Onderzoek: beveiliging van 39 Nederlandse webwinkels getest (2026)

Hoe veilig zijn Nederlandse webwinkels ingericht? Securiguide testte in oktober 2026 de beveiliging van 39 grote webwinkels en online warenhuizen op drie punten: HTTPS, DNSSEC en security headers. Alle winkels versleutelen de verbinding. DNSSEC staat bij 10 van de 39 aan.

Van de zes gemeten security headers staat gemiddeld 59 procent aan. Vier winkels halen de volle score: Hornbach, fonQ, Bever en Etos.

De uitkomsten per onderdeel

De tabel zet de onderdelen naast elkaar. Bij negen winkels waren de security headers niet te meten, daarom verschilt het aantal winkels per rij.

HTTPS staat overal aan, HSTS bij 25 van de 30

Alle 39 webwinkels sturen een bezoeker die via http binnenkomt door naar de versleutelde https-versie. In onze meting van 2020 was dit onderdeel ook al het sterkst.

HSTS gaat een stap verder. Met deze header onthoudt de browser dat een site uitsluitend via https bereikbaar is, waardoor een aanvaller de eerste onversleutelde stap niet kan onderscheppen. Van de 30 winkels waar de headers meetbaar waren, sturen er 25 een werkende HSTS-header mee. Bij vanHaren staat de header op een geldigheid van nul seconden, wat de bescherming uitschakelt. Bij HEMA, Leen Bakker, Kwantum en Intertoys ontbrak de header op de homepage.

DNSSEC: 10 van de 39 webwinkels

DNSSEC ondertekent de DNS-gegevens van een domein digitaal. Een provider of browser die controleert, merkt daardoor of iemand het adres van een webwinkel onderweg heeft vervalst en bezoekers naar een nagemaakte site stuurt.

Tien van de 39 domeinen zijn ondertekend: bol.com, Wehkamp, HEMA, de Bijenkorf, Alternate, Omoda, IKEA, ANWB, FuturumShop en Bruna. Dat is 26 procent. In onze meting van 2020 lag het aandeel op 33 procent van 67 webwinkels. De selectie was toen anders, dus die vergelijking is een indicatie.

Grote namen als Coolblue, Albert Heijn, Jumbo, MediaMarkt, Zalando en Amazon.nl hebben hun domein niet ondertekend. Voor .nl-domeinen bieden de meeste registrars DNSSEC aan, dus de drempel ligt vooral bij de eigen DNS-inrichting van grote partijen.

Security headers: gemiddeld 59 procent

Security headers vertellen de browser hoe hij met een pagina omgaat, bijvoorbeeld of de site in een frame van een andere site mag laden. We keken naar zes headers. Hoe je ze instelt, lees je in het stappenplan voor security headers.

De meting kijkt naar aanwezigheid. Een Content-Security-Policy die uitsluitend framing regelt, telt hier even zwaar als een volledig uitgewerkt beleid. De cijfers laten dus zien welke winkels het onderwerp hebben opgepakt en zeggen minder over de diepgang.

Scores per webwinkel

De tabel toont per winkel hoeveel van de zes headers aanwezig waren en of het domein met DNSSEC is ondertekend.

Bij negen winkels blokkeerde de site het geautomatiseerde verzoek: bol.com, Amazon.nl, Zalando, H&M, Gamma, Karwei, Decathlon, Kruidvat en Bruna. Hun headers ontbreken daarom in de tabel. DNSSEC was bij deze winkels wel te meten: bol.com en Bruna hebben het aan, de andere zeven niet.

Scores per categorie

Per categorie staat hier de gemiddelde headerscore van de meetbare winkels, met daarnaast het aantal domeinen met DNSSEC.

Online warenhuizen scoren het hoogst op DNSSEC en gemiddeld op security headers. Drogisterijen en supermarkten laten het omgekeerde beeld zien: hun headers staan er sterk voor, terwijl geen van de acht domeinen is ondertekend.

Zo is er gemeten

• Datum: 5 oktober 2026. Het is een momentopname.
• Selectie: 39 veelgebruikte Nederlandse webwinkels in acht categorieën, samengesteld door Securiguide.
• HTTPS: één verzoek via http per domein, om te zien of de winkel doorverwijst naar https.
• DNSSEC: controle op een DS-record en op validatie via de publieke resolvers van Google en Cloudflare.
• Security headers: twee geautomatiseerde verzoeken naar de homepage vanaf onze eigen server, met dezelfde uitkomst. Meegeteld zijn winkels die een volledige pagina teruggaven.
• Buiten de meting: de sterkte van de TLS-configuratie, de inhoud van het headerbeleid en pagina’s achter de inlog of in de checkout.

Zelf je webwinkel testen

Je eigen domein controleer je kosteloos met Internet.nl voor HTTPS en DNSSEC en met SecurityHeaders.com voor de headers. Ontbreekt er een header, dan helpt het stappenplan voor security headers. Voor een test die verder gaat dan de buitenkant, zoals een penetratietest, vind je aanbieders in het overzicht van cybersecurity bedrijven. Wat zo’n test bij een webwinkel onderzoekt, lees je bij pentest van een website.