Controles / Links, canonical en snelheid

Geen HSTS-header

Strict-Transport-Security zorgt dat browsers altijd HTTPS gebruiken, wat downgrade-aanvallen voorkomt.

hsts_missing · Links, canonical en snelheid · Opmerking

Wat haar activeert

Op een site die via https werkt, heeft het antwoord van je startpagina geen Strict-Transport-Security-header.

Wat je moet aanpassen

Stuur Strict-Transport-Security: max-age=31536000; includeSubDomains mee bij HTTPS-antwoorden.

Voorbeeld

Responsheaders om op je server of CDN toe te voegen:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Zo bevestig je de oplossing

1. Voer curl -I https://example.com/ | grep -i strict-transport uit
2. Start een nieuwe crawl

Hoe vaak het voorkomt

We hebben niet gemeten hoe vaak dit voorkomt in een steekproef van sites. Cijfers verschijnen hier zodra een studie het dekt.

Over deze controle

Instellingen per platform

Waar de instelling staat op een paar platforms, volgens de eigen helppagina van elk platform, gelezen op 26 oktober 2026. Op elke andere server pas je het correctiekader hierboven toe.

Cloudflare

In Cloudflare: Edge Certificates → Enable HSTS → Max Age Header, Apply HSTS policy to subdomains. (helppagina van Cloudflare)

Cloudflare waarschuwt: haal je HTTPS weg voordat je HSTS uitzet, of voordat de Max Age Header is verlopen, dan is je site voor bezoekers onbereikbaar tot een van beide gebeurt.

Netlify

Netlify: zet dit in _headers. (helppagina van Netlify)

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains

Vercel

Vercel: zet dit in vercel.json. (helppagina van Vercel)

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        {
          "key": "Strict-Transport-Security",
          "value": "max-age=31536000; includeSubDomains"
        }
      ]
    }
  ]
}

Verwante controles

• Ongeldige hreflang
• hreflang heeft geen x-default
• Interne links verwijzen naar redirects
• Het hoofdadres wisselt van taal met de browser van de bezoeker

Hoe een audit werkt: methode