Een geldig slotje is het begin, niet het einde van de controle
Het slotje in de adresbalk vertelt u alleen dat het certificaat op dit moment geldig is — niet wanneer het verloopt, of alle onderdelen van de site wel via HTTPS laden, en al helemaal niet of er ergens verborgen malware op de server staat. Een volledige controle bestaat uit drie losse onderdelen: de geldigheid en configuratie van het certificaat, de beveiligingsheaders van de server, en een scan op kwaadaardige bestanden. De gevolgen van een gemiste controle zijn direct zichtbaar voor bezoekers: een browser die een waarschuwing toont over een onveilige verbinding jaagt de meeste mensen binnen enkele seconden weg, nog voordat ze de inhoud van de pagina hebben kunnen lezen.
Het certificaat zelf controleren
Klik op het slotje in de browser voor de vervaldatum, maar ga voor een grondige controle naar de gratis SSL Server Test van Qualys SSL Labs. Vul uw domein in en wacht de volledige scan af; die geeft een cijfer (A tot F) en een gedetailleerd overzicht van het certificaat, de ondersteunde protocollen en eventuele configuratiefouten. Let vooral op een score onder de B, verouderde protocolversies die nog actief staan, en een vervaldatum binnen enkele weken.
De meeste hostingpartijen vernieuwen certificaten via Let's Encrypt automatisch, maar dat proces mislukt soms stil op de achtergrond — bijvoorbeeld na een DNS-wijziging of een verhuizing naar een andere server. Controleer daarom periodiek zelf de vervaldatum in plaats van volledig op de automatisering te vertrouwen. Is het certificaat al verlopen, dan leest u in SSL-certificaat verlopen herstellen hoe u dit snel oplost.
Beveiligingsheaders van de server checken
Naast het certificaat bepalen HTTP-beveiligingsheaders hoe goed uw site bestand is tegen veelvoorkomende aanvallen. Tools als testssl.sh en verschillende gratis online headerscanners tonen in kleur (groen tot rood) welke headers aanwezig zijn en welke ontbreken, zoals bescherming tegen clickjacking of het forceren van HTTPS via HSTS. Voor de meeste kleinere sites is dit geen dagelijkse zorg, maar wel iets om jaarlijks te laten meenemen in een bredere beveiligingscontrole.
Scannen op malware en verdachte bestanden
Verouderde software is de belangrijkste oorzaak van gehackte websites. Gratis scanners zoals Wordfence en Sucuri (beide ook als WordPress-plugin beschikbaar) doorzoeken bestanden en database op bekende malwarepatronen en verdachte wijzigingen. Draai zo'n scan na elke grote plugin- of thema-update, en sowieso maandelijks als vaste gewoonte naast de rest van uw checklist website-onderhoud.
Vergeet de inlogpagina niet
Certificaat, headers en malwarescans richten zich op de site zelf, maar een groot deel van de gehackte sites wordt binnengekomen via een zwak beheerderswachtwoord of een onbeveiligde inlogpagina. Controleer of het wachtwoord van uw CMS-account uniek en voldoende lang is, schakel waar mogelijk tweestapsverificatie in, en overweeg een limiet op het aantal mislukte inlogpogingen (brute-force-bescherming) — een standaardfunctie in beveiligingsplugins zoals Wordfence. Dit kost eenmalig een kwartier om in te stellen en sluit een van de meest gebruikte toegangswegen voor aanvallers af.
Let ook op mixed content
Een geldig certificaat op de hoofdpagina betekent niet dat alle afbeeldingen, scripts en stylesheets ook via HTTPS laden. Laadt ergens nog een onderdeel via het onbeveiligde HTTP, dan toont de browser een waarschuwing over onveilige inhoud, ook al is de rest van de site prima beveiligd. Zie mixed-content-waarschuwing oplossen voor hoe u dit opspoort en verhelpt.
Bij twijfel: laat het controleren
Een SSL Labs-rapport of een headerscan lezen is voor niet-technische sitebeheerders niet altijd eenduidig — een B-score kan onschuldig zijn of net op een serieus probleem wijzen. Websitechecken controleert certificaat, headers en malware-status in samenhang en herstelt gevonden problemen direct, zodat u niet zelf hoeft te bepalen welke afwijking urgent is.
