery's name
Because bakery.example publishes no SPF record and its DMARC policy is p=none with no reporting address, a scammer sends emails appearing to come from orders@bakery.example to your wedding-cake or catering customers asking them to wire a deposit to a fraudulent bank account. Receiving mail providers have no rule telling them to block these fake messages, and customers may also be confused because the website footer shows a free @gmail.com address.
Mogelijk
Injected script stealing customer login sessions or order details
An attacker uses the known flaw in jQuery 1.12.4 or a vulnerable plugin to inject a malicious script into /order/ or /my-account/. Because no Content-Security-Policy header restricts which scripts may run or where they can send data, the script runs in visitors' browsers, reading unprotected cookies or skimming customer names, phone numbers, and passwords as they are typed.
Onwaarschijnlijk maar mogelijk
Interception of unencrypted requests or cookies on shared public Wi-Fi
A customer or staff member connects to café Wi-Fi and visits bakery.example. Before the browser redirects to HTTPS—or when it requests the unencrypted http:// logo image or sends cookies (wp_lang, wordpress_test_cookie) that lack the Secure flag—someone on the same wireless network intercepts the initial connection or reads the unprotected cookies.
Wat de agent op uw site opviel
Administrator username exposed on author page and user sitemapWaargenomen
Your public user sitemap (/wp-sitemap-users-1.xml) and blog page (/blog/) link to /author/marie/, which publicly displays the administrator's username and role. Giving away the exact administrator login name makes automated password-guessing attacks against /my-account/ much easier.
Posts by Marie (administrator)https://bakery.example/author/marie/
Sign-in page sets an unprotected cookie and links to a missing password reset pageWaargenomen
The customer account page (/my-account/) serves a password login form (method="post") and sets a cookie named wordpress_test_cookie without the Secure or HttpOnly attributes. Its password reset link (/my-account/lost-password/) also points to a page we could not reach.
wordpress_test_cookie (secure: false, httponly: false) and form action https://bakery.example/my-account/ with password fieldhttps://bakery.example/my-account/
Contact form accepts file uploads via Contact Form 7Waargenomen
Your contact page (/contact/) invites customers to upload an inspiration photo using a file input field powered by the contact-form-7 plugin (version 5.9.3). File upload forms need strict checks on allowed image formats and file size so attackers cannot upload malicious scripts or fill up server storage.
Send us a message and your inspiration photo · form action https://bakery.example/contact/#wpcf7-f42-o1 with file fieldhttps://bakery.example/contact/
Google Analytics script loads alongside the cookie consent pluginWaargenomen
Every page loads Google Tag Manager (https://www.googletagmanager.com/gtag/js?id=G-EXAMPLE) immediately alongside the cookie-notice plugin (ver=2.4.16). Loading analytics scripts before a visitor accepts the cookie banner can raise privacy compliance questions that you should check with an advisor.
Public contact address uses a free Gmail account instead of your domainWaargenomen
Even though your domain has Google Workspace mail servers configured, every page lists a free Gmail address (goldencrust.bakery@gmail.com) as your public contact. Using a free webmail address makes it harder for customers to spot look-alike Gmail accounts created by scammers.
WordPress plugin versions and third-party booking and newsletter services identifiedWaargenomen
Your pages expose the exact versions of your theme (astra4.6.2) and plugins (woocommerce8.9.1, contact-form-75.9.3, cookie-notice2.4.16), which can be updated in WordPress under Dashboard -> Updates. The site also embeds a booking frame from https://booking.example.net, sends newsletter sign-ups to https://bakery.us21.list-manage.com/subscribe/post, and posts online pick-up orders from /order/ to /checkout/.
External scripts loaded without integrity verification hashesWaargenomen
Every page loads two third-party scripts (https://code.jquery.com/jquery-1.12.4.min.js and https://www.googletagmanager.com/gtag/js?id=G-EXAMPLE) without subresource integrity checks. If an external script host were ever modified, browsers would run the altered script on your sign-in and ordering pages automatically.
2 external scripts loaded from https://code.jquery.com and https://www.googletagmanager.com without integrity attributeshttps://bakery.example/
Web agency and hosting provider identified on legal notice pageWaargenomen
Your legal notice page states that the site is built and maintained by Pixel Agency and hosted by OVHcloud in Roubaix, France. Knowing that Pixel Agency manages WordPress while Cloudflare and OVH handle DNS, hosting, and domain registration helps you assign each security fix to the right team.
Publisher: Golden Crust Bakery SARL. Website built and maintained by Pixel Agency. Hosting: OVHcloud, Roubaix, France.https://bakery.example/legal-notice/
Uw stappenplan
Deze week
Renew bakery.example at OVH SAS before October 25, 2026, turn on automatic renewal, and enable the domain transfer lock.
Back up the site and update WordPress from 6.8 to 7.1.3, update all plugins and the astra theme, replace jQuery 1.12.4, and enable two-step sign-in for administrator marie.
Publish a single SPF record (v=spf1 include:_spf.google.com ~all), confirm active Google Workspace DKIM signing, and add a rua= reporting mailbox to _dmarc.bakery.example.
Deze maand
Fix the unencrypted http:// logo link on the homepage, add Secure and HttpOnly flags to cookies, and repair the /my-account/lost-password/ page in WooCommerce.
Add Strict-Transport-Security (max-age=300), X-Frame-Options (SAMEORIGIN), and Permissions-Policy via a Cloudflare Response Header Transform Rule.
Deploy a Content-Security-Policy-Report-Only header in Cloudflare and test sign-in, online ordering, contact uploads, and the booking widget.
Dit kwartaal
Review DMARC reports and step up _dmarc.bakery.example from p=none to p=quarantine and then p=reject, and replace goldencrust.bakery@gmail.com on the site with an @bakery.example address.
Switch Content-Security-Policy-Report-Only to an enforced Content-Security-Policy header and increase Strict-Transport-Security to max-age=31536000 (one year).
