Rapport · editie 2026
Staat van het web 2026: hoe veilig zijn Nederlandse bedrijfswebsites?
Hoe staat de basisbeveiliging van Nederlandse bedrijfswebsites ervoor? Een jaarlijkse meting, open data, zonder namen.
Kort antwoord
We controleerden in november 2026 6.526 Nederlandse websites van bedrijven op de basis van online veiligheid. 23,7% van de domeinen die mail ontvangen heeft geen DMARC-record, waardoor iedereen mail kan versturen die van dat bedrijf lijkt te komen. 15,5% van de sites heeft geen werkende, geldige HTTPS en 43,4% stuurt geen enkele van de zes gangbare beveiligingsheaders mee. We noemen geen enkele site: dit rapport bevat alleen totalen.
De hoofdcijfers
23,7%
van de maildomeinen heeft geen DMARC
1.401 van 5.912 domeinen die mail ontvangen (MX-record)
Bron: Staat van het web 2026
15,5%
van de sites heeft geen werkende, geldige HTTPS
978 van 6.296 sites die antwoorden (http of https)
Bron: Staat van het web 2026
43,4%
stuurt geen enkele beveiligingsheader mee
2.309 van 5.320 sites waarvan de homepage via https laadt
Bron: Staat van het web 2026
26,5%
van de WordPress-sites die hun versie tonen is verouderd
410 van 1.545 WordPress-sites die hun versie tonen
Bron: Staat van het web 2026
Alle cijfers
| Meting | Alle sites | Webbouwers | Top-10-sites |
|---|---|---|---|
| geen DMARC-record | 23,7% (1.401/5.912) | 30,2% (535/1.774) | 20,9% (866/4.138) |
| geen DMARC dat afdwingt (geen record, ongeldig of p=none) | 70,4% (4.164/5.912) | 70,9% (1.257/1.774) | 70,3% (2.907/4.138) |
| DMARC alleen op p=none (kijken, niet tegenhouden) | 46,1% (2.727/5.912) | 40,2% (714/1.774) | 48,6% (2.013/4.138) |
| DMARC op p=reject (strengste stand) | 13,6% (805/5.912) | 12,1% (215/1.774) | 14,3% (590/4.138) |
| geen geldig SPF-record | 5,9% (351/5.912) | 6,1% (109/1.774) | 5,8% (242/4.138) |
| geen werkende, geldige HTTPS | 15,5% (978/6.296) | 20,5% (367/1.791) | 13,6% (611/4.505) |
| ongeldig certificaat | 3,8% (240/6.340) | 11,3% (202/1.792) | 0,8% (38/4.548) |
| verlopen certificaat | 0,9% (55/6.340) | 2,8% (51/1.792) | 0,1% (4/4.548) |
| certificaat voor een andere naam | 2,6% (167/6.340) | 7,9% (141/1.792) | 0,6% (26/4.548) |
| http:// stuurt niet door naar https:// | 7,4% (456/6.170) | 18,1% (317/1.750) | 3,1% (139/4.420) |
| geen HSTS | 57,2% (3.045/5.320) | 69,7% (993/1.425) | 52,7% (2.052/3.895) |
| geen Content-Security-Policy | 79,5% (4.227/5.320) | 87,4% (1.246/1.425) | 76,5% (2.981/3.895) |
| geen X-Content-Type-Options: nosniff | 60,4% (3.211/5.320) | 71,2% (1.014/1.425) | 56,4% (2.197/3.895) |
| geen bescherming tegen inlijsten (clickjacking) | 64,4% (3.428/5.320) | 76,7% (1.093/1.425) | 59,9% (2.335/3.895) |
| geen Referrer-Policy | 71,8% (3.820/5.320) | 80,6% (1.148/1.425) | 68,6% (2.672/3.895) |
| geen Permissions-Policy | 83,3% (4.431/5.320) | 88,9% (1.267/1.425) | 81,2% (3.164/3.895) |
| geen enkele van de zes beveiligingsheaders | 43,4% (2.309/5.320) | 55,6% (793/1.425) | 38,9% (1.516/3.895) |
| webserver toont zijn versienummer | 5,6% (299/5.320) | 4,7% (67/1.425) | 6,0% (232/3.895) |
| site toont zijn PHP-versie | 22,7% (1.208/5.320) | 28,1% (400/1.425) | 20,7% (808/3.895) |
