Versies

Op de ranglijsten van de Privacyschandpaal kon je al op een cijfer klikken om de meting erachter te bekijken, maar een gekleurd vakje ziet er niet uit als iets waar je op kunt klikken — dus veel mensen zagen dat niet. De woorden Lektest en Hosting voor elke samenvatting zijn nu ook links naar hetzelfde rapport, herkenbaar onderstreept. Daarnaast staat er boven elke lijst één regel uitleg dat je op een cijfer of op die woorden kunt klikken om alles zelf na te lopen. Staat er nog geen meting achter, dan is het label gewoon tekst en geen link: een link die nergens heen gaat is vervelender dan geen link, zeker op een site waarvan het hele punt is dat je elke bewering kunt controleren.

De pagina van een site op de Privacyschandpaal gaf een foutmelding "pagina niet gevonden" zolang die site nog niet gemeten was. Dat gebeurt na het toevoegen van een lijst domeinen bij álle sites, tot de nachtelijke ronde er langs is geweest — en het las alsof het adres niet bestond, terwijl er alleen nog niets over te zeggen viel. Zo'n pagina laat nu zien dat de site in de lijst staat, wanneer hij aan de beurt komt, en biedt een knop om direct te meten. Er staat nadrukkelijk bij dat er geen cijfer is en dat er niets gepubliceerd wordt wat niet gemeten is; zoekmachines wordt gevraagd zo'n pagina niet op te nemen, want een lege pagina onder de naam van een organisatie is precies wat deze site nooit moet opleveren. Een adres dat helemaal niet in de lijst staat geeft nog steeds gewoon een 404. Verder verschijnt een verse meting nu meteen op de site in plaats van na maximaal een half uur.

Op de Privacyschandpaal klik je nu op het cijfer zelf om de bijbehorende meting te bekijken: het lektest-cijfer opent het volledige rapport, het hostingcijfer opent de hostingcontrole, allebei in een nieuw tabblad. Daarvoor stonden daar twee kleine tekstlinkjes onder de datum, en die waren makkelijk over het hoofd te zien en lastig te raken — terwijl het cijfer nu juist het ding is waar je als lezer al naar kijkt. Die linkjes zijn uit de ranglijst verdwenen; op de pagina van een afzonderlijke site staan ze nog wel voluit. Tegelijk is een oude opmaakregel rechtgezet die alle links een minimumhoogte van 44 pixels gaf. Dat is prettig voor knoppen op een telefoon, maar een link midden in een zin ging er zichtbaar van hangen ten opzichte van de woorden eromheen. Knoppen en menu-items houden hun ruime aanraakgebied; gewone tekstlinks staan weer netjes op één lijn.

Het beheer van de Privacyschandpaal stond op één lange pagina en dat werd onwerkbaar zodra er meer dan een handvol sites in staat. Het is nu opgesplitst in vier schermen met een eigen menu: Hermeting, Domeinen toevoegen, Sites in de meting en Bezwaren. Bij Sites in de meting zitten filters: zoeken op domein of organisatie, en filteren op sector, op branche en op of een site meedoet of is uitgesloten. Bij elke site en bij elk bezwaar staan nu knopjes om de lektest, de hostingcontrole en de openbare pagina in een nieuw tabblad te openen — een bezwaar controleer je immers aan de meting waar het over gaat, en dan wil je niet het scherm kwijtraken waar je in werkte. De statusknoppen bij een bezwaar hebben leesbare namen gekregen (Nieuw, In behandeling, Afgehandeld) met het woord Status ervoor, zodat duidelijk is dat het knoppen zijn en geen labels. Bezwaren staan standaard gefilterd op wat nog open staat. Tot slot waarschuwt het overzichtsscherm voortaan bovenaan als er geen mailinstellingen zijn of als er bezwaren binnenkwamen zonder dat er een melding is uitgegaan.