Publish /.well-known/security.txt and verify end-to-end DNSSEC chain validation between Cloudflare and OVH SAS.
Wat al goed is
Your HTTPS security certificate is valid until December 29, 2026, and protects connections using modern TLSv1.3 encryption.
Visitors who type your web address without https:// are automatically redirected to the encrypted HTTPS website.
Your server sends the x-content-type-options: nosniff header so browsers do not misinterpret uploaded or served file types.
Public DNS includes CAA records limiting certificate issuance to letsencrypt.org, Google Workspace MX records, and a candidate DKIM key at google._domainkey.bakery.example.
Your website is not flagged as dangerous by Google Safe Browsing and uses safe default referrer behavior across linked pages.
Woorden in dit rapport
Content Security Policy (CSP)
An HTTP response header that tells browsers which scripts, frames, and connections are allowed to run on your pages, helping block injected malicious code.
DMARC
A DNS record that tells receiving email servers what to do with messages claiming to come from your domain that fail SPF or DKIM checks, and where to send summary reports.
DKIM
A digital signature added to outgoing emails by your mail provider (such as Google Workspace) so receivers can verify the message was genuinely sent by your domain.
DNSSEC
A system of digital signatures on your DNS records that prevents attackers from redirecting your domain name to a fake server.
HSTS
An HTTP header (Strict-Transport-Security) that instructs browsers to always connect to your website over encrypted HTTPS and never fall back to unencrypted HTTP.
Secure and HttpOnly cookie flags
Flags on browser cookies: Secure ensures the cookie is only sent over encrypted HTTPS, and HttpOnly blocks page scripts from reading session cookies.
SPF
A DNS TXT record listing every mail server and third-party service authorized to send email on behalf of your domain.
Transfer lock
A safety lock at your domain registrar (OVH SAS) that blocks your domain name from being moved to another registrar without your explicit approval.
This passive review examined public DNS records, HTTPS certificate settings, and publicly reachable pages on `bakery.example` (including your homepage, `/my-account/`, `/order/`, `/contact/`, `/privacy-policy/`, `/legal-notice/`, `/blog/`, `/robots.txt`, `/wp-sitemap.xml`, `/wp-sitemap-users-1.xml`, `/wp-sitemap-posts-page-1.xml`, and `/author/marie/`). Pages we could not reach (`/sitemap.xml`, `/my-account/lost-password/`, and `/.well-known/security.txt`) were not accessible. Because a passive check never signs in, submits forms, or tests for vulnerabilities, it cannot see inside your WordPress admin panel, Cloudflare or Google Workspace dashboards, server configuration, payment processing behind `/checkout/`, or whether DNSSEC signatures and DKIM email signing validate end to end. Geschreven door een AI-agent in een geïsoleerde sandbox op basis van het bewijs in dit rapport en de pagina’s die hij heeft verkend; de score en de controles hieronder komen uit deterministische tests.
Assistent
Stel een vraag over dit rapport
Voorbeeldgesprek over de fictieve bakkerij. Uw eigen rapport bevat de assistent.
Is mijn website gehackt?
Wij kunnen op basis van deze controle niet zien of uw website gehackt is.
Deze controle was namelijk passief: we hebben alleen vanaf de buitenkant gekeken naar openbare pagina's, uw beveiligingscertificaat en openbare DNS-instellingen. Daarbij controleren we ook of Google uw adres als gevaarlijk heeft gemarkeerd, wat op het moment van controleren niet het geval was. Een passieve meting kijkt niet achter de schermen van uw webserver of database en kan een inbraak daarom niet aantonen of uitsluiten.
Er zijn wel signalen waar u zelf direct op kunt letten om te controleren of er iets mis is:
Onbekende beheerdersaccounts in uw WordPress-dashboard.
Onverwachte pagina's, vreemde links of plotselinge doorverwijzingen naar andere websites.
Beveiligingswaarschuwingen in Google Search Console.
Meldingen of rode waarschuwingsschermen in uw browser wanneer u de website bezoekt.
Wat dit voor uw bedrijf betekent: er zijn wel kwetsbaarheden gevonden (zoals een verouderde WordPress-versie en plug-ins met bekende lekken) die uw website aantrekkelijk maken voor aanvallers. Wij raden u aan contact op te nemen met uw webbouwer (Pixel Agency) en webhost (OVHcloud). Vraag hen om uw website te controleren op vreemde bestanden, direct een volledige reservekopie (back-up) te maken en alle software en plug-ins bij te werken.
Wat moet ik mijn webbureau als eerste vragen?
Voor uw bedrijf is het cruciaal dat uw website veilig en bereikbaar blijft. Verouderde software vormt het grootste risico op geautomatiseerde aanvallen en misbruik van uw bestelproces.
Neem contact op met uw webbureau (Pixel Agency) en vraag hen om de volgende drie zaken direct uit te voeren:
Maak eerst een volledige reservekopie (back-up) van de websitebestanden en de database.
Werk WordPress direct bij van versie 6.8 naar de nieuwste versie en update alle plug-ins (met name WooCommerce en verouderde bibliotheken).
Schakel automatische beveiligingsupdates in en zorg dat het WordPress-versienummer wordt verborgen in de broncode.
U kunt zelf controleren of het gelukt is door in te loggen in uw WordPress-dashboard en te kijken of er onder Dashboard → Updates geen openstaande updates meer staan. Voer daarna deze beveiligingscontrole opnieuw uit om te bevestigen dat de meldingen over verouderde software verdwenen zijn.
Let op: er is nog één taak die u zelf als eigenaar direct moet regelen bij uw domeinbeheerder (OVH SAS): controleer of de domeinnaam tijdig is verlengd en schakel de verhuisvergrendeling in om te voorkomen dat uw site uitvalt.
Veel aanvallen op kleine bedrijven beginnen met een gestolen wachtwoord of een valse factuur, niet met de website. Een passieve controle ziet dat niet: neem voor elk punt een paar minuten.
Tweestapsverificatie voor uw accounts (MFA)
Schakel tweestapsverificatie in voor de beheeromgeving van uw website en voor uw e-mail-, domeinregistrar- en hostingaccounts. Bewaar vooraf de herstelcodes op een veilige plek en zorg dat iemand weer toegang kan krijgen, zodat u zichzelf niet buitensluit.
Vraag wat er wordt geback-upt, hoe vaak, en of er een kopie gescheiden van de website wordt bewaard, zodat een hack of verwijdering die niet kan bereiken. Test het terugzetten op een aparte kopie, nooit over uw live website heen, en leg vast wie kan terugzetten en hoe.
Controleer of uw adressen in een datalek voorkwamen
Met Have I Been Pwned en XposedOrNot verifieert u zelf uw domein en krijgt u gratis een melding wanneer adressen op dat domein in een gepubliceerd datalek opduiken. Wij controleren dit niet voor u en verwerken nooit gelekte gegevens. Duikt een adres op, wijzig dan het wachtwoord en zet inloggen in twee stappen aan.
Kopieer de prioriteiten, de hostingcontext en de stappen voor de oplossing als één taak, of download ze als Markdown.
Instructies voor de agent lezen of kopiëren
Providers die we hebben herkend
Deze aanwijzingen komen uit verzamelde headers, de HTML van de homepage en DNS-records. Bevestig de dienst en uw toegang voordat u instellingen wijzigt. De routering van inkomende e-mail laat niet elke uitgaande afzender zien.
Cloudflare — DNS-provider
Cloudflare — Levering van de website
Google Workspace — Inkomende e-mail
WordPress — Websitesoftware
Alle controles
Eerst oplossenVerbeterenGoedNiet bevestigd
Beveiligde verbinding In orde
Beveiligingscertificaat (HTTPS)Goed
Het HTTPS-certificaat is geldig: browsers tonen een beveiligde verbinding.
Waarom het belangrijk is
Als uw certificaat ontbreekt of ongeldig is, tonen browsers uw bezoekers een waarschuwing als “Niet beveiligd” of “Je verbinding is niet privé”, en veel bezoekers haken af voordat ze contact met u opnemen of iets kopen.
Wie kan het oplossen
Uw webhost of webontwikkelaar · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Dit resultaat vraagt niet om een wijziging. Behoud de werkende configuratie en gebruik deze stappen om die te controleren.
Hoe u de oplossing controleert
Open uw website in een privévenster van uw browser: de website moet zonder waarschuwing laden en het slotje tonen. Voer daarna deze controle opnieuw uit: dit onderdeel moet op Goed staan.
Het certificaat is geldig en verloopt niet binnenkort.
Waarom het belangrijk is
Wanneer uw certificaat verloopt, blokkeren browsers uw bezoekers met een paginavullende beveiligingswaarschuwing, waardoor uw website feitelijk offline is totdat het certificaat is vernieuwd.
Wie kan het oplossen
Uw webhost (certificaten worden meestal automatisch vernieuwd) · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Dit resultaat vraagt niet om een wijziging. Behoud de werkende configuratie en gebruik deze stappen om die te controleren.
Hoe u de oplossing controleert
Voer na de vernieuwing deze controle opnieuw uit: de vervaldatum moet later liggen en dit onderdeel moet op Goed staan.
Uw website stuurt deze beschermende instelling (HTTP-header) niet naar browsers.
Waarom het belangrijk is
Zonder HSTS proberen de browsers van uw bezoekers mogelijk eerst de onversleutelde versie van uw website, die op gedeelde netwerken zoals openbare wifi kan worden onderschept.
Wie kan het oplossen
Uw webhost of webontwikkelaar · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Schakel HSTS pas in als HTTPS op uw hele website betrouwbaar werkt: browsers onthouden de instelling, zelfs nadat u die hebt verwijderd. Vraag uw webhost eerst om de header Strict-Transport-Security met een korte duur (max-age=300, vijf minuten) en verhoog die daarna stap voor stap tot minstens 180 dagen (max-age=15552000), bij voorkeur één jaar (max-age=31536000). Voeg includeSubDomains of preload pas toe als elk subdomein via HTTPS werkt: ze zijn moeilijk terug te draaien.
Hoe u de oplossing controleert
Voer deze controle opnieuw uit: dit onderdeel moet op Goed staan. Controleer daarna of uw belangrijkste pagina’s nog normaal laden.
Stappen voor de voorgestelde provider
Strict-Transport-Security instellen op Cloudflare
Voorwaarden
Het verzamelde bewijs wijst op Cloudflare. Bevestig dat u de betreffende dienst beheert voordat u deze stappen volgt.
Bevestig dat u de Cloudflare-zone beheert, dat de proxy actief is voor deze hostnaam en dat er ruimte is voor een extra Transform Rule. Sla bestaande response-headers en regels op; controleer latere regels die deze wijziging kunnen overschrijven.
Bevestig bij een nieuwe HSTS-uitrol eerst dat HTTPS en de vernieuwing van certificaten betrouwbaar werken. Behoud elk bestaand sterker beleid. Deze proef van vijf minuten sluit subdomeinen en preload uit.
Noteer voor WordPress de huidige URL’s bij WordPress-adres en Siteadres en de proxy-instellingen. Controleer na de goedgekeurde wijziging de homepage, de inlogpagina en de themabestanden op lussen of gemengde inhoud. Wijzig geen site-URL’s en vertrouw geen doorgestuurde headers zonder de configuratie van de originserver te controleren.
Stappen
Maak in Rules → Overview een Response Header Transform Rule aan. Vervang YOUR_HOSTNAME in de expressie hieronder door de exacte geautoriseerde hostnaam; laat de regel alleen op HTTPS van toepassing zijn.
