Open standaarden

DNSSEC

Testtoegankelijkheid en WCAG Toolkit: voldoet. De domeinen zijn ondertekend en een resolver die DNSSEC controleert, keurt de antwoorden goed.

wcagtoolkit.eu: leg uit. Dit domein heeft geen eigen website. Beide adressen sturen met een 308 door naar https://wcagtoolkit.com/, en dat domein is wel ondertekend. Er komt geen inhoud van wcagtoolkit.eu.

Portaal: voldoet niet. Het portaal is een subdomein van properaccess.nl, en dat domein is niet ondertekend. DNSSEC aanzetten raakt het hele domein, ook de website en de mail van Proper Access. Dat valt buiten deze ronde en staat gepland in week 48 van 2026.

HTTPS en HSTS

Beide: voldoet. Een bezoek over HTTP sturen we door naar HTTPS. Elk antwoord over HTTPS draagt Strict-Transport-Security: max-age=31536000; includeSubDomains: je browser opent de site een jaar lang alleen via HTTPS, ook de subdomeinen.

TLS

Beide: voldoet. De servers spreken TLS 1.2 en TLS 1.3 en weigeren oudere versies. Volgens de websitetest van internet.nl is de verbinding voldoende beveiligd. Een CAA-record, dat vastlegt welke partij certificaten mag uitgeven, ontbreekt. Internet.nl raadt het aan, maar het telt niet mee in de score. Onze DNS-provider Strato biedt dit record niet aan. Alle certificaten van de site komen van Let's Encrypt.

IPv6 en IPv4

Beide: voldoet. Alle domeinen zijn bereikbaar via IPv4 en IPv6.

security.txt

Beide: voldoet. Op /.well-known/security.txt staat hoe je een kwetsbaarheid meldt, volgens RFC 9116. Het bestand verwijst naar ons beleid voor het melden van kwetsbaarheden. Je krijgt binnen 5 werkdagen een reactie.

OpenAPI

Testtoegankelijkheid en WCAG Toolkit: voldoet voor /api/licentie/token. Bij die route wisselt de extensie van de Radar een licentiesleutel in voor een bewijs. Het is de enige route die vanaf elke herkomst aangeroepen kan worden. Er is een beschrijving in OpenAPI 3.1, en een test controleert dat die beschrijving gelijk blijft aan de code.

Leg uit voor de andere 15 routes. Die zijn de achterkant van formulieren op onze eigen site, het inloggen, en het accountbeheer met een sessie van onze site. Eén route roept Mollie aan na een betaling, en het contract daarvan bepaalt Mollie. Geen van deze routes wisselt gegevens uit met een andere organisatie.

Portaal: leg uit. De drie koppelingen onder /api/ verbinden alleen systemen van Proper Access, elk met een eigen token.

REST API design rules

Beide: leg uit. De regels gelden voor een API die je openstelt voor anderen, en dat doen we niet. Ze vragen onder meer een versienummer in het pad, zoals /v1/. Het pad van de licentieroute veranderen breekt elke extensie die al geïnstalleerd is. Komt er een betaalde scan-API, dan volgt die de regels vanaf het begin.

ISO 8601 voor datum en tijd

Testtoegankelijkheid en WCAG Toolkit: voldoet. Datums in de structuurdata, de sitemap, security.txt en <time datetime> staan in ISO 8601.

Leg uit voor één veld. In het antwoord van /api/licentie/token is expiresAt een Unix-tijd in seconden. Dat is de vervaltijd uit het ondertekende bewijs, op dezelfde manier als in een JWT (RFC 7519). Omzetten breekt de extensies die al geïnstalleerd zijn. Het veld graceUntil in hetzelfde antwoord is wel ISO 8601.

Portaal: voldoet. Tijden staan in ISO 8601 met tijdzone. Een datum in een ander formaat geeft een duidelijke foutmelding (422).

UTF-8

Beide: voldoet. HTML, tekstbestanden en de scripts van de Radar komen met charset=utf-8 in de kop. JSON is volgens RFC 8259 altijd UTF-8. Ook de mail die we versturen is UTF-8.

URI

Beide: voldoet. Elke pagina heeft één vast adres. Aliasdomeinen, HTTP en oude adressen sturen met een 308 door naar dat adres. Er staat geen sessie-id in een pad.

JSON

Beide: voldoet. De API-routes antwoorden met application/json en geldige JSON, ook bij een fout.

HTML

Testtoegankelijkheid en WCAG Toolkit: voldoet. We hebben 34 pagina's door de Nu Html Checker gehaald: de openbare pagina's op beide domeinen, het inlogscherm en de foutpagina. Ook het portaal na het inloggen, het paneel van de Radar en het opgeslagen Radar-rapport. Geen enkele pagina gaf een fout. In het portaal na het inloggen geeft de checker twee meldingen over de ALTCHA-widget, die zijn eigen markup in de browser schrijft.

Portaal: voldoet. 98 pagina's gemeten: de openbare en elke pagina per rol.

CSS

Beide: voldoet. De validator meldt eigenschappen die hij niet kent: @property en margin-trim op de site, paint-order in het portaal. Dat is geldige CSS uit nieuwere specificaties. Een fout in onze code vond de validator niet.

SVG

Beide: voldoet. De illustraties, de logo's en de iconen gaven geen meldingen.

Digitoegankelijk (EN 301 549 met WCAG 2.1)

Testtoegankelijkheid en WCAG Toolkit: voldoet. Een auditor van Proper Access heeft wcagtoolkit.com en de WCAG Radar in augustus 2026 onderzocht volgens WCAG-EM, tegen WCAG 2.2 niveau A en AA. Daarin zitten de criteria van WCAG 2.1 waar EN 301 549 naar verwijst. De audit leverde 23 bevindingen op. Bij de hercontrole op 22 augustus 2026 stond er geen meer open. Een hercontrole toetst de bevindingen uit de audit opnieuw en is geen tweede volