Zo herken je of een website veilig is

Een website die er netjes en professioneel uitziet, kan toch helemaal onveilig zijn. Controleren of een website veilig is voordat je gegevens invult, is niet ingewikkeld, maar je moet wel weten waar je moet kijken, omdat de duidelijkste tekenen niet altijd de belangrijkste zijn.

De signalen die laten zien of een site veilig is, zie je in de browser en op de pagina zelf. Dit artikel behandelt wat je controleert, wat elk signaal betekent en wat je doet als iets niet klopt.

Dezelfde controles gelden of je nu bezoeker bent en wilt beslissen of je een site vertrouwt, of site-eigenaar en wilt begrijpen wat bezoekers zien als ze op jouw site komen. Veilige en onveilige websites laten dezelfde sporen achter. Als je weet waar je op moet letten, hoef je niet te gokken. Voor context over waarom websitebeveiliging voor elke site telt, en niet alleen voor grote, lees je het artikel over waarom websitebeveiliging belangrijk is.

Hoe controleer je of een website veilig is?

Kijk eerst naar de adresbalk

De adresbalk van de browser is de snelste plek om te beginnen. Twee dingen vertellen je al veel voordat je één woord op de pagina hebt gelezen.

• Het adres moet met HTTPS beginnen, niet met HTTP. De S staat voor Secure (veilig). Het betekent dat de verbinding tussen je browser en de site versleuteld is, dus alles wat je verstuurt wordt door elkaar gehusseld voordat het reist. Een site met een adres dat met gewone HTTP begint, heeft geen beveiligingscertificaat, en alles wat je via een formulier verstuurt, gaat onbeschermd de deur uit
• Naast het adres verschijnt een hangslotje op sites met een geldig beveiligingscertificaat. Geen hangslotje betekent geen certificaat, en dus geen versleutelde verbinding. Klik je op het hangslotje, dan zie je de details van het certificaat, zoals wie het heeft uitgegeven en wanneer het verloopt

HTTPS en het hangslotje zijn het minimum. Een site zonder die twee faalt direct bij de eerste controle. Een volledige uitleg over wat een beveiligingscertificaat is en wat het doet, vind je in het artikel over wat een beveiligingscertificaat voor een website is en waarom je site er een nodig heeft.

Lees de URL zorgvuldig

Het hangslotje van HTTPS vertelt je alleen dat de verbinding versleuteld is. Het zegt niet dat de site betrouwbaar is. Een oplichterssite kan net zo makkelijk een geldig beveiligingscertificaat hebben als een echte. Daarom is het belangrijk om de echte domeinnaam te lezen.

• Kijk naar de volledige domeinnaam in de adresbalk, niet alleen naar de paginatitel. Een site die is gemaakt om op een bank of bekende dienst te lijken, gebruikt vaak een domein dat op het eerste gezicht lijkt op het echte, maar een klein beetje anders is. Extra tekens, koppeltekens of ongebruikelijke uitgangen zijn het opmerken waard
• Controleer of het domein overeenkomt met de site die je wilde bezoeken. Heb je op een link in een e-mail of op een andere site geklikt, bevestig dan dat het adres in de balk klopt met waar je heen wilde
• Lange, onbekende reeksen tekens in het adres, of domeinen die je vanaf het begin van de URL niet herkent, zijn reden voor voorzichtigheid

Kijk wat de browser je vertelt

Browsers markeren onveilige sites zelf. Neem die waarschuwingen serieus.