Kies Set static voor Strict-Transport-Security, met de waarde max-age=300. Kies Save as Draft, controleer de exacte regel en vraag goedkeuring vóór Deploy. Wijzig alleen deze header; schakel de gebundelde transformatie Add security headers niet in.
Match: (http.host eq "YOUR_HOSTNAME" and ssl)
Operation: Set static
Header: Strict-Transport-Security
Value: max-age=300
De wijziging controleren
Controleer op de bedoelde hostnaam dat er via HTTPS precies één response-header Strict-Transport-Security: max-age=300 is. Controleer representatieve pagina’s en statische bestanden, inclusief doorverwijzingen en bewust uitgelokte fouten, en controleer dat andere hostnamen niet worden geraakt.
Terugdraaien
Zet het vorige beleid terug als dat bestond. Om alleen dit nieuwe beleid voor deze hostnaam in te trekken, stuurt u max-age=0 via geldige HTTPS; de header verwijderen wist in de cache opgeslagen HSTS niet. Houd HTTPS werkend gedurende de vorige maximale duur (max-age). Beleid van bovenliggende domeinen en preload vragen een aparte aanpak.
Dit wordt toegepast aan de rand van het Cloudflare-netwerk (edge), niet op de originserver. Een overeenkomende nameserver alleen bewijst niet dat de proxy actief is of dat u de zone beheert. Latere regels kunnen het resultaat overschrijven; in de cache opgeslagen HSTS kan langer blijven gelden dan een terugdraaiing.
Bescherming tegen kwaadaardige scripts (CSP)Verbeteren
Uw website stuurt deze beschermende instelling (HTTP-header) niet naar browsers.
Waarom het belangrijk is
Een Content Security Policy vertelt browsers welke scripts en bronnen uw website mag laden. Zonder zo’n beleid kan kwaadaardige code die in uw website is binnengesmokkeld (bijvoorbeeld via een kwetsbare plug-in) vrij draaien in de browsers van uw bezoekers en stelen wat zij intypen.
Wie kan het oplossen
Uw webontwikkelaar · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Dit vraagt zorgvuldigheid, want een te streng beleid kan ervoor zorgen dat uw website niet meer goed werkt. Vraag uw ontwikkelaar de scripts, lettertypen en diensten op te sommen die uw website gebruikt (statistieken, betalingen, chat), en daarna een beleid te testen in de modus “report-only”, die problemen meldt zonder iets te blokkeren. Schakel pas over op afdwingen als uw belangrijkste pagina’s werken, en houd de vorige instelling klaar om terug te zetten.
Hoe u de oplossing controleert
Voer deze controle opnieuw uit: dit onderdeel moet op Goed staan. Test daarna uw belangrijkste pagina’s (contactformulier, afrekenen, reserveren) om zeker te weten dat er niets kapot is gegaan.
Stappen voor de voorgestelde provider
Een CSP-observatieregel voorbereiden in Cloudflare
Voorwaarden
Het verzamelde bewijs wijst op Cloudflare. Bevestig dat u de betreffende dienst beheert voordat u deze stappen volgt.
Bevestig dat u deze hostnaam achter de proxy beheert en ruimte hebt voor een extra regel voor response-headers. Leg bestaande afgedwongen en Report-Only-beleidsregels vast, inclusief Client-side security-regels. Overschrijf ze niet.
Inventariseer met de ontwikkelaar de benodigde bronnen en essentiële gebruikerstrajecten. Gebruik een door de eigenaar goedgekeurd HTTPS-rapportage-eindpunt met toegangscontrole en beperkte bewaartermijn; rapporten kunnen pagina-URL’s onthullen.
Noteer voor WordPress de huidige URL’s bij WordPress-adres en Siteadres en de proxy-instellingen. Controleer na de goedgekeurde wijziging de homepage, de inlogpagina en de themabestanden op lussen of gemengde inhoud. Wijzig geen site-URL’s en vertrouw geen doorgestuurde headers zonder de configuratie van de originserver te controleren.
Stappen
Bereid in Rules → Overview een Response Header Transform Rule voor die alleen op deze exacte hostnaam van toepassing is. Sla een concept (draft) op; zet geen plaatshouders live.
Pas het voorbeeld uitsluitend aan als observatiebeleid. Bestaan er al headers, laat de eigenaar daarvan dan het beleid en de rapportbestemmingen samenvoegen. Controleer de volgorde van de regels en vraag goedkeuring vóór de uitrol.
Test de essentiële gebruikerstrajecten en bekijk de ontvangen rapporten. Neem bij WordPress het inloggen, de editor, plug-ins en een eventuele afrekenpagina mee. Stel pas een apart te beoordelen afgedwongen beleid op nadat legitieme overtredingen zijn opgelost.
Controleer de twee response-headers en de ontvangst van een bewust uitgelokt overtredingsrapport in een ondersteunde browser. Report-Only blokkeert geen bronnen en sluit de bevinding over een ontbrekend afgedwongen CSP in dit rapport niet af.
Terugdraaien
Schakel alleen de nieuwe observatieregel uit of zet de vastgelegde headers terug; behoud elk eerder bestaand afgedwongen beleid.
Dit is een restrictief beginpunt voor observatie, geen beleid dat wordt afgedwongen. De ondersteuning voor de Reporting API varieert. Cloudflare-DNS alleen bewijst niet dat u het openbare antwoord beheert.
Bescherming van cookies (Secure, HttpOnly)Verbeteren
Sommige cookies missen Secure, of een inlog- of sessiecookie mist HttpOnly; vraag waarvoor elk cookie dient.
Waarom het belangrijk is
Cookies kunnen uw bezoekers of medewerkers ingelogd houden. Zonder de vlag Secure kan een cookie onversleuteld worden verstuurd, en zonder HttpOnly kan kwaadaardige code op de pagina het cookie lezen, waardoor iemand een sessie zou kunnen overnemen.