Wie bezwaar maakt tegen een meting op de Privacyschandpaal, kreeg tot nu toe wel een bevestiging, maar er ging aan de andere kant geen bericht uit: het bezwaar stond alleen in het beheerscherm en werd pas gezien als iemand daar uit zichzelf ging kijken. Op een site die organisaties bij naam noemt is dat precies verkeerd om — het is de plek waar iemand aan de bel trekt over wat er over hem gepubliceerd staat. Voortaan gaat er bij elk nieuw bezwaar een mail uit, met het domein, de melding, een link naar de betreffende meting en naar de pagina in kwestie. Antwoorden op die mail gaat rechtstreeks naar de indiener, dus reageren is één klik. Het bezwaar wordt eerst opgeslagen en pas daarna verstuurd: ligt de mailserver eruit, dan merkt de indiener daar niets van en gaat er niets verloren. In het beheerscherm staat per bezwaar of de melding echt de deur uit is, en er zit een knop om een testmail te sturen zodat je de instellingen kunt controleren zonder op een echt bezwaar te wachten. Tot slot wordt het opgegeven e-mailadres nu strenger gecontroleerd, zodat er niets anders dan één adres in kan.

Het contactadres van de Privacyschandpaal is security@privacyschandpaal.nl geworden. Dat is het adres onderaan elke pagina en het adres waar je terechtkomt als je een meting wilt betwisten of wilt vragen om niet meer gemeten te worden. Het oude adres liep via een ander domein, wat onnodig verwarrend was voor wie wil reageren op iets wat hier over zijn organisatie staat.

Bibliotheken zijn nu een eigen branche in de Privacyschandpaal, onder Publieke & maatschappelijke diensten. Ze vielen daarvoor samen met musea en archieven onder Cultuur & erfgoed, en dat maakte het gemiddelde van die branche lastig te lezen: een bibliotheek met ingelogde leden en leengegevens is iets anders dan een museum dat kaartjes verkoopt. Sites die al onder Cultuur & erfgoed staan blijven staan waar ze staan; wil je ze verplaatsen, dan kan dat via het beheer zonder dat hun metingen verloren gaan.

De nachtelijke meetronde van de Privacyschandpaal draait nu echt 's nachts. De server stond standaard op wereldtijd terwijl het ingestelde venster in Nederlandse tijd bedoeld was, waardoor er in de zomer tussen drie en acht uur 's ochtends gemeten werd in plaats van tussen één en zes. Niet schadelijk, maar wel op een ander moment dan je had ingesteld — en dat merk je niet, want het gebeurt midden in de nacht. De tijdzone staat nu goed ingesteld, en in het beheerscherm staat voortaan bij het ritme welke klok er gebruikt wordt, zodat een verkeerde instelling meteen zichtbaar is in plaats van jarenlang onopgemerkt te blijven.

In het beheer van de Privacyschandpaal kun je nu een hele lijst domeinen in één keer toevoegen. Plak in het nieuwe invoerveld één domein per regel, kies er één branche bij, en klik op toevoegen — alle domeinen uit die lijst komen onder die branche te staan. Handig als je een sector in één keer wilt vullen; wil je meerdere branches, plak dan gewoon meerdere lijsten achter elkaar. De lijst mag rommelig zijn: adressen met https:// ervoor, met www., met een pad erachter of met spaties eromheen worden vanzelf teruggebracht tot het domein, en regels die met een # beginnen worden overgeslagen zodat je kopjes in je lijst kunt laten staan. Staat een domein al in de lijst, dan wordt het niet opnieuw toegevoegd maar alleen opnieuw ingedeeld; de metingen en het ingestelde adres van die site blijven staan. Na het toevoegen zie je precies wat er is gebeurd: hoeveel er nieuw zijn, hoeveel er opnieuw zijn ingedeeld, welke regels dubbel in de lijst stonden en welke er zijn overgeslagen omdat er geen domein in stond. Dat laatste is met opzet zichtbaar — een lijst van veertig die er stilletjes achtendertig wordt, leest anders als “alles is toegevoegd”. Nieuw toegevoegde sites gaan mee in de eerstvolgende nachtelijke meetronde.