• Een label "Niet veilig" in de adresbalk verschijnt bij sites die zonder HTTPS worden geleverd. Sommige browsers tonen dit op alle HTTP-pagina's. Andere markeren alleen pagina's met formulieren of inlogvelden, waar het invullen van gegevens het duidelijkste risico is
• Een waarschuwing over het hele scherm, vaak rood of oranje met tekst als "Je verbinding is niet privé" of "Deze site is mogelijk onveilig", verschijnt als de browser een ernstiger probleem ziet. Dat kan betekenen dat het beveiligingscertificaat is verlopen, dat het certificaat niet bij het domein past of dat de site is gemarkeerd wegens schadelijke inhoud. Die waarschuwingen zijn er om je te laten stoppen, en het loont om ernaar te luisteren
• Verschijnt er een waarschuwing over het hele scherm, klik dan niet door tenzij je een specifieke reden hebt om de site te vertrouwen en begrijpt wat de waarschuwing betekent

Kijk naar de site zelf

Ben je op de pagina, dan vertellen een paar dingen meer over of de site is wat hij lijkt.

• Een werkende contactpagina met een echt adres, telefoonnummer of e-mailadres is een positief signaal. Sites die puur zijn opgezet om gegevens te verzamelen, slaan die vaak over of gebruiken algemene opvultekst
• Pagina's voor de privacyverklaring en algemene voorwaarden die echt inhoud hebben, en niet alleen een kop zonder iets eronder, wijzen op een site die is gebouwd om goed te functioneren
• Spelfouten, kapotte afbeeldingen of indelingsproblemen die er onafgemaakt uitzien, kunnen wijzen op een haastig gebouwde site. Het is geen garantie dat er iets mis is, maar samen met andere signalen tellen ze op
• Vragen om informatie die misplaatst voelt, zoals een site die om je burgerservicenummer of bankgegevens vraagt terwijl daar geen duidelijke reden voor is, moet je zien als een waarschuwingssignaal, hoe de rest van de site er ook uitziet

Hoe gebruik je een websitecheck op veiligheid?

Een websitecheck op veiligheid is een tool die een URL vergelijkt met bekende lijsten van schadelijke of gemelde sites en een veiligheidsbeoordeling geeft. Zulke tools zijn handig voor een snelle tweede mening, vooral bij sites die je nog niet eerder hebt bezocht.

Waar veiligheidschecks naar kijken

• Lijsten van bekende schadelijke sites die door browsermakers en beveiligingsorganisaties worden bijgehouden. Sites waarvan is bevestigd dat het phishingpagina's, verspreiders van malware of oplichtingsoperaties zijn, staan op deze lijsten en worden direct gemarkeerd
• Leeftijd en reputatie van het domein. Pas geregistreerde domeinen die al zijn gemeld wegens problemen, of domeinen die patronen laten zien die bij schadelijke activiteit horen, kunnen worden gemarkeerd, ook als ze nog niet aan een specifieke lijst zijn toegevoegd
• Of de site een geldig beveiligingscertificaat heeft en of HTTPS goed is ingesteld
• Of eerdere bezoekers de site hebben gemeld

Wat veiligheidschecks je niet kunnen vertellen

Een schoon resultaat van een websitecheck op veiligheid is geen garantie dat de site betrouwbaar is. Het betekent dat de site niet is gemeld of gemarkeerd op de lijsten waartegen de tool controleert.

• Een gloednieuwe oplichterssite slaagt voor een veiligheidscheck als hij nog niet is gemeld. Schadelijke sites lopen vaak dagen of weken voor op de lijsten voordat ze worden toegevoegd
• Veiligheidschecks beoordelen de kwaliteit of eerlijkheid van de inhoud van de site niet. Een site kan voor elke geautomatiseerde check slagen en toch zijn gemaakt om bezoekers te misleiden
• Gebruik een veiligheidscheck als één van de bronnen naast de andere controles, niet als enige

Wat een website echt veilig maakt om te gebruiken

HTTPS is het beginpunt, niet de finish

Een site met HTTPS en een geldig hangslotje voldoet aan de technische basiseisen voor een beveiligde verbinding. Dat is de moeite waard om te bevestigen, maar het is het begin van de controle en niet het einde.

HTTPS beschermt de gegevens die tussen de browser en de server reizen. Het zegt niets over wat de site met die gegevens doet zodra ze zijn aangekomen. Een site kan een geldig certificaat hebben en toch gegevens verzamelen voor doeleinden waar de bezoeker niet mee zou instemmen als hij ervan wist. Een volledig overzicht van hoe HTTPS werkt en wat het echt beschermt, vind je in het artikel over wat HTTPS is en hoe het je website beschermt.