Wie kan het oplossen
Uw webontwikkelaar · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Vraag uw ontwikkelaar waarvoor elk cookie dient. Inlog- en sessiecookies moeten zowel Secure als HttpOnly hebben. Sommige cookies, zoals die van toestemmingsbanners of statistieken, moeten terecht leesbaar zijn voor de pagina, dus wijzig ze niet allemaal tegelijk: test eerst het inloggen en uw koppelingen, en zorg dat u kunt terugdraaien.
Hoe u de oplossing controleert
Voer deze controle opnieuw uit en neem de lijst met cookies door met uw ontwikkelaar. Controleer daarna of inloggen en uw andere functies nog werken.
Bestand met beveiligingscontact (security.txt)Verbeteren
Er was geen security.txt-bestand beschikbaar op de standaardlocatie.
Waarom het belangrijk is
Als iemand een beveiligingsprobleem op uw website ontdekt, vertelt een security.txt-bestand hoe diegene u kan bereiken. Zonder dit bestand bereikt een behulpzame waarschuwing u misschien nooit of komt die bij de verkeerde persoon terecht.
Wie kan het oplossen
Uw webontwikkelaar of websitebeheerder · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Publiceer een tekstbestand zonder opmaak op /.well-known/security.txt op uw HTTPS-website. Het heeft een regel Contact: nodig met een adres dat regelmatig wordt gelezen (bijvoorbeeld mailto:security@uw-domein.example) en een regel Expires: met een toekomstige datum in RFC 3339-formaat (zoals 2027-12-31T23:59:59Z). Stel een herinnering in om het vóór die datum bij te werken, en vermeld alleen contactgegevens die u zonder bezwaar openbaar maakt.
Hoe u de oplossing controleert
Open https://uw-domein/.well-known/security.txt in een browser: u moet het tekstbestand zien met uw contactgegevens en een toekomstige datum. Voer daarna deze controle opnieuw uit. Voegt u een regel Canonical: toe, dan moet die precies dit adres bevatten.
Deze oplossing naar uw ontwikkelaar of AI-assistent sturen
Bezoekers naar de beveiligde website sturen (HTTPS-doorverwijzing)Goed
Bezoekers die het adres zonder https:// intypen, worden naar de beveiligde website gestuurd.
Waarom het belangrijk is
Bezoekers die uw adres zonder “https://” intypen, kunnen op een onversleutelde pagina blijven, waar wat ze lezen of invullen (zoals gegevens in een contactformulier) kan worden meegelezen of gewijzigd, bijvoorbeeld via openbare wifi.
Wie kan het oplossen
Uw webhost of webontwikkelaar · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Dit resultaat vraagt niet om een wijziging. Behoud de werkende configuratie en gebruik deze stappen om die te controleren.
Hoe u de oplossing controleert
Typ in een privévenster uw adres beginnend met http://: u moet uitkomen op de https://-versie van hetzelfde adres. Voer daarna deze controle opnieuw uit: dit onderdeel moet op Goed staan.
Bescherming van bestandstypen (X-Content-Type-Options)Goed
Uw website stuurt deze beschermende instelling naar browsers.
Waarom het belangrijk is
Zonder deze instelling kunnen browsers raden wat voor bestand ze ontvangen, waardoor een bestand dat per vergissing is geüpload of verkeerd is gelabeld als code kan worden uitgevoerd in de browsers van uw bezoekers.
Wie kan het oplossen
Uw webontwikkelaar of webhost · hier gedetecteerd: Cloudflare (website), WordPress (website)
Wat te doen
Dit resultaat vraagt niet om een wijziging. Behoud de werkende configuratie en gebruik deze stappen om die te controleren.
Hoe u de oplossing controleert
Voer deze controle opnieuw uit: dit onderdeel moet op Goed staan. Controleer daarna of uw pagina’s er nog normaal uitzien en normaal werken.
Uw domein ontvangt e-mail maar publiceert geen SPF-record, waardoor iedereen makkelijker e-mail kan versturen die van u lijkt te komen.
Waarom het belangrijk is
SPF somt de diensten op die e-mail namens uw domein mogen versturen. Zonder SPF, of met meerdere tegenstrijdige SPF-records, kunnen criminelen makkelijker e-mails in uw naam versturen en komen uw echte e-mails eerder in de spam terecht.
Wie kan het oplossen
Uw e-mailbeheerder en DNS-beheerder · hier gedetecteerd: Google Workspace (e-mail), Cloudflare (DNS)
Wat te doen
Maak een lijst van elke dienst die e-mail voor u verstuurt: uw mailboxprovider, maar ook websiteformulieren, nieuwsbrieven, facturatie- of reserveringstools. Houd precies één SPF-record aan dat ze allemaal dekt, met de waarden die elke provider documenteert; voeg dubbele records samen in plaats van een tweede record toe te voegen. Vervang bestaande vermeldingen niet door een streng record dat “alles blokkeert”, anders worden uw legitieme e-mails mogelijk geweigerd.
Hoe u de oplossing controleert
Voer deze controle opnieuw uit zodra de DNS-wijziging is doorgevoerd: dit onderdeel moet op Goed staan. Stuur daarna vanuit elke dienst een testmail en controleer of de headers van het ontvangen bericht spf=pass tonen.
Stappen voor de voorgestelde provider
SPF controleren voor Google Workspace
Voorwaarden
Het verzamelde bewijs wijst op Google Workspace. Bevestig dat u de betreffende dienst beheert voordat u deze stappen volgt.
Bevestig dat Google Workspace e-mail verstuurt voor precies dit domein, en die niet alleen ontvangt. Inventariseer websiteformulieren, nieuwsbrieven, gateways en elke andere afzender. Sla bestaande TXT-records en TTL’s op; behoud MX, DKIM en niet-gerelateerde DNS-records.
Bevestig het envelope-afzenderdomein dat SPF gebruikt en het zichtbare From-domein dat DMARC gebruikt; die kunnen verschillen.