Er is een tweede site bijgekomen: de Privacyschandpaal, te vinden op privacyschandpaal.nl. Daar staan Nederlandse websites op een ranglijst, gebaseerd op de twee metingen die deze site al deed — de Lektest en de Hosting Checker. Per organisatie zie je drie cijfers naast elkaar: één voor wat er wordt geladen voordat een bezoeker iets heeft gekozen, één voor waar de servers en diensten staan, en een totaalcijfer dat die twee weegt. Daaronder staat in gewone taal wat er is waargenomen, bijvoorbeeld: twaalf trackers geladen vóór toestemming, 34 cookies, webserver in de Verenigde Staten, geen DMARC-beleid gevonden. Bij elke regel staat de datum van de meting, de versie van de weging waarmee het cijfer is berekend, en een link naar het volledige rapport en de schermafdruk, zodat iedereen het kan nalopen. Naast de ranglijst zijn er een eregalerij met de sites die het wél goed doen, een pagina met de grootste stijgers en dalers sinds de vorige meting, en gemiddelden per sector — van ziekenhuizen en gemeenten tot marktplaatsen en energieleveranciers. Elke site wordt elke zeven tot veertien dagen 's nachts opnieuw gemeten, met een willekeurige spreiding zodat niet alles op dezelfde nacht valt; een oude meting kan dus nooit lang blijven staan. Wie iets heeft opgelost hoeft daar niet op te wachten: op de pagina van de site zit een knop om direct opnieuw te laten meten. Klopt een meting niet, dan kan hij betwist worden via een formulier, en wie helemaal niet meer gemeten wil worden krijgt dat — dat wordt gehonoreerd, openbaar vermeld, en vanaf dat moment weigert ook de gewone scanner op snelle.tools dat adres. Verder is de toon van de Lektest en de Hosting Checker aangescherpt: beide rapporten vertellen nu expliciet dat ze beschrijven wát er is waargenomen en niet of dat is toegestaan, en tonen de versie van de berekening waarmee het cijfer tot stand kwam. Tot slot bewaart de Lektest nog maar één schermafdruk per adres in plaats van bij elke scan, met stevigere compressie — dat scheelt een veelvoud aan opslagruimte zonder dat je op de afbeelding minder ziet.

De Lektest miste sommige cookiemeldingen en meldde dan ten onrechte dat er geen melding werd getoond, terwijl je hem op het scherm gewoon zag staan — onder andere bij cookiemeldingen van CookieFirst. Er waren twee oorzaken. De melding zat in een onzichtbaar omhulsel waarvan de zichtbare inhoud eronder hing, en de weigerknop zat één niveau dieper weggestopt dan waar de scan naar keek. Beide zijn verholpen: de scan kijkt nu dieper en beoordeelt een omhulsel op wat erin zit. CookieFirst wordt bovendien bij naam herkend, net als Cookiebot, OneTrust en Complianz, zodat de weigerknop daar met zekerheid gevonden wordt in plaats van op gevoel. Meldingen die eerder al goed werden gevonden, worden nog steeds gevonden, en tekst op de pagina die per ongeluk voor een cookiemelding werd aangezien nog steeds niet.

