SEO Gids Stap 7: Feiligens

Dit is Stap 7 fan de 13-Stappen SEO Gids. Feiligens giet net allinne oer it beskermjen fan brûkers — it hat direkt ynfloed op jo sykranglist. Google brûkt al sûnt 2014 HTTPS as in rangsinaal, en de ferwachtingen binne allinnich mar grutter wurden.

De measte webside-eigners besjen feiligens as in binary: “Wy hawwe SSL, dus wy binne feilich.” Yn 'e praktyk evaluearret Google tsientallen feiligenssinaalen. Sites mei de juiste feiligensheaders, jildige sertifikaten en gjin mingde ynhâld hawwe in bettere ranglist dan sites dy't allinnich in basis SSL-sertifikaat hawwe — alle oare dingen fêst.

It goede nijs: de measte feiligensferbetteringen binne ienmalige konfiguraasjes. Stel se ien kear yn en se beskermje jo ranglist permanent.

SSL Konfiguratie

SSL (technysk TLS) fersifert de ferbining tusken jo server en besikers. Sûnt 2014 hat Google eksplisyt HTTPS befestige as in rangsinaal. Yn 2026 is it net hawwe fan HTTPS gjin probleem mear — Chrome markeart HTTP-websides as "Net Feilich" yn 'e adresbalk, wat it fertrouwen fan brûkers ûndergraven kin.

Eisen foar in goede SSL:

Eisen	Wêrom	Hoe te Kontrolearje
Jildich sertifikaat	Ferfallen = browser waarskowing = ôfsketten brûkers	Kontrolearje expiry datum
Folle keten	Yncomplete ketens falle op guon apparaten	SSL Labs test
TLS 1.2+	Âlder ymmers hawwe bekende kwetsberens	SSL Labs test
Gjin SHA-1	ôfskreaun, browsers rekkene it ôf	Sertifikaat details
SAN-dekking	www en non-www moatte beide bedekt wêze	Sertifikaat details
Auto- renewal	Foarkomt ferfal rampen	Let's Encrypt / leveransier konfiguratie

SSL scoring:

100% = Jildich cert + Folle keten + TLS 1.3 + Sterke cipher + Auto-renew
  0% = Ferfallen of ûntbrekkend sertifikaat

Gemiddelde SSL-fouten:

Sertifikaat ferfalt sûnder warskôging — Set monitoring op (Stap 6) minimaal 30 dagen foar ferfal
Incomplete sertifikaatketen — Server moat tuskenlizzende sertifikaten stjoere, net allinnich it blêd
Mingde ynhâld — HTTPS-pagina laadt HTTP boarnen (bylden, scripts, stylesheets)
Redirect loops — HTTP → HTTPS → HTTP syklussen feroarsake troch misconfigure CDNs/proxy
Non-www vs www mismatch — Sertifikaat dekt de ien mar net de oare

Quick win: Draai jo domein troch SSL Labs (ssllabs.com/ssltest). Alles ûnder in "A"-beoardieling hat aksjoneel issues. De measte hostingproviders fixje dit mei ien klik.

Feiligensheaders

Feiligensheaders binne HTTP-antwurdheaders dy't browsers ynstruearje hoe't se wêze moatte by it laden fan jo webside. Se foarkomme hiele kategoryen fan oanfallen — en Google's crawlers kontrolearje se.

De essinsjele feiligensheaders:

Ynhâld-Security-Policy (CSP)

CSP is de machtichste feiligensheader. It seit browsers krekt hokker boarnen (scripts, styles, bylden, lettertypen) folge binne om te laden op jo siden.

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; connect-src 'self' https://api.example.com; frame-ancestors 'none';

Wat CSP foarkomt:

Cross-site scripting (XSS) oanfallen
Gegevensynjeksje-aanfallen
Clickjacking (troch frame-ancestors)
Unautorisearre script útfiering (cryptominers, advertinsjes)

CSP ynsetstrategy:

Begjin mei Content-Security-Policy-Report-Only (logged violations sûnder te blokkearjen)
Monitoar reports foar 1-2 weken
Wytlist legitieme boarnen
Wizig nei enforcing mode
Tafoegje report-uri of report-to foar yngeande ynbreuk logging

X-Frame-Options

Foarkomt dat jo webside yn iframes op oare domeinen ynbedrage wurdt (clickjacking-beskerming).

X-Frame-Options: DENY

Of as jo itselde-oarsprong framing moatte tastimme:

X-Frame-Options: SAMEORIGIN

X-Content-Type-Options

Foarkomt dat browsers MIME-type sniffing (bestannen ynterpretearje as oare soarten as deklare).