Houd precies één SPF-beleid aan per verzenddomein. Een MX-record voor inkomende e-mail kan niet de volledige lijst van uitgaande afzenders vaststellen.
Stappen
Voeg bij de gezaghebbende DNS-provider dubbele SPF-records samen tot één gecontroleerd beleid. Het voorbeeld hieronder geldt alleen voor een nieuw beleid wanneer Google Workspace de enige afzender is. Behoud anders alle bevestigde afzenders en de bestaande bescherming; vervang het record niet blindelings.
Toets de volledige SPF-evaluatie aan de limiet van tien termen die DNS-opvragingen veroorzaken, inclusief geneste includes en redirects. Controleer de diff en vraag goedkeuring vóór publicatie.
Controleer na de DNS-propagatie de TXT-waarde bij de gezaghebbende server en de authenticatieresultaten van de ontvangende server voor elke verzenddienst.
TXT op het SPF-verzenddomein:
v=spf1 include:_spf.google.com ~all
De wijziging controleren
Gebruik, nadat deze wijziging in de DNS is doorgevoerd, een nieuw ontvangen bericht in een aparte mailbox om voor elke afzender spf=pass en het geëvalueerde envelope-domein te controleren. Bevestig dat er precies één gepubliceerd beleid is en dat de opvragingen correct verlopen. Eerdere berichten dienen alleen als referentie voor de uitgangssituatie; een DNS-record alleen bewijst niet dat e-mail in de inbox aankomt.
Terugdraaien
Zet het opgeslagen SPF-beleid terug terwijl u de autorisatie corrigeert, en behoud niet-gerelateerde DNS-records. Records in caches vertragen het effect; controleer opnieuw echte berichten van elke afzender.
SPF controleert het envelope-domein en kan mislukken na doorsturen. Het neemt niet automatisch het beleid van een bovenliggend domein over. Een geslaagde controle op een domein van de provider is op zichzelf niet in lijn (aligned) met uw zichtbare From-adres.
Bescherming tegen e-mailvervalsing (DMARC)Verbeteren
Uw DMARC-beleid is ‘p=none’: het meldt valse e-mails maar laat ze nog steeds door. Ga na het nakijken van uw rapporten over op ‘p=quarantine’ en daarna op ‘p=reject’.
Waarom het belangrijk is
Zonder DMARC-beleid kunnen criminelen makkelijker e-mails versturen die van uw bedrijf lijken te komen, en hebben mailboxproviders geen instructie om ze te blokkeren. Als er meerdere DMARC-records bestaan, wordt er geen enkel toegepast.
Wie kan het oplossen
Uw e-mailbeheerder en DNS-beheerder · hier gedetecteerd: Google Workspace (e-mail), Cloudflare (DNS)
Wat te doen
Stel eerst SPF en DKIM in voor elke dienst die e-mail voor u verstuurt. Publiceer daarna één DMARC-record (_dmarc.uw-domein) met p=none en een rapportageadres dat regelmatig wordt gelezen: zo houdt u toezicht zonder te blokkeren. Na enkele weken met rapporten zonder problemen gaat u stap voor stap over op p=quarantine en daarna op p=reject; te vroeg streng worden kan uw eigen e-mails blokkeren.
Hoe u de oplossing controleert
Voer deze controle opnieuw uit zodra de DNS-wijziging is doorgevoerd: dit onderdeel staat op Goed zodra het beleid p=quarantine of p=reject is. Controleer daarna in de DMARC-rapporten of uw legitieme e-mails slagen.
Stappen voor de voorgestelde provider
DMARC controleren voor Google Workspace
Voorwaarden
Het verzamelde bewijs wijst op Google Workspace. Bevestig dat u de betreffende dienst beheert voordat u deze stappen volgt.
Bevestig dat Google Workspace e-mail verstuurt voor precies dit domein, en die niet alleen ontvangt. Inventariseer websiteformulieren, nieuwsbrieven, gateways en elke andere afzender. Sla bestaande TXT-records en TTL’s op; behoud MX, DKIM en niet-gerelateerde DNS-records.
Bevestig het envelope-afzenderdomein dat SPF gebruikt en het zichtbare From-domein dat DMARC gebruikt; die kunnen verschillen.
Controleer een toepasselijk DMARC-beleid van het bovenliggende domein en verifieer de SPF/DKIM-alignment voor legitieme afzenders voordat u het beleid wijzigt. Spreek een mailbox voor verzamelrapporten (aggregate reports) af die de beheerder bezit of heeft goedgekeurd; verzin er geen.
Controleer de huidige DKIM-ondertekening voordat u sleutels wijzigt. Geen antwoord voor een gangbare selector is geen bewijs dat DKIM ontbreekt. Houd werkende selectors en ondertekening actief; een mailboxalias bepaalt niet het ondertekenende domein.
Stappen
Selecteer in Google Admin → Apps → Google Workspace → Gmail → Authenticate email het exacte verzenddomein. Laat alleen bij een nieuwe configuratie een superbeheerder een 2048-bits sleutel genereren als de DNS dat ondersteunt, met een ongebruikte selector. Kopieer de volledige TXT-naam en -waarde van Google; behoud een bestaande werkende sleutel.
Publiceer precies dat TXT-record bij de gezaghebbende DNS-provider en controleer of die het domein automatisch toevoegt. Kies daarna Start authentication en bevestig Authenticating email with DKIM. Bij pas ingeschakelde Gmail kan het 24–72 uur duren voordat een sleutel kan worden gegenereerd; DNS en authenticatie kunnen 48 uur duren.
Stuur na propagatie en activering vanuit elke dienst en elk From-adres een nieuwe, toegestane testmail naar een aparte externe mailbox die u beheert. Controleer in Authentication-Results van de ontvanger of er dkim=pass staat, en in DKIM-Signature het werkelijke domein d= en de selector s=; controleer de alignment met het zichtbare From-adres. Een andere alias van dezelfde mailbox en oudere berichten zijn geen bewijs na de wijziging.
