mgsoftware.nl

Score door de tijd

Elke keuring en herkeuring telt: dit is het verloop van de gemiddelde score per scandag.

Volledige audit

Onderdeel van het WebYes-keurmerk: naast de vier pijlers keuren we ook SEO, structured data, content, links, privacy en AI-vindbaarheid. Deze extra categorieën tellen niet mee in de keurmerkscore.

Bevindingen (13)

• WaarschuwingSnelheid

  HTML document is 799 KB (budget: 488.28125 KB).

  Large HTML payloads delay First Contentful Paint on slow connections. Server-render only above-the-fold content and lazy-load the rest, or paginate long listing pages. In Next.js, use streaming with `loading.tsx` to flush the shell early.

  Zo los je het op

  Je HTML-document is fors groter dan nodig. Grote boosdoeners zijn meestal inline CSS of JSON-data in de pagina; verplaats die naar aparte bestanden of laad ze pas als het nodig is.

  Lees meer in de kennisbank: Website snelheid testen →

• WaarschuwingToegankelijkheid

  Page has no skip-navigation link for keyboard users.

  Add a visually hidden link as the first focusable element: <a href="#main-content" class="skip-link">Skip to content</a>.

  Zo los je het op

  Voeg als eerste link op de pagina een 'skip-link' toe die naar de hoofdinhoud springt (<a href="#main-content">Naar inhoud</a>). Toetsenbordgebruikers hoeven dan niet door het hele menu te tabben.

  Lees meer in de kennisbank: WCAG-richtlijnen →

• WaarschuwingVeiligheid

  Weak CSP: no `report-uri` or `report-to`.

  Drop `unsafe-eval`, replace wildcard hosts with explicit origins, and configure a reporting endpoint so you can see violations as you tighten the policy.

  Zo los je het op

  Je Content-Security-Policy bevat brede regels zoals 'unsafe-inline' of een wildcard. Vervang die door expliciete bronnen, en gebruik nonces of hashes voor inline scripts.

  Lees meer in de kennisbank: Security headers →

• WaarschuwingVeiligheid

  CSP allows `'unsafe-inline'` without a nonce or hash — this effectively disables script-src protection against XSS.

  Generate a per-response nonce in your server-rendered pages and emit `script-src 'nonce-<nonce>' 'strict-dynamic'`. Inline `<script nonce='...'>` tags then load while attacker-injected ones don't.

  Zo los je het op

  Geef inline scripts een nonce of hash in je CSP in plaats van ze via 'unsafe-inline' toe te staan. De meeste frameworks (waaronder Next.js) kunnen nonces per request genereren.

  Lees meer in de kennisbank: Security headers →

• WaarschuwingJuridisch

  No link to a privacy policy was found on any crawled page.

  Add a privacy policy page and link to it from the footer of every page. Required by GDPR, CCPA, and Google AdSense. Most browsers and AI agents check for this.

• WaarschuwingSpam-signalen

  Term "2024" appears unusually often (20×, 4% of words).

  Rewrite for natural language — repeated exact-match phrases can trigger spam classifiers.

• InfoSnelheid

  4 image(s) ≥800px wide without srcset or <picture> for responsive delivery.

  Use `srcset` with multiple resolutions or wrap images in `<picture>` with WebP/AVIF sources. In Next.js, use `next/image` which handles this automatically. Without responsive images, mobile users download desktop-sized assets.

  Zo los je het op

  Lever afbeeldingen in een modern formaat (WebP of AVIF), geschaald naar het formaat waarop ze getoond worden. Een fotodienst of buildstap (zoals next/image) regelt dit automatisch.

  Lees meer in de kennisbank: Core Web Vitals →

• InfoVeiligheid

  No `/.well-known/security.txt` published.

  Publish a `security.txt` (RFC 9116) at `/.well-known/security.txt`. Even a one-line `Contact: mailto:[email protected]` plus an `Expires:` date is enough; it gives white-hat researchers somewhere to send reports instead of giving up.

  Zo los je het op

  Plaats een security.txt op /.well-known/security.txt met een contactadres voor beveiligingsmeldingen. Zo weten onderzoekers waar ze een lek kunnen melden.

  Lees meer in de kennisbank: Security headers →

• InfoVeiligheid

  Missing `Cross-Origin-Embedder-Policy`. Cross-origin isolation lets you use SharedArrayBuffer and high-resolution timers safely.

  Send `Cross-Origin-Opener-Policy: same-origin` and `Cross-Origin-Embedder-Policy: require-corp`. Note this requires every embedded resource to send `Cross-Origin-Resource-Policy`.

  Zo los je het op

  Voeg Cross-Origin-Opener-Policy: same-origin toe (en waar mogelijk Cross-Origin-Embedder-Policy). Dit isoleert je site van vensters die door andere origins zijn geopend.

  Lees meer in de kennisbank: Security headers →

• InfoSEO on-page

  Meta description is slightly over the recommended length (165 chars, max 160).

• InfoContent

  Text-to-HTML ratio is 0.8% (target ≥ 2%).

  Very low ratios usually mean the hydration payload, inline RSC blob or a vendor script is bigger than the rendered prose. Inspect the largest scripts and externalise or split them.

• InfoTechniek

  No HTML sitemap link found on the homepage. Placing one in the footer is an industry best practice for UX and crawler/AI discovery.

  Add a link to a user-facing HTML sitemap (e.g. `/sitemap`, not `sitemap.xml`) inside the <footer>. An HTML sitemap acts as a structural overview for lost visitors and as a fallback discovery surface for search engines and AI crawlers.

• InfoKwaliteitsindruk

  Homepage has no `<link rel="icon">` — browsers will request /favicon.ico which may 404.

  Add a custom favicon that reflects your brand. A missing favicon causes extra 404 log noise and looks unprofessional in browser tabs and bookmarks.

Volledige audit uitgevoerd op 8 juli 2026.

Meer uit het keurmerkregister

Andere websites met een actief WebYes-keurmerk. Elk rapport is openbaar en op dezelfde vier pijlers gekeurd.