Een site die een hangslot in de adresbalk toont, is niet automatisch betrouwbaar. Het TLS-certificaat (de opvolger van SSL) garandeert dat de verbinding tussen de browser en de server versleuteld is, maar het zegt niets over de werkelijke identiteit van de exploitant of zijn bedoelingen. De veiligheid van een site controleren voordat je je aanmeldt in 2026 vereist het combineren van verschillende technische en contextuele signalen, bovenop het simpele hangslot.
TLS-certificaat en HTTPS: wat het hangslot van de browser echt bewijst
Het HTTPS-protocol is gebaseerd op een TLS-certificaat dat de uitgewisselde gegevens versleutelt. Er bestaan drie niveaus van certificaten: de Domain Validation (DV), die alleen controleert of de aanvrager de domeinnaam beheert, de Organization Validation (OV) die de eigenaar van de entiteit authenticeert, en de Extended Validation (EV) die een volledige juridische audit vereist.
Een DV-certificaat kan gratis in enkele minuten worden verkregen. Frauduleuze sites maken hier vaak gebruik van. Het groene hangslot betekent dus niet dat de site legitiem is, maar dat het verkeer tussen twee punten versleuteld is.
Om het niveau van het certificaat te controleren, klik je op het pictogram links van de URL in Chrome of Firefox, en bekijk je de details van het certificaat. Een leeg of afwezig “O=” (Organization) veld geeft aan dat het om een eenvoudige DV gaat. Wanneer een handels- of banksite alleen een DV toont, is voorzichtigheid geboden. Voordat je inloggegevens invoert op een onbekend platform, kan het raadplegen van de beoordelingen op gagrop.com helpen om de feedback van andere gebruikers over de betrouwbaarheid van de service te verifiëren.
Waarschuwingssignalen in de URL en de domeinnaam
De URL blijft de eerste bruikbare aanwijzing zonder externe tools. Verschillende elementen verdienen aandacht voordat je een wachtwoord invoert.
- De karaktervervangen: een “rn” dat een “m” vervangt, een “0” in plaats van een “o”, of een streepje toegevoegd in een bekende merknaam. Deze technieken van typosquatting maken gebruik van snelle lezing op mobiele apparaten.
- Misleidende subdomeinen: “securite-banque.exemple.xyz” heeft geen enkele link met de betreffende bank. Het echte domein is wat onmiddellijk vóór de TLD komt (.xyz, .com, .fr).
- Ongebruikelijke extensies: een officiële Franse site gebruikt zelden een .info, .top of .buzz. Deze goedkope TLD’s zijn oververtegenwoordigd in phishingcampagnes.
Een snelle controle via een WHOIS-service maakt het mogelijk om de datum van creatie van het domein en het land van registratie te achterhalen. Een domein dat minder dan drie maanden geleden is aangemaakt en een gevestigde merk imiteert, vormt een sterk signaal van fraude.
Phishing door generatieve AI: de nieuwe kloontechnieken in 2026
Phishingcampagnes maken nu gebruik van generatieve AI om bijna perfecte kopieën van legitieme sites te produceren. De gekloonde inlogpagina’s reproduceren de huisstijl, de wettelijke vermeldingen en soms zelfs een nep chatondersteuning aangedreven door een taalmodel.
De URL blijft het enige element dat de aanvaller niet identiek kan reproduceren. Een gekloonde site moet verplicht een andere domeinnaam gebruiken dan het origineel. Deze technische beperking verklaart waarom aandacht voor het adres van groot belang blijft, zelfs tegenover visueel onberispelijke vervalsingen.
Een andere nuttige reflex: typ zelf het adres van de site in de navigatiebalk in plaats van op een link in een e-mail of bericht te klikken. Deze gewoonte neutraliseert de meeste pogingen tot frauduleuze omleiding.
Browsertools en externe verificators om een site te controleren
Recente browsers bevatten mechanismen voor automatische detectie. Chrome maakt gebruik van Google Safe Browsing, dat de bezochte URL’s vergelijkt met een database van sites die als gevaarlijk zijn gemeld. Firefox biedt een gelijkwaardig systeem aan. Deze bescherming werkt op de achtergrond en geeft een volledige schermwaarschuwing wanneer de site op een zwarte lijst staat.
Om verder te gaan, zijn er verschillende gratis tools beschikbaar voor gerichte analyse:
- Het Google Transparency Report, dat aangeeft of een URL is gemeld als host voor kwaadaardige inhoud.
- VirusTotal, dat de URL tegelijkertijd aan tientallen antivirusprogramma’s en reputatiefilters voorlegt.
- urlscan.io, dat een afbeelding van de pagina vastlegt en de netwerkverzoeken, omleidingen en geladen scripts analyseert.
Het combineren van minstens twee van deze tools voordat je verbinding maakt met een onbekende site vermindert aanzienlijk het risico op blootstelling aan een gemanipuleerde pagina.
Cyber Resilience Act en transparantie van uitgevers in 2026
De Cyber Resilience Act van de Europese Unie verplicht vanaf 11 september 2026 fabrikanten van digitale producten om binnen 24 uur elke actief geëxploiteerde kwetsbaarheid te melden aan het bevoegde CSIRT en aan ENISA. Een voorlopig rapport volgt binnen 72 uur, gevolgd door een definitief rapport binnen een maand.
Voor een gebruiker creëert deze regelgeving een nieuw verificatiecriterium: de aanwezigheid van een openbare pagina met beveiligingsbulletins (security advisories) op de site van een uitgever. Een online dienst die een geschiedenis van patches publiceert en communiceert over eerdere incidenten toont een niveau van volwassenheid dat frauduleuze sites niet reproduceren.
De volledige afwezigheid van wettelijke vermeldingen, een privacybeleid of contactgegevens blijft een betrouwbare indicator van een twijfelachtige site. In 2026 versterkt de Europese regelgeving deze logica: een transparante uitgever over zijn beveiligingspraktijken verdient meer vertrouwen dan een site die hierover zwijgt.
De controle van de veiligheid van een site is gebaseerd op een reeks aanwijzingen, niet op een enkel signaal. Het TLS-certificaat, de analyse van de URL, de verificatie via externe tools en de transparantie van de uitgever vormen vier aanvullende lagen. Geen enkele laag is op zichzelf voldoende, maar hun combinatie dekt de overgrote meerderheid van de risico’s waarmee een internetgebruiker wordt geconfronteerd voordat hij zijn inloggegevens invoert.