| getoonde PHP-versie krijgt geen beveiligingsupdates meer (ouder dan 8.2) | 22,8% (276/1.208) | 29,3% (117/400) | 19,7% (159/808) |
| draait op WordPress | 50,6% (2.692/5.320) | 52,8% (752/1.425) | 49,8% (1.940/3.895) |
| WordPress-site toont zijn versienummer | 57,4% (1.545/2.692) | 65,3% (491/752) | 54,3% (1.054/1.940) |
| getoonde WordPress-versie is niet de actuele (7.1) | 26,5% (410/1.545) | 32,4% (159/491) | 23,8% (251/1.054) |
| laadt een bekende tracker direct in de HTML | 56,2% (2.989/5.320) | 45,0% (641/1.425) | 60,3% (2.348/3.895) |
| herkenbare cookietool in de HTML | 34,3% (1.824/5.320) | 25,3% (361/1.425) | 37,6% (1.463/3.895) |
| tracker in de HTML, maar geen herkenbare cookietool | 58,5% (1.750/2.989) | 65,4% (419/641) | 56,7% (1.331/2.348) |
Bron: Staat van het web 2026, veiligophetnet.nl — download: /assets/data/staat-van-het-web-2026-11.csv
Wat we gemeten hebben
Elk jaar in november kijken we naar de basis: dingen die een website of maildomein gewoon hoort te hebben, die je van buitenaf kunt zien en die een aanvaller ook ziet. Geen inbraakpogingen, geen scans op kwetsbaarheden — alleen wat iedere bezoeker en iedere mailserver ook te zien krijgt.
- Mail: kan iemand anders mail versturen namens dit domein? (SPF en DMARC)
- HTTPS: is de verbinding versleuteld, met een geldig certificaat, en stuurt http door naar https?
- Beveiligingsheaders: zes instructies aan de browser die veel aanvallen in de kiem smoren.
- Verouderde software: laat de site zien dat hij een verouderde WordPress- of PHP-versie draait?
- Privacy: laadt de site trackers, en is er een herkenbare cookietool?
Wil je weten hoe jouw eigen site of domein ervoor staat? Dat kan met dezelfde soort controles in onze gratis tools: SPF en DMARC van je domein, SSL-certificaat en is mijn website gehackt?.
Wat dit betekent
Geen DMARC betekent dat een oplichter mail kan sturen die van jouw bedrijf lijkt te komen — een factuur
met een ander rekeningnummer, een "wachtwoord verlopen"-mail aan je klanten. DMARC op p=none kijkt alleen
mee; pas quarantine of reject houdt zulke mail tegen. Hoe je dat regelt staat in
Mail-beveiliging: SPF, DKIM en DMARC.
Een verouderde WordPress- of PHP-versie is geen hack, maar wel een open deur: de lekken in oude versies zijn openbaar bekend en worden automatisch misbruikt. PHP-versies ouder dan 8.2 krijgen geen beveiligingsupdates meer; de actuele WordPress-versie op de meetdag was 7.1.4. Zie Website-beveiliging en back-ups.
Beveiligingsheaders kosten een webbouwer een paar regels configuratie. Ze ontbreken vaak omdat niemand erom vraagt — niet omdat ze moeilijk zijn.
Steekproef, methode en grenzen
Wie we gemeten hebben. 6.526 websites in twee groepen, allebei uit onderzoek dat we al hadden:
- Webbouwers (1.956 sites): Nederlandse webbureaus, softwarehuizen, marketing-, hosting- en onderhoudsbedrijven — de mensen die Nederlandse websites bouwen, gevonden via bedrijvengidsen en OpenStreetMap.
- Top-10-sites (4.570 sites):
.nl-sites die in Google's top 10 staan voor alledaagse zoekopdrachten (restaurant, kapper, camping, loodgieter …), zonder marktplaatsen, sociale netwerken, nieuwssites en overheid.
Dit is geen aselecte steekproef van heel Nederland. Webbouwers zijn vakmensen; sites in de top 10 zijn bovengemiddeld verzorgd en er zitten ook grotere organisaties tussen. Als de basis hier al niet op orde is, is hij dat in de rest van het land waarschijnlijk nog minder — maar dat hebben we niet gemeten. Domeinen die wij zelf beheren hebben we weggelaten.
Hoe. Eén site tegelijk, met een pauze ertussen, en per controle één verzoek: DNS (SPF, DMARC, MX), één
TLS-verbinding, robots.txt, http:// en de homepage via https://. Verbiedt een site ons in robots.txt de
toegang, dan slaan we de pagina over. Onze bot noemt zichzelf StaatVanHetWebBot en linkt naar deze pagina.
De meting liep tot en met 9 november 2026.
Grenzen. We meten alleen het domein en de homepage. Een cookietool die via Tag Manager laadt, zien we niet — "geen herkenbare cookietool" is dus geen oordeel over de wet. Een WordPress- of PHP-versie zien we alleen als de site hem toont. Elk percentage noemt zijn noemer; onder de tien sites geven we geen percentage. Eén meting is één moment.
Privacy. We publiceren alleen totalen: geen lijst van sites, geen namen, geen scores per bedrijf.
Download en hergebruik
De cijfers staan in staat-van-het-web-2026-11.csv (CSV: alle metingen per groep, met teller, noemer en percentage). Je mag de cijfers vrij gebruiken, ook commercieel, onder de licentie CC BY 4.0: noem veiligophetnet.nl als bron en link naar deze pagina.
Voor de pers: samenvatting
Staat van het web 2026 — Uit een meting van veiligophetnet.nl onder 6.526 Nederlandse bedrijfswebsites (november 2026) blijkt dat 23,7% van de domeinen die mail ontvangen geen DMARC-record heeft, en 70,4% geen DMARC dat vervalste mail ook echt tegenhoudt. 15,5% van de sites heeft geen werkende, geldige HTTPS. Van de WordPress-sites die hun versie tonen, draait 26,5% niet de actuele versie; 22,8% van de sites die hun PHP-versie tonen, gebruikt een versie die geen beveiligingsupdates meer krijgt. Ook bij webbouwers zelf is de basis niet overal op orde: 30,2% van hun maildomeinen heeft geen DMARC. De meting is passief en alleen-lezen; het rapport noemt geen individuele sites.
Citeer dit rapport
veiligophetnet.nl (2026). Staat van het web 2026: de basisbeveiliging van Nederlandse bedrijfswebsites. Meting november 2026, n=6.526. https://veiligophetnet.nl/staat-van-het-web/
Vragen over de methode? Via contact — we antwoorden met de onderliggende definities, niet met lijsten van sites.
Bronnen
- DMARC — NCSC: factsheet e-mailbeveiliging
- PHP — ondersteunde versies (php.net)
- WordPress — releases
- Internet.nl — test je website en mail
Bijgewerkt 7 november 2026.
Veelgestelde vragen
Staat mijn website in dit rapport?
We noemen geen enkele site, dus ook niet de jouwe. Wil je weten hoe jouw site of domein ervoor staat? Check het zelf met SPF en DMARC en de SSL-check.
Mag ik deze cijfers gebruiken?
Ja, onder CC BY 4.0: vrij te gebruiken, ook commercieel, met veiligophetnet.nl als bron en een link naar deze pagina. De CSV staat onder 'Download en hergebruik'.
Is dit representatief voor heel Nederland?
Nee, en dat zeggen we er ook bij. We maten webbouwers en sites die in Google's top 10 staan — eerder de betere helft dan de slechtere. Zie 'Steekproef, methode en grenzen'.
Hebben jullie sites gehackt of gescand op lekken?
Nee. We deden alleen wat een browser of mailserver ook doet: de openbare DNS-gegevens lezen, één verbinding maken en de homepage opvragen. robots.txt hebben we gerespecteerd.
Wanneer komt de volgende editie?
Elk jaar in november, met dezelfde methode, zodat de cijfers van jaar tot jaar te vergelijken zijn.