X-Content-Type-Options: nosniff

Dizze ien-regel foarkomt oanfallen wêr't in .jpg-bestân ferburgen Javascript befet dat de browser mooglik útfiert.

Referrer-Policy

Kontrolearret hoefolle referrer ynformaasje ferstjoerd wurdt as brûkers links fan jo webside klikke.

Referrer-Policy: strict-origin-when-cross-origin

Dit stjoert de folsleine URL foarSame-origin fersiken mar allinnich de oarsprong (domein) foar cross-origin fersiken. Balânsje analytyske behoeften mei privacy.

Permissions-Policy

Kontrolearret hokker browserfunksjes (kamera, mikrofoan, geolokaasje, ensfh.) brûkt wurde kinne op jo webside.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

It útskeakeljen fan funksjes dy't jo net brûke, foarkomt dat tredde partijen se misbrûke.

Header ynsetfoarbyld (Next.js):

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: '/(.*)',
      headers: [
        { key: 'X-Content-Type-Options', value: 'nosniff' },
        { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
        { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
        { key: 'Permissions-Policy', value: 'camera=(), microphone=(), geolocation=()' },
        { key: 'Strict-Transport-Security', value: 'max-age=31536000; includeSubDomains; preload' },
      ]
    }]
  }
}

Header ynset (Apache .htaccess):

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Header ynset (Nginx):

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Quick win: Foegje alle 5 headers hjirboppe ta oan jo serverkonfiguratie. Dit duorret 5 minuten en ferbetteret dadelik jo feiligensposysje yn elke scans foar it ark.

HSTS Preload

HTTP Strict Transport Security (HSTS) seit browsers om altyd HTTPS foar jo domein te brûken — sels foar de earste oanvraag. Sûnder HSTS kin de earste besite oan jo webside noch HTTP brûke (kwetsber foar ynterceptie) foardat de oerskeakeljen nei HTTPS bart.

HSTS header:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

De trije wissen:

Wys	Betekenis
`max-age=31536000`	Hâld dit yn gedachten foar 1 jier (yn sekonden)
`includeSubDomains`	Pas ek ta op alle subdomeinen
`preload`	Frege om ynsluting yn browser preload listen

HSTS preload list:

De ultime HSTS-beskerming. Browsers komme mei in ynboude list fan domeinen dy't altyd HTTPS brûke moatte. Jo domein ynstjoere oan hstspreload.org betsjut:

Earste besikers krije mededielings op HTTPS ( gjin HTTP → HTTPS oerskeakeljen)
It is ûnmooglik foar aanvallers om ferbining te fergrutsjen
Permanent (dreech om fuort te nimmen as ynstjoerd)

Eisen foar HSTS preload:

Jildich HTTPS-sertifikaat
Om all HTTP nei HTTPS te rjochtsjen (ynklusyf subdomeinen)
HSTS header mei max-age >= 31536000
HSTS header omfettet includeSubDomains
HSTS header omfettet preload
Alle subdomeinen moatte HTTPS stypje

Warskôging: Stjoer allinnich yn foar preload as ALLE jo subdomeinen HTTPS stypje. De includeSubDomains-wys betsjut dat elke HTTP-allinnich subdomein ynakessabel wurdt.

Quick win: As jo al HTTPS hawwe op alle subdomeinen, foegje de folsleine HSTS-header ta en stjoere oan hstspreload.org. It proses duorret in pear weken, mar de beskerming is permanent.

Kwetsberensscan

Automatyske kwetsberensscan identifisearret bekende feiligensproblemen yn jo stack foardat aanvallers se misbrûke.

Wat kwetsberensscan kontrolearret:

Feroare software: WordPress, plugins, JavaScript-biblioteken mei bekende CVE's
Eksposearre bestannen: .env, .git, wp-config.php, database dumps
Ynformaasje lekke: Serverferzje headers, debug mode, stack traces
Standaard credentials: Admin siden sûnder autentikaasje, standaard wachtwurden
Iene poarten / tsjinsten: Unnodige tsjinsten eksposearre op it ynternet
Ynjeksjepunten: Foarmen sûnder CSRF-beskerming, ûnvalidierte ynputs

Gemiddelde kwetsberens per platfoarm:

