Website Security Check: websitebeveiliging controleren

De check haalt je pagina één keer op zoals een gewone bezoeker (en volgt omleidingen in beperkte mate) en leest wat de server prijsgeeft: de headers Server en X-Powered-By, de CMS-generator in de HTML, zes securityheaders, de cookieflags, het TLS-certificaat, oude TLS-versies, de omleiding naar HTTPS en de SPF-, DMARC- en DKIM-records van het domein. Gedetecteerde versies worden vergeleken met de releasegegevens van endoflife.date en actuele beveiligingswaarschuwingen. In het fictieve voorbeeld meldt example.com PHP-versie 8.2.28, is daardoor waarschijnlijk getroffen en krijgt score F.

Nee, bewust niet. Een kwetsbaarheidsscanner test een website actief op zwakke plekken, bijvoorbeeld met testverzoeken naar allerlei paden. Dat is bij servers van anderen niet gepast en hoort niet thuis in een openbare tool. De check werkt passief: hij probeert geen aanvallen, tast geen andere paden af en laat zien waar je website van buitenaf kwetsbaar lijkt. Gebruik de zelftest op je server voor een betrouwbaar antwoord.

Elke controle begint met 100 punten en trekt per probleem een gewogen aantal punten af: een actuele beveiligingswaarschuwing of een ongeldig certificaat kost veel punten, ontbrekende securityheaders samen maximaal 8. Vanaf 90 punten krijg je een A, vanaf 80 een B, vanaf 70 een C, vanaf 60 een D, vanaf 50 een E en daaronder een F. Als een actuele beveiligingswaarschuwing de gedetecteerde versie betreft, is de hoogst mogelijke score een D; voor serversoftware zonder ondersteuning is dat een C. Wat van buitenaf niet zichtbaar is, kost geen punten. Daarom bewijst zelfs een A niet dat een server veilig is.

Van buitenaf zie je alleen wat een server zelf prijsgeeft. Vermeldt hij geen versie, dan luidt het oordeel ‘niet te detecteren’: het verbergen is goed, maar zegt niets over de patchstatus. Een oud versienummer kan bovendien allang gepatcht zijn, want Debian, Ubuntu en andere distributies passen beveiligingsfixes toe via backports en behouden het oude nummer. Daarom zegt de check ‘waarschijnlijk getroffen’, ‘niet te detecteren’ of ‘gepatcht’, maar nooit ‘veilig’.

Controleer op de server met php -v. Voor webverzoeken telt echter de versie van PHP-FPM of Apache, niet alleen die van de opdrachtregel. De opdracht in de zelftest toont alle gevonden PHP-installaties met hun versies en de relevante instellingen. Sommige servers vermelden hun versie extern in de header X-Powered-By; je kunt dit uitschakelen met expose_php=Off.

Je voert een korte opdracht op je server uit die alleen gegevens leest en plakt de uitvoer in de tool. De opdracht start geen programma's, maar leest alleen de pakketdatabase en configuratiebestanden: het besturingssysteem en de kernel, de pakketversies van PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis en Node.js, beschikbare updates uit de lokale cache van de pakketbeheerder, of een herstart nodig is, de relevante php.ini-waarden en of de pakket-changelogs de fixes vermelden. De analyse draait in je browser: de uitvoer wordt niet verzonden of opgeslagen. Zo kun je ook interne servers controleren en backports van de distributie beoordelen.

Twee kritieke kwetsbaarheden in PHP waarvoor het BSI op 21.10.2026 waarschuwt. Volgens de waarschuwing zijn ook oudere versies tot minstens PHP 5 getroffen. De gepatchte versies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35; voor 7.4, 8.0 en 8.1 heeft het PHP-team backportpatches beschikbaar gesteld. Als tijdelijke oplossing noemt het BSI session.upload_progress.enabled=0, memory_limit=-1, een lage post_max_size en bij PHP 8.5 fatal_error_backtraces=0. Deze tijdelijke maatregelen maken een aanval alleen moeilijker; ze vervangen de update niet.

Nee. De Website Security Check is bedoeld voor beheerders en admins en beoordeelt softwareversies, securityheaders, TLS en e-mailrecords van een website. Hij controleert niet of een webwinkel betrouwbaar is, of een website aan phishing doet of malware verspreidt.

De check is gratis en vereist geen aanmelding. Om servers niet met verzoeken te overbelasten, zijn maximaal 10 checks per minuut per IP-adres en 30 per minuut per gecontroleerde host mogelijk. Een resultaat wordt ongeveer 10 minuten gecachet. De check bezoekt geen adressen met een privé-IP, localhost of inloggegevens in de URL. Voor interne servers gebruik je de zelftest.