De Hosting Checker geeft een domein voortaan een rapportcijfer voor digitale soevereiniteit: hoeveel van een website is nog in Europese handen? Bovenaan het overzicht staat een cijfer van A tot F met een korte uitleg, daaronder vijf onderdelen die je kunt openklappen: de webserver, de naamservers, de inkomende mail, de uitgaande mail en de overige diensten. Per regel zie je in welk land iets staat en van welk bedrijf het is. Twee dingen tellen mee, en dat is bewust: waar de server staat én onder welk recht het bedrijf valt. Een server in Frankfurt van een Amerikaans bedrijf telt daarom als Amerikaans — de Amerikaanse CLOUD Act geeft de overheid daar toegang tot gegevens die een Amerikaans bedrijf beheert, waar die gegevens ook staan. Zwitserland telt volledig als Europees; het Verenigd Koninkrijk telt voor een vijfde mee, omdat het wel een adequaatheidsbesluit heeft maar ook wetgeving die verder reikt dan in de EU gebruikelijk is. Onderdelen waarover niets te zeggen valt, bijvoorbeeld mail bij een domein dat geen mail ontvangt, tellen niet mee in plaats van dat ze gratis punten opleveren. Het cijfer wordt bewaard bij elke controle, dus in de lijst met eerdere controles zie je nu in één oogopslag of een domein er beter of slechter voor staat dan vorige maand. Controles die eerder al bewaard waren krijgen alsnog hun cijfer, zodat de vergelijking meteen bruikbaar is.

De Hosting Checker onthoudt nu wat hij eerder heeft gevonden. Onderaan het overzicht staat een lijst met eerdere controles van hetzelfde domein, met datum, IP-adres, land, hostingpartij en de resterende looptijd van het SSL-certificaat. Zo zie je in één oogopslag of een site verhuisd is naar een andere host of een ander land, of dat het certificaat bijna verloopt. Klik op een regel om die oudere controle helemaal terug te zien; dat scherm is duidelijk gemarkeerd zodat je een oude meting niet aanziet voor de stand van vandaag. Bovenin staat voortaan wanneer de getoonde controle is uitgevoerd, met een knop 'Opnieuw controleren' als je een verse meting wilt. Controleer je een domein dat kort geleden al is nagekeken, dan verschijnt dat bewaarde resultaat direct in beeld in plaats van na een paar seconden wachten. Van bezoekers wordt niets bewaard — alleen het opgevraagde domein en de openbare gegevens die erbij horen.

De Lektest sprak zichzelf tegen bij sites met Piwik PRO, zoals overheid.nl. Bovenaan stond dat Piwik PRO een kritiek lek was, en een paar regels lager dat dezelfde tool onder de naam Matomo juist prima was. Dat kwam doordat Matomo en Piwik PRO uit dezelfde koker komen en dezelfde cookienamen gebruiken; aan de cookie alleen is niet te zien wie hem heeft gezet. De scan kijkt nu naar wat de pagina werkelijk laadt en noemt de tool overal bij dezelfde naam. Weet de scan het echt niet zeker, dan staat er eerlijk 'Matomo of Piwik PRO' in plaats van een gok. Piwik PRO wordt daarbij net zo beoordeeld als Matomo: geen lek, maar een aandachtspunt met de voorwaarden waaraan je moet voldoen om zonder toestemming statistieken bij te houden — met de extra tip om te controleren welke andere tags er in de tagmanager staan.

De Lektest is op vijf punten verbeterd, dankzij de opmerkingen van meelezers. Er staat nu een schermafdruk in het rapport van wat een bezoeker als eerste ziet, gemaakt vóór er iets is aangeklikt: daarmee kun je zelf zien of die cookiemelding er werkelijk stond. Dat was nodig, want de scan zag soms een cookiemelding die er helemaal niet was — een nieuwsbericht met het woord 'privacy' erin werd voor een cookiebanner aangezien. Een melding telt nu alleen nog als hij daadwerkelijk over de pagina heen zweeft, en het rapport laat zien welke tekst als cookiemelding is herkend. Een site zonder trackers krijgt geen rood kruis meer voor een ontbrekende cookiemelding: valt er niets toe te stemmen, dan is die melding niet verplicht en staat er nu een groen vinkje. Zelf gehoste bezoekersstatistieken (Matomo, Piwik, Plausible) gelden niet langer als lek, maar als aandachtspunt met de vier voorwaarden waaraan je moet voldoen om ze zonder toestemming te mogen gebruiken. Nieuw is verder de controle op security.txt: het rapport laat zien of dat bestand er is, of het op de juiste plek staat, of de houdbaarheidsdatum nog geldt en of de contactgegevens kloppen — inclusief een waarschuwing als het bestand doorverwijst naar je hostingpartij. Tot slot legt het rapport bij formulieren beter uit waarom de keylogging-test soms niet kon draaien, bijvoorbeeld bij een zoekveld dat pas verschijnt na een klik.