Voeg bij de gezaghebbende DNS-provider dubbele _dmarc-TXT-beleidsregels samen tot één beleid dat de eigenaar heeft goedgekeurd. Behoud een bestaand sterker beleid; het voorbeeld hieronder geldt alleen voor een nieuwe uitrol in monitoringmodus.
Vervang YOUR_APPROVED_REPORT_ADDRESS door de afgesproken mailbox en laat daarna de DNS-diff controleren en goedkeuren. Externe rapportbestemmingen vereisen een autorisatie van de ontvanger in de DNS. Voeg niet standaard forensische rapporten toe.
Wacht bij Google Workspace na het instellen van SPF/DKIM minstens 48 uur voordat u DMARC instelt, en monitor daarna ongeveer een week. Controleer elke legitieme e-mailstroom voordat u geleidelijk overgaat op quarantine en reject.
TXT op _dmarc.YOUR_MAIL_DOMAIN:
v=DMARC1; p=none; rua=mailto:YOUR_APPROVED_REPORT_ADDRESS
De wijziging controleren
Controleer, nadat deze wijziging in de DNS is doorgevoerd: precies één toepasselijk DMARC-beleid, aligned SPF of DKIM, dmarc=pass in de authenticatieresultaten van een nieuw ontvangen bericht, en bruikbare verzamelrapporten die het gewijzigde beleid dekken. Eerdere berichten dienen alleen als referentie voor de uitgangssituatie. p=none monitort; het dwingt geen weigering af.
Terugdraaien
Zet het eerdere, door de eigenaar goedgekeurde beleid terug (bij een nieuwe uitrol meestal p=none) terwijl u de alignment herstelt. Behoud werkende SPF/DKIM. DNS-caches vertragen het terugdraaien en geweigerde berichten worden niet automatisch teruggehaald. Bewaar DKIM-TXT-sleutels tijdens het onderzoek; Google raadt aan ze te bewaren nadat de ondertekening is gestopt en minstens vier dagen te wachten voordat u een nieuw toegevoegd record verwijdert. Genereer een werkende sleutel niet opnieuw als manier om terug te draaien.
Deze stappen vereisen uw e-mailbeheerder en controleren geen tenantinstellingen. MX-records voor inkomende e-mail bepalen niet wie uitgaande e-mail verstuurt. Een DNS-record of een ontbrekende gangbare selector bewijst noch dat ondertekening actief is, noch dat die ontbreekt; controleer echt ontvangen berichten.
Er zijn MX-records gepubliceerd. Hun doelen, bereikbaarheid en aflevering in mailboxen zijn niet getest.
Waarom het belangrijk is
MX-records vertellen andere mailservers waar e-mail voor uw domein moet worden afgeleverd. Als ze onjuist of tegenstrijdig zijn, kunnen e-mails van uw klanten worden teruggestuurd of verloren gaan. Een webadres dat niet voor e-mail wordt gebruikt, heeft er terecht soms geen.
Wie kan het oplossen
Uw e-mailprovider, of degene die de DNS van uw domein beheert · hier gedetecteerd: Google Workspace (e-mail), Cloudflare (DNS)
Wat te doen
Dit resultaat vraagt niet om een wijziging. Behoud de werkende configuratie en gebruik deze stappen om die te controleren.
Hoe u de oplossing controleert
Voer deze controle opnieuw uit zodra de DNS-wijziging is doorgevoerd. Stuur daarna, los daarvan, een testmail naar en vanaf uw eigen mailbox om de aflevering te bevestigen.
Er is een mogelijke sleutel gevonden op een gangbare selector. Het ondertekenen van berichten en de geldigheid van de sleutel zijn niet getest.
Waarom het belangrijk is
DKIM voegt een digitale handtekening toe aan uw e-mails, zodat ontvangers kunnen controleren of ze echt van uw bedrijf komen en niet zijn gewijzigd. Zonder DKIM komen uw e-mails eerder in de spam terecht en beschermt DMARC uw domein minder goed.
Wie kan het oplossen
Uw e-mailbeheerder · hier gedetecteerd: Google Workspace (e-mail), Cloudflare (DNS)
Wat te doen
Dit resultaat vraagt niet om een wijziging. Behoud de werkende configuratie en gebruik deze stappen om die te controleren.
Hoe u de oplossing controleert
Stuur, zodra DKIM is ingeschakeld en de DNS-wijziging is doorgevoerd, een nieuwe e-mail naar een extern adres dat u beheert (geen alias en geen collega). Zoek in de headers van het ontvangen bericht naar dkim=pass en noteer de waarden d= en s= in DKIM-Signature: s= is de selector die u in de DNS opzoekt.
Er is een DS-record gepubliceerd; de DNSSEC-handtekeningen en de vertrouwensketen zijn niet gevalideerd.
Waarom het belangrijk is
DNSSEC ondertekent de DNS-antwoorden van uw domein digitaal, waardoor het voor aanvallers moeilijker wordt om uw bezoekers of uw e-mail naar een valse server te sturen. Het is een extra beschermingslaag, geen basisvereiste.
Wie kan het oplossen
Degene die de DNS van uw domein beheert, samen met uw registrar · hier gedetecteerd: Cloudflare (DNS)
Wat te doen
DNSSEC lijkt aan te staan: uw registrar publiceert de koppeling ervan (DS-record). U hoeft niets te wijzigen. Als u uw DNS naar een andere provider verhuist, vraag dan beide providers om de DNSSEC-wijziging eerst samen te plannen.
Hoe u de oplossing controleert
Vraag uw DNS-provider te bevestigen dat DNSSEC van begin tot eind correct valideert. Deze controle kan laten zien dat DNSSEC is gepubliceerd, niet dat het werkt.
Deze oplossing naar uw ontwikkelaar of AI-assistent sturen
Voor deze hostnaam zijn CAA-records gepubliceerd. Hun beperkingen en de verwerking door certificaatverstrekkers zijn niet beoordeeld.