Platfoarm	Top Kwetsberens	Fix
WordPress	Feroare plugins	Auto-update + WAF
Shopify	Tredde partij app machtigingen	Audit applist elk kwartaal
Next.js	Eksposearre API-rûtes	Auth middleware + rate limiting
Statyske sites	CDN misconfigure	Besjoch cache regels
Oanpast	SQL ynjeksje	Parameterized queries

Scanfrekwinsje:

Deistich: Automatyske oerflakscan (SSL, headers, eksposearre bestannen)
Wekliks: Kwetsberenskontrole fan ôfhinklikheden (npm audit, WordPress plugin scanner)
Moanliks: Djippe scan mei autentike testen
Nei elke ynkear: Regression kontrole

Quick win: Draai npm audit (Node.js) of kontrolearje jo CMS-pluginlist foar ferâldere komponinten. Fixje kritike/hege ernstsproblemen immediat.

Mingde Ynhâld

Mingde ynhâld ûntstiet as in HTTPS-pagina boarnen (bylden, scripts, stylesheets, iframes) oer HTTP laadt. Dit brekt partial de fersifering en aktiveart browser warskôgingen.

Soarten mingde ynhâld:

Type	Ernst	Foarbyld	Gedrach fan browser
Aktiv	Heech	HTTP-script, iframe, CSS	Blokkeard troch standard
Passyf	Medium	HTTP-ibyld, fideo, audio	Laadt mei waarskôging

Aktive mingde ynhâld wurdt blokkearre troch moderne browsers — dat betsjut dat jo scripts en styles simpelwei net laadt. Passive mingde ynhâld laadt mar lit feiligenswarskôgingen sjen.

Finen fan mingde ynhâld:

Iepenje Chrome DevTools → Console
Socht "Mingde Ynhâld" warnings
Alternatyf, scan mei in crawler (Screaming Frog, LANGR)

Gemiddelde boarnen fan mingde ynhâld:

Hardcoded http:// URLs yn ynhâld (blogposts, produktbeskriuwingen)
Tredde partij widgets dy't HTTP-boarnen lade
Embed ynhâld (âlde embeds fan YouTube, sosjale media widgets)
CSS background-image mei HTTP-URLs
Fonts laden oer HTTP

Fixearjen fan mingde ynhâld:

<!-- Slecht -->
<img src="http://example.com/image.jpg" />

<!-- Goed -->
<img src="https://example.com/image.jpg" />

<!-- Best (protokol-relatyf, past him oan it sideprotokol) -->
<img src="//example.com/image.jpg" />

Databasefix (WordPress):

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://yourdomain.com', 'https://yourdomain.com');
UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://yourdomain.com', 'https://yourdomain.com');

Quick win: Iepenje jo homepage yn Chrome, druk op F12, kontrolearje it Console tab foar mingde ynhâld waarskôgingen. Fixje elke dy't ferskynt — dizze binne direkt sichtber foar Google.

Tredde-Partijen Script Risico's

Elk eksterne script dat jo laden, is in potensjele feiligens (en prestaasjes) ferantwurdlikheid. Tredde-partij scripts kinne:

Kompromitteard wêze (supply chain attacks)
Jo brûkers folgje sûnder tastimming (GDPR-oertredingen)
Jo webside traach meitsje (render-blocking, netwurk latency)
Funksjonaliteit brutsen (ferzje-updates, ûnderbrekkingen)
Ien nije ynhâld ynjeksje (advertinsjescripts dy't ferkeard gean)

Audit jo tredde-partij scripts:

Script	Nefedich?	Risiko-nivo	Alternatyf
Google Analytics	Faak ja	Leech	Server-side tracking
Chat widgets	Miskien	Medium	Selbstgehoste oplossingen
Sosjale share knoppen	Selden	Medium	Statyske diel links
A/B testen	Somtiden	Heech	Server-side testen
Retargeting pixels	Bedriuwsbesluting	Heech	First-party data
Font CDNs	Handich	Leech	Selbstgehoste fonts

Risiko's om te minimalisearjen foar essinsjele tredde-partij scripts:

Subresource Integrity (SRI): Hash ferifikaasje foarkomt dat tampered scripts laden wurde

<script src="https://cdn.example.com/lib.js"
        integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxAE+sO0..."
        crossorigin="anonymous"></script>

CSP-beheiningen: Allinnich tastimme scripts fan bekende domeinen
Sandboxed iframes: Isolearje tredde-partij widgets
Regelmjittige audits: Kwartierlike evalutaasje fan alle eksterne boarnen
Monitoring: Waarskôging oer nije eksterne domeinen dy't yn jo sidan ferskine

Quick win: List elkenien