Waar de site
vandaag staat.

Vondst 01

Binnen twee seconden staan er zes waarden op het apparaat van de bezoeker, zonder dat er iets gevraagd is.

Wij openden de homepage in een verse browser en keken elke seconde wat er werd weggeschreven. Na één seconde: niets. Na twee seconden: vijf waarden. Na vier: zes. Het gaat niet om cookies, want die worden er niet gezet. Het gaat om localStorage, en dat telt onder de AVG net zo goed mee: het is opslag op het apparaat van de bezoeker. In een van die waarden staat een uniek nummer dat de bezoeker herkenbaar maakt bij een volgend bezoek.

Vondst 02

Je cookiebeleid noemt twee diensten die er niet zijn, en een knop die er niet is.

Op twentynice.com/cookie-beleid/ staat: “Bij je eerste bezoek aan onze website krijg je een cookiebanner te zien” en “Je kunt je voorkeuren op elk moment aanpassen via de knop links onderaan op onze website.” Het beleid noemt daarbij Usercentrics als de dienst die je toestemming bewaart, en Google Fonts als functionele dienst.

Gemeten: er is geen banner, er is geen knop linksonder, en het woord Usercentrics komt op de hele site precies één keer voor, namelijk in de tekst van het cookiebeleid zelf. Google Fonts wordt nergens geladen. Wistia, dat je beleid zelf onder Marketing schaart, draait wel en schrijft meteen weg.

Dit is de bevinding die het minst over techniek gaat en het meest over papier: je document beschrijft een situatie die niet bestaat. Voor een toezichthouder is dat een ongunstiger vertrekpunt dan helemaal geen beleid hebben.

Vondst 03

Er staat geen enkele beveiligingsheader op de site.

Beveiligingsheaders zijn regels die je server meestuurt en die de browser vertellen wat er wel en niet mag. Ze kosten niets en breken zelden iets. Op twentynice.com staan ze geen van alle aan. De belangrijkste is de Content-Security-Policy: die bepaalt welke andere partijen code mogen draaien op jouw pagina. Zonder die regel mag iedereen die ergens binnenkomt alles.

Vondst 04

De naam van je beheerdersaccount is openbaar op te vragen, en je inlogscherm staat open.

WordPress heeft een adres dat de gebruikers van de site teruggeeft. Dat staat open en geeft de accountnaam van beheerder nummer 1. Dat is de helft van een inlogpoging; de andere helft is het wachtwoord, en het inlogscherm is gewoon bereikbaar. Daar komt bij dat je WordPress-versie op drie plekken leesbaar is, en dat je aan een versienummer kunt aflezen welke bekende zwakke plekken erbij horen.

De accountnaam staat hierboven half afgeplakt, want dit document gaat rond. Op je eigen site staat hij voluit.

Vondst 05

Elf scripts van buiten draaien zonder controle op wat er binnenkomt.

Een script van een andere partij kan met een handtekening worden meegestuurd: de browser rekent dan na of het bestand nog precies hetzelfde is en weigert het als er iets aan veranderd is. Tien scripts van Wistia en één van Cloudflare draaien zonder die controle. De vijf van Sentry hébben hem wel, dus het kan op deze site.

Vondst 09

De pagina weegt ruim 16 MB, waarvan het grootste deel video die niemand heeft aangeklikt.

In een gewone browser gemeten, negen seconden na het openen: de homepage doet 71 verzoeken voor de pagina zelf, samen 13.443 KB, en daar komen er nog eens 55 bij voor video, samen ongeveer 3 MB. Opgeteld is dat dezelfde orde als de 16,3 MB die Lighthouse in de tabel hierboven telt. Die video’s starten uit zichzelf zodra ze in beeld komen, dus een bezoeker die alleen even je telefoonnummer zoekt, haalt ze toch binnen. Het getal voor video is een momentopname: een speler blijft stukjes ophalen zolang de pagina open staat, dus het hangt af van hoe lang je wacht. Daarom staat het hier apart en niet opgeteld.

Eerlijk erbij: de pagina is niet zesentwintig seconden leeg. De eerste tekst staat er na ruim zeven seconden. Wat zo lang duurt is het beeld waar de pagina om draait.

Vondst 14

ClaudeBot krijgt een weigering, en dat staat nergens in je robots.txt.

403 betekent verboden toegang. Niet dat de pagina niet bestaat, maar dat de server hem er niet in laat. Je robots.txt zegt daar niets over, dus het is geen keuze die iemand bij jullie gemaakt heeft; het komt uit een laag daaronder, meestal de beveiliging van de hosting. Dat is een gesprek met je hostingpartij, niet met je websitebouwer.

Vondst 15

Er staat nergens in machinetaal wie je bent.

Structuurdata is een blokje in de code dat in vaste termen zegt: dit is een bedrijf, dit is de naam, dit is het adres, dit is het KVK-nummer, dit zijn de diensten. Zoekmachines en AI’s lezen dat als eerste, want het is het enige stuk van een pagina waarover geen twijfel bestaat. Op de homepage staan nul van die blokken.

Datzelfde geldt voor je zeventig video’s. Die zijn je grootste bezit op deze site en ze zitten in een speler die een AI niet kan lezen: titel, onderwerp en duur staan nergens als tekst op de pagina.