Een taalfoutje onderaan de pagina rechtgezet: er stond 'Build by Theo', dat hoort 'Built by Theo' te zijn. Verder verandert er niets.

De regel onderaan elke pagina is korter geworden: 'Build by Theo with a little AI help'. Daarmee blijft duidelijk dat er AI aan deze site heeft meegewerkt — Europese regels vragen om die openheid — maar staat het er wat luchtiger. De naam Theo brengt je naar zijn eigen site, en het woord AI naar de assistent die meeschreef.

Onderaan elke pagina staat nu openlijk vermeld dat er AI aan deze site heeft meegewerkt. Europese regels vragen om die openheid, en eerlijk is eerlijk — een deel van de code is samen met een AI-assistent geschreven.

De Markdown-tool kan je tekst nu ook als Word-document opleveren. Naast de knoppen voor HTML en Markdown staat een knop 'Download Word'; die geeft je een echt .docx-bestand dat je direct in Word, Google Docs of LibreOffice kunt openen en bewerken. Koppen, vette en cursieve tekst, lijsten, tabellen, citaten, codeblokken en links komen mee, en het bestand krijgt automatisch de naam van de eerste kop in je tekst — schrijf je '# Notulen 12 augustus', dan heet het document zo. Het omzetten gebeurt volledig in je browser, er wordt niets geüpload. Omdat de tool nu meer doet dan alleen HTML maken, heet hij voortaan Markdown Converter.

Snelle.Tools heeft nu een versiepagina. Onderaan elke pagina staat het versienummer; klik erop en je ziet per versie wat er veranderd is, met datum en tijd erbij. Zo kun je nakijken of een tool die je gisteren gebruikte inmiddels is aangepast. Daarnaast zijn er twee bestanden bijgekomen die je zelf niet ziet maar die wel belangrijk zijn: een robots-bestand dat zoekmachines vertelt welke delen van de site ze wel en niet mogen indexeren (de admin-omgeving en de technische aanroepen blijven buiten Google), en een security-bestand waarin staat hoe je een beveiligingsprobleem kunt melden.

Een uitgevoerde lektest is nu te delen. Het adres in je browserbalk verandert mee met wat je op het scherm ziet, dus kopiëren en doorsturen levert altijd een werkende link op. Er zijn twee soorten links: één naar het actuele rapport van een website, bijvoorbeeld snelle.tools/lektest?url=nos.nl, en één naar precies die ene scan uit de geschiedenis, zodat de ontvanger dezelfde meting ziet die jij bekeek en niet een nieuwere. Met de deelknop kopieer je de juiste variant in één klik.

De land- en providerinformatie bij Wat is mijn IP?, de Hosting Checker en de Lektest kon na een update ontbreken. De locatiedatabase werd bij het uitrollen van de site niet meer opgehaald omdat de beveiligde verbinding met de leverancier werd geweigerd, waardoor je overal een leeg land te zien kreeg. Die verbinding werkt weer en de gegevens worden weer netjes meegeleverd.

