Naar de inhoud
VDHome
Vraag een offerte

Wat ziet een bezoeker van uw website?

Elke bezoeker kan met de developer tools van zijn browser (F12) zien welke cookies uw website zet, wat ze bij anderen ophaalt en hoe uw domein uw e-mail beschermt. Hieronder staat hoe u dat in vijf minuten zelf nakijkt, zonder iets te installeren.

Kreeg u een mail van mij? Daarin stond één punt dat ik als gewone bezoeker zag. Hier vindt u de volledige lijst, met de stappen om het zelf te controleren: u hoeft mij niet op mijn woord te geloven.

Probeer de stappen in de browser eerst op www.vdhome.be: zo ziet het eruit als alles klopt. Daarna op uw eigen website.

Stappen nagekeken op 16 oktober 2026.

Eerst: de developer tools openen

  • Open uw website in een privévenster en klik nog niets aan, ook niet op de cookiebanner.
  • Chrome en Edge: druk op F12 of Ctrl+Shift+I (op een Mac: Cmd+Option+I).
  • Firefox: druk op F12 of Ctrl+Shift+I (op een Mac: Cmd+Option+I).
  • Safari: zet eerst in Safari > Instellingen > Geavanceerd de functies voor webontwikkelaars aan. Daarna: Ontwikkel > Toon webinspecteur, of Cmd+Option+I.

1. Cookies vóór toestemming

Kijk op de homepage, voor u de cookiebanner beantwoordt.

Chrome en Edge

  1. Kies het tabblad Application.
  2. Open links onder Storage: Cookies > uw domein. Daaronder staan ook Local storage, Session storage en IndexedDB.

Firefox

  1. Kies het tabblad Storage (Opslag).
  2. Open Cookies > uw domein. In hetzelfde tabblad staan ook Local Storage, Session Storage en Indexed DB.

Safari

  1. Kies het tabblad Storage (Opslag).
  2. Open Cookies voor uw domein. In hetzelfde tabblad staan ook Local Storage en Session Storage.

Wat u hoort te zien: Enkel cookies die de site echt nodig heeft om te werken. Namen zoals _ga, _gid, _gcl_au, _fbp of hubspotutk zijn analyse- of marketingcookies: die horen er pas te staan nadat de bezoeker ze aanvaardt.

Waarom het telt: Volgens de Gegevensbeschermingsautoriteit vragen niet-noodzakelijke cookies vooraf de toestemming van de bezoeker.

Gegevensbeschermingsautoriteit over cookies

2. Inhoud van andere partijen

Laat de developer tools open staan en herlaad de pagina, zodat elk verzoek in de lijst komt. Vervang hieronder uwdomein.be door het domein in uw adresbalk.

Chrome en Edge

  1. Kies het tabblad Network en herlaad de pagina (Ctrl+R, op een Mac Cmd+R).
  2. Typ in het filterveld: -domain:uwdomein.be

Firefox

  1. Kies het tabblad Network (Netwerk) en herlaad de pagina.
  2. Typ in het veld Filter URLs: -domain:uwdomein.be

Safari

  1. Kies het tabblad Network (Netwerk) en herlaad de pagina.
  2. Safari kent dat filter niet: toon de kolom Domain (rechtsklik op een kolomtitel) en sorteer erop.

Wat u hoort te zien: Een lege lijst, of enkel partijen waarvoor de bezoeker al toestemming gaf. Vaak ziet u fonts.googleapis.com (lettertypes), maps.googleapis.com (een kaart), www.google.com/recaptcha of youtube.com: telkens gaat het IP-adres van de bezoeker naar die partij.

Waarom het telt: Een IP-adres is een persoonsgegeven. Lettertypes kunt u op uw eigen server zetten; een kaart of video kan pas laden na een klik.

3. Een privacy- en cookiebeleid

Hiervoor hebt u de developer tools niet nodig.

In elke browser

  1. Zoek onderaan de homepage een link zoals Privacy, Privacyverklaring of Cookiebeleid.

Wat u hoort te zien: Een link op elke pagina, naar een tekst die zegt welke gegevens u verwerkt, waarom, hoe lang en bij wie de bezoeker terecht kan.

Waarom het telt: Wie persoonsgegevens verzamelt, bijvoorbeeld via een contactformulier, moet dat vooraf uitleggen (AVG, artikel 13).

4. Altijd een beveiligde verbinding

Laat het tabblad Network open staan.

In elke browser

  1. Typ in de adresbalk http://uwdomein.be (zonder s).
  2. Kies in Network het eerste verzoek naar https:// en bekijk de response headers.

Wat u hoort te zien: U komt automatisch op https:// terecht, en de headers bevatten Strict-Transport-Security.

Waarom het telt: Zonder doorverwijzing kan een bezoeker op een onbeveiligde verbinding blijven; HSTS zegt de browser dat hij uw site voortaan altijd via https opent.