Waarom het belangrijk is
Een CAA-record vermeldt welke organisaties HTTPS-certificaten voor uw domein mogen uitgeven, waardoor het moeilijker wordt een frauduleus certificaat te verkrijgen. Het is optioneel, en een verkeerd record kan verhinderen dat uw eigen certificaat wordt vernieuwd.
Wie kan het oplossen
Degene die uw DNS beheert, samen met uw webhost · hier gedetecteerd: Cloudflare (DNS)
Wat te doen
Dit resultaat vraagt niet om een wijziging. Behoud de werkende configuratie en gebruik deze stappen om die te controleren.
Hoe u de oplossing controleert
Vraag uw webhost de geldende CAA-regels te bevestigen, inclusief regels die zijn overgenomen van uw hoofddomein of aliassen, en te bevestigen dat uw websitecertificaat nog kan worden vernieuwd.
Gelezen uit hetzelfde antwoord van de homepage, plus Googles lijst met gevaarlijke websites, met oplossingen voor uw platform. Ze tellen nog niet mee voor de score.
Niet als gevaarlijk gemarkeerd door GoogleGoed
Waarom het belangrijk is
Als Google uw website als gevaarlijk zou vermelden, zouden browsers uw bezoekers waarschuwen.
Google kan niet garanderen dat zijn informatie volledig en foutloos is: sommige riskante websites worden mogelijk niet herkend en sommige veilige websites worden mogelijk ten onrechte als riskant aangemerkt.
Domein tijdig verlengd en vergrendeld tegen verhuizingenVerbeteren
Waarom het belangrijk is
Uw domein moet uiterlijk 25 oktober 2026 worden verlengd. Verloopt het, dan werken uw website en e-mail niet meer en kan iemand anders de naam kopen. Zonder verhuisvergrendeling kan iemand die in uw registraraccount komt, of uw registrar misleidt, uw domein makkelijker naar een ander bedrijf verhuizen.
Wat we zagen
verlenging uiterlijk 25 oktober 2026 · geen verhuisvergrendeling · registrar: OVH SAS
Hoe u het oplost
Log in bij uw domeinregistrar en controleer of automatisch verlengen aan staat en de betaalkaart geldig is, of verleng nu. Zet in het dashboard van uw registrar de verhuisvergrendeling aan (ook registrar lock of transferbescherming genoemd) als die wordt aangeboden.
Formulieren en pagina-inhoud via HTTPSVerbeteren
Waarom het belangrijk is
Afbeeldingen of media op uw homepage gebruiken onversleutelde http://-adressen: browsers proberen in plaats daarvan https:// en laten ze weg als dat mislukt, dus ze worden mogelijk niet getoond.
Wat we zagen
Afbeeldingen of media via http://: 1
Hoe u het oplost
Zet in WordPress beide adressen onder Instellingen → Algemeen op https:// en vervang oude http://-links met een zoek-en-vervangplug-in (maak eerst een back-up).
Geen websitebibliotheken met bekende lekkenVerbeteren
Waarom het belangrijk is
Oude versies van deze bibliotheken hebben openbaar bekende lekken die aanvallers tegen uw bezoekers kunnen gebruiken, bijvoorbeeld om hun eigen scripts op uw pagina’s uit te voeren.
Wat we zagen
jQuery 1.12.4 (CVE-2020-11022)
Hoe u het oplost
Werk WordPress, uw thema en uw plug-ins bij; een oude bibliotheek komt meestal van een verouderd thema of plug-in. Vraag uw ontwikkelaar de rest te verwijderen of bij te werken.
WordPress-versie zonder bekende lekkenVerbeteren
Waarom het belangrijk is
Deze WordPress-versie heeft openbaar bekende beveiligingslekken waar aanvallers automatisch naar zoeken.
Wat we zagen
WordPress 6.8 · nieuwste 7.1.3
Hoe u het oplost
Maak een back-up en installeer daarna in WordPress via Dashboard → Updates de nieuwste versie; zet automatische updates aan. Heeft een bureau uw site gebouwd, vraag hen dit te doen.
Bescherming tegen verborgen insluitingVerbeteren
Waarom het belangrijk is
Zonder deze bescherming kan een andere site uw pagina’s in een onzichtbaar kader tonen en bezoekers misleiden om op knoppen te klikken die ze niet zien (clickjacking).
Hoe u het oplost
Voeg in Cloudflare een Transform Rule voor responsheaders toe: X-Frame-Options: SAMEORIGIN.
Beperkingen voor camera, microfoon en locatieVerbeteren
Waarom het belangrijk is
Een Permissions-Policy voorkomt dat scripts op uw pagina’s, ook die van derden, om de camera, microfoon of locatie vragen.
Hoe u het oplost
Voeg in Cloudflare een Transform Rule toe: Permissions-Policy: camera=(), microphone=(), geolocation=().
Softwareversies afgeschermdVerbeteren
Waarom het belangrijk is
Zichtbare versienummers vertellen aanvallers precies welke bekende zwakke plekken ze kunnen proberen.
Wat we zagen
WordPress 6.8
Hoe u het oplost
Laat WordPress en de plug-ins automatisch bijwerken en verberg de versie met uw beveiligingsplug-in.
Adressen van privépagina’s afgeschermdGoed
Waarom het belangrijk is
Een onveilige Referrer-Policy stuurt volledige pagina-adressen, die privélinks of tokens kunnen bevatten, naar elke site waarnaar uw pagina’s linken. Zonder Referrer-Policy gebruiken browsers een veilige standaardinstelling.
Met uw toestemming meet Google Analytics hoe bezoekers onze openbare pagina’s gebruiken, zodat wij ze kunnen verbeteren. Controles, rapporten en accountpagina’s laden het nooit. Er wordt niets geladen voordat u kiest, en u kunt uw keuze altijd wijzigen via Cookie-instellingen onderaan de pagina. Privacy en cookies
Fmind