Nieuwe tool: de Lektest. Vul een webadres in en de site wordt in een echte browser bezocht om te kijken wat er over een bezoeker weglekt. Je ziet welke trackers al vuren vóórdat je op akkoord klikt, welke cookies er worden gezet, of er gegevens naar landen buiten de EER gaan en of formuliervelden worden meegelezen terwijl je typt — dus of wat je intikt al wordt verstuurd voordat je op verzenden drukt. Het resultaat is een cijfer met daaronder de losse bevindingen, gesorteerd op hoe ernstig ze zijn. Rapporten worden bewaard, zodat een recente scan direct verschijnt en je kunt terugkijken hoe een site er eerder voor stond.

Bij Tekst Diff kun je regelterugloop nu aan- en uitzetten. Lange regels werden altijd afgekapt, waardoor je horizontaal moest scrollen om het einde van een zin te zien. Staat de terugloop aan, dan breekt de regel af op de breedte van het scherm en zie je alles in één oogopslag; zet je hem uit, dan blijft de oorspronkelijke regelindeling bewaard — handig bij code of tabellen.

De Hosting Checker herkent nu een domein dat bewust geen e-mail ontvangt. Zo'n domein meldt dat met een lege mailinstelling, maar dat werd gelezen als een fout en je kreeg een waarschuwing te zien terwijl er niets mis was. Nu staat er netjes bij dat het domein expres geen e-mail aanneemt.

Het doneren via Koop me een koffie is betrouwbaarder geworden. Een betaling kon stranden doordat de verkeerde winkelgegevens werden meegestuurd, en na afloop kreeg iedereen dezelfde bedanktekst — ook als de betaling was afgebroken of mislukt. Nu komt de juiste afhandeling mee en past de pagina na afloop zich aan op wat er werkelijk gebeurd is: geslaagd, geannuleerd of mislukt.

De Redirect Follower laat per stap zien naar welk IP-adres wordt doorverwezen, zowel IPv4 als IPv6. Handig als een doorverwijzing halverwege naar een andere server springt. Ook hoef je het protocol niet meer zelf te typen: vul je alleen voorbeeld.nl in, dan wordt daar automatisch http:// voor gezet.

Nieuwe pagina: Koop me een koffie. Snelle.Tools blijft gratis en zonder advertenties, maar wie iets wil bijdragen kan dat nu doen met een bedrag naar keuze, bijvoorbeeld vijf euro. De betaling loopt via iDEAL en de gangbare andere betaalmethoden.

De Hosting Checker zoekt nu ook uit of een domein zijn uitgaande e-mail ondertekent. Die ondertekening bewijst aan de ontvanger dat een bericht echt van dat domein komt en niet vervalst is. De checker probeert de gangbare namen die grote mailpartijen daarvoor gebruiken en toont welke hij gevonden heeft.

De Hosting Checker toont een stuk meer over de instellingen van een domein: het beleid tegen vervalste e-mail (DMARC), of de domeinnaam beveiligd is tegen omleiding (DNSSEC), welke partijen een certificaat mogen uitgeven (CAA), waar het www-adres naartoe wijst en welke diensten er verder aan het domein hangen (SRV). Alles staat op één overzicht onder het domein dat je invult.

Nieuwe tool: de Hosting Checker. Vul een domeinnaam in, bijvoorbeeld nos.nl, en je ziet bij welke partij de site draait: het IP-adres, het land, de provider, de geldigheid van het SSL-certificaat en de belangrijkste DNS-records. Handig om te controleren waar je eigen site staat of om te zien of een verhuizing al is doorgevoerd.

De eerste versie van Snelle.Tools staat online. Je vindt er een rekenmachine die ook met het toetsenbord werkt, een kladblok dat je notities in je eigen browser bewaart, een wachtwoordgenerator, een omzetter van Markdown naar HTML, een tekstvergelijker, een Data Inspector voor Base64 en controlegetallen, een Redirect Follower die doorverwijzingen stap voor stap volgt en een pagina die laat zien wat jouw IP-adres is. Alles is gratis, werkt zonder account en draait in je eigen browser — geen advertenties, geen tracking, geen cookies.