5. Een meldpunt voor beveiligingsproblemen

Ook hiervoor hebt u de developer tools niet nodig.

In elke browser

  1. Open https://uwdomein.be/.well-known/security.txt.

Wat u hoort te zien: Een kort tekstbestand met een Contact:-regel en een Expires:-datum.

Waarom het telt: Wie een fout op uw site vindt, weet dan bij wie hij ze kan melden. Het is een internationale standaard (RFC 9116).

RFC 9116

6. Uw e-maildomein: SPF en DMARC

Dit gaat niet in de browser maar met één DNS-opzoeking. Typ de twee regels na elkaar.

Windows (Opdrachtprompt)

  1. nslookup -type=TXT _dmarc.uwdomein.be
  2. nslookup -type=TXT uwdomein.be

Mac en Linux (Terminal)

  1. dig +short TXT _dmarc.uwdomein.be
  2. dig +short TXT uwdomein.be

Wat u hoort te zien: Bij _dmarc een regel die begint met v=DMARC1 en p=quarantine of p=reject bevat. p=none betekent: alleen meekijken. Bij het domein zelf een regel v=spf1 ... die eindigt op -all of ~all.

Waarom het telt: Zonder DMARC kan iemand anders mail versturen die van uw domein lijkt te komen, bijvoorbeeld een valse factuur aan uw klanten, en u merkt het niet. Gebruik het domein van uw e-mailadres, ook als uw website een ander domein heeft.

Hoe wordt een domein zonder DMARC misbruikt?

Waarom het kan

E-mail werd ontworpen zonder controle van de afzender. De regel "Van: info@uwdomein.be" die de ontvanger ziet, is gewone tekst die de verzendende server zelf invult, zoals het afzenderadres op de achterkant van een envelop.

Wat SPF, DKIM en DMARC elk doen

  • SPF zegt welke servers voor uw domein mogen versturen, maar controleert een verborgen technisch afzenderadres, niet de zichtbare Van-regel.
  • DKIM zet een digitale handtekening op de mail, maar elk domein mag tekenen, ook dat van de vervalser.
  • Pas DMARC eist dat het domein in de zichtbare Van-regel overeenkomt met een domein dat SPF of DKIM doorstond. Het zegt de ontvanger wat hij anders doet: toch afleveren (p=none), in de spammap (p=quarantine) of weigeren (p=reject), en het stuurt u rapporten over wie in uw naam mailt.

Hoe dat in de praktijk misbruikt wordt

  • Valse facturen: een mail die van uw boekhouding lijkt te komen, met de boodschap dat uw rekeningnummer veranderd is.
  • Phishing van uw klanten en leveranciers: een link naar een nagemaakte inlogpagina, onder uw naam.
  • Schade aan uw reputatie: uw domein komt op spamlijsten, en uw echte mail belandt vaker in de spammap.
  • U merkt niets: zonder DMARC-rapporten ziet u niet wie in uw naam verstuurt.

Hoe groot is het risico?

Grote aanbieders zoals Gmail en Microsoft 365 zetten niet-gecontroleerde mail vaak in de spammap, maar niet altijd. Kleinere mailservers controleren vaak minder. p=none beschermt even weinig als geen DMARC: het is een goede eerste stap om te leren wie er in uw naam mailt, niet het eindpunt.

Wat DMARC niet oplost

Domeinen die op het uwe lijken (een l in plaats van een i, of een andere extensie) en een gehackte mailbox. Een domein dat nooit mail verstuurt, beschermt u met v=spf1 -all en DMARC p=reject.

Een stap verder, gratis

NIS2-check

Valt uw zaak onder NIS2? Ongeveer tien vragen, met het wetsartikel bij elke stap.

Start de NIS2-check

Gratis scan

Waar staat uw data? Tien vragen, meteen een rapport.

Start de scan

Cookie-consent self-check

Werkt uw cookieweigering echt? Ik laad uw site in een echte browser; eerst verifieer ik een e-mailadres op uw domein.

Aanvragen voor uw domein

De NIS2-check en de scan rekenen volledig in uw browser: er wordt niets verstuurd.

Liever dat ik meekijk?

Dat is het Trust Report: een schriftelijk overzicht van wat een bezoeker en een mailserver van uw organisatie zien, met het bewijs en wat u eraan kunt doen.

Vaste prijs EUR 250, levering in 5 werkdagen; lanceringsprijs EUR 150 bij bestelling tot en met 31/12/2026; de levering mag in 2027 vallen.

Bekijk het Trust Report Bekijk een voorbeeldrapport (PDF, fictief kantoor)

Deze pagina is geen juridisch advies. Een website zegt weinig over hoe goed uw organisatie beveiligd is; NIS2 gaat over veel meer dan dat.