Vertrouwenssignalen op de pagina

Naast de technische controles laten sites die goed functioneren dat meestal zien in hoe ze met basiszaken omgaan.

• Duidelijke informatie over wie de site beheert en hoe je contact kunt opnemen
• Beleid dat uitlegt welke gegevens worden verzameld en hoe ze worden gebruikt
• Een afrekenproces, als dat er is, dat een bekende betaalmethode gebruikt en laat zien waarvoor je betaalt voordat je de transactie bevestigt
• Geen druktechnieken: aftelklokken, beweringen dat je account wordt geblokkeerd tenzij je nu handelt of waarschuwingen dat je apparaat is besmet zijn veelgebruikte middelen om bezoekers te laten beslissen zonder na te denken

Wat SSL-certificaten wel en niet bewijzen

Een basis-SSL-certificaat, het soort dat een site zijn hangslotje en HTTPS geeft, bewijst één ding: dat wie het heeft geïnstalleerd het domein beheert. Het controleert niet dat het bedrijf achter de site legitiem is, dat de site onafhankelijk is beoordeeld of dat de mensen die hem beheren zijn wie ze zeggen te zijn.

Certificaten van een hoger niveau gaan wel verder. Bij organisatievalidatie of uitgebreide validatie moet de certificeringsinstantie de juridische identiteit van het bedrijf controleren. Sites met deze certificaten zijn gecontroleerd op meer dan alleen het eigendom van het domein. Voor de meeste alledaagse websites is dit niveau van controle niet nodig, maar op financiële platforms of overheidssites is het goed om het verschil te kennen. Een volledig overzicht van de certificaattypen en wat elk bewijst, vind je in het artikel over wat een SSL-certificaat is en hoe het werkt.

Wat je doet als een website niet veilig lijkt

• Vul geen persoonlijke gegevens, inloggegevens of betaalgegevens in op een site waar je niet zeker van bent. Informatie die is verstuurd, kun je niet terughalen
• Sluit het tabblad en ga rechtstreeks naar de site die je wilde bereiken door het adres zelf in te typen, in plaats van een link te volgen die je misschien ergens onverwacht heeft heen gestuurd
• Heb je al gegevens ingevuld op een site die onveilig bleek, wijzig dan direct het wachtwoord dat bij dat e-mailadres hoort. Ging het om betaalgegevens, neem dan contact op met je bank
• Meld de site als de browser of veiligheidstool je die optie geeft. Dat helpt om de site sneller op waarschuwingslijsten te krijgen, wat andere bezoekers beschermt
• Beheer je zelf een site en wil je begrijpen wat je bezoekers zien als ze je beveiliging controleren, kijk dan of HTTPS actief is, of het certificaat geldig en niet verlopen is en of er iets op de pagina staat dat voor iemand die de site niet kent als waarschuwingssignaal kan overkomen

Hoe WEMASY zorgt voor veiligheidssignalen van je site

Elke site die met WEMASY is gebouwd, draait standaard op HTTPS. SSL-certificaten zitten in alle abonnementen en worden automatisch toegepast als een site of eigen domein wordt gekoppeld. Er is niets in te stellen en geen vernieuwing te beheren. Bezoekers die de adresbalk bekijken, zien vanaf dag één HTTPS en het hangslotje.

Redirects van HTTP naar HTTPS zijn op platformniveau ingesteld, zodat bezoekers altijd op de beveiligde versie van de site terechtkomen, hoe ze er ook komen. Waarschuwingen voor gemengde inhoud, die verschijnen als een pagina via HTTPS laadt maar sommige onderdelen niet, zijn geen zorg, omdat alle bestanden die via het platform worden geleverd overal HTTPS gebruiken.

Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijzenpagina.

Veelgestelde vragen