Waar de site
vandaag staat.

Bevinding 1 · zwaarste punt in deze laag

Van de zes beveiligingsheaders staat er één.

Beveiligingsheaders zijn korte instructies die de server bij elke pagina meestuurt. Ze vertellen de browser bijvoorbeeld dat de site niet in een onzichtbaar venster van een andere site mag worden geladen, of welke code er op de pagina mag draaien. Op lawyersforlawyers.org staat alleen HSTS. De andere vijf ontbreken op alle vijf de pagina’s die we hebben opgevraagd.

Het zwaarst weegt de Content-Security-Policy. Op de homepage draait code van Google (drie meetcodes), Elfsight (een sociale-mediawidget), Cloudflare en cdnjs. Van de tien externe scripts hebben er zeven geen integriteitscontrole. Zonder Content-Security-Policy is er niets dat begrenst wat die scripts mogen, en verandert er iets aan zo’n bestand bij de leverancier, dan draait die wijziging hier mee.

Het ontbreken van x-frame-options betekent dat een andere site lawyersforlawyers.org onzichtbaar kan insluiten en bezoekers laat klikken op iets wat ze niet zien. Bij een site met een donatieformulier is dat geen theoretisch punt.

Bevinding 2

De site vertelt bezoekers precies welke software erop draait.

In de broncode van elke pagina staan vier regels die de gebruikte software met versienummer noemen. Daarnaast zijn er drie standaardbestanden van WordPress gewoon op te vragen.

Op zichzelf is dat geen lek. Het betekent wel dat iemand die zoekt naar sites met een bepaalde versie, deze site zonder moeite vindt. Op de dag van meten was 7.1.3 de nieuwste versie van WordPress volgens api.wordpress.org; de site draaide er één achter.

Bevinding 3

Het inlogscherm is voor de hele wereld bereikbaar.

Iedereen die het adres kent, en dat is bij WordPress iedereen, kan wachtwoorden proberen. Of er achter het formulier een rem zit op herhaalde pogingen, is van buitenaf niet vast te stellen zonder zelf in te loggen, en dat hebben we niet gedaan. Wat wel vaststaat: het scherm is ook vanuit het buitenland gewoon bereikbaar (gemeten vanuit Israël), terwijl de site achter Cloudflare staat, waar het met één regel tot bepaalde landen of adressen te beperken is.

Bevinding 4

Het nieuwsbriefformulier op elke pagina heeft geen botbescherming, en de donatieformulieren ook niet.

We hebben de formulieren op zes pagina’s in een echte browser bekeken. De contactformulieren zijn goed beschermd met reCAPTCHA. De andere niet:

Bij de nieuwsbrief betekent dat: iemand kan met een script willekeurige adressen van derden aanmelden. Bij een donatieformulier dat een betaling start, weegt het zwaarder. Zulke formulieren zijn een bekend doelwit om gestolen kaartnummers met kleine bedragen te testen. Of dat hier gebeurt, is van buitenaf niet te zien; dat het kan, wel.

Bevinding 5

Twee subdomeinen met de namen “database” en “backup” staan nog in de DNS.

Er staat niets achter: via HTTP komt er een lege melding, via HTTPS een foutcode omdat de beveiligde verbinding niet tot stand komt. Gevaarlijk is dat nu niet. Wel zijn het namen die nieuwsgierigheid trekken, ze zijn bereikbaar zonder versleuteling en zonder HSTS, en ze komen terug in meerdere meldingen van basisbeveiliging.nl. Of ze nog een functie hebben, kan alleen wie de DNS beheert zeggen.

Bevinding 6

HSTS staat aan, maar geldt niet voor subdomeinen.

HSTS vertelt de browser dat de site alleen nog versleuteld bezocht mag worden. Dat staat goed voor www. Zonder includeSubDomains geldt het niet voor de andere namen onder het domein, en zonder preload gaat het allereerste bezoek van een nieuwe bezoeker die alleen de domeinnaam intypt nog onversleuteld de deur uit, voordat de doorverwijzing komt.

Bevinding 8 · e-mail

De servers die de mail ontvangen, hebben geen RPKI-registratie.

Inkomende mail voor lawyersforlawyers.org en lawyersforlawyers.nl loopt eerst via een spamfilter van N-able (mtaroutes.com). RPKI is een ondertekende verklaring van de eigenaar van een IP-adres over welk netwerk dat adres mag aankondigen. Zonder die verklaring kan een ander netwerk het verkeer naar die adressen naar zich toe trekken, en wordt dat door andere netwerken niet tegengehouden.

Dit zijn de twee meldingen met “hoog risico” in het rapport van basisbeveiliging.nl. Belangrijk om te weten: dit is niet in te stellen door Lawyers for Lawyers of door wie de website beheert. Alleen de eigenaar van die IP-adressen, of een andere keuze van spamfilter, lost het op.

Bevinding 9

Wie een artikel deelt op LinkedIn, laat LinkedIn raden.

Open Graph is de set regels die bepaalt welke titel, tekst en afbeelding er verschijnt als iemand een pagina deelt. Op geen enkele pagina staat die. Voor een organisatie die haar nieuws, verklaringen en rapporten vooral via sociale media verspreidt, betekent dat dat elke gedeelde link er anders uitziet, en soms zonder beeld.

Hetzelfde geldt voor de meta-beschrijving: op 3.155 van de 3.294 pagina’s ontbreekt die, en dan kiest Google zelf een stuk tekst uit de pagina voor in de zoekresultaten.

Bevinding 10

De homepage heeft geen h1, en 825 pagina’s hebben er meer dan één.

De h1 is voor een zoekmachine de kop die zegt waar een pagina over gaat. Er hoort er precies één te zijn. Op de homepage staat er geen. Op de documentpagina’s en advocatenprofielen staat de titel twee keer als h1: het sjabloon zet hem er zelf nog een keer boven.

Omdat het in het sjabloon zit, raakt één aanpassing alle 653 documentpagina’s en 116 profielen tegelijk.

Bevinding 11 · AI

De crawlers die AI-modellen trainen worden geweerd; de zoekfuncties van ChatGPT en Perplexity komen erin.

Steeds meer mensen zoeken via ChatGPT, Claude of Perplexity. We hebben vijftien crawlers getest met hun echte kenmerk, en een aantal extra met de hand nagelopen.

De eigen robots.txt staat alles toe. De weigering komt dus van een filter ervoor, met de tekst “Your request was blocked.” Dat het filter op schrijfwijze werkt, is te zien aan claudebot met kleine letters: die komt er wel in. Dit kan een bewuste keuze zijn om niet in trainingsdata te belanden. Het is goed om te weten dat het zo staat, want de keuze ligt bij wie dat filter beheert, niet bij de site. Er is geen llms.txt, en Google beoordeelt de bruikbaarheid voor AI-agenten met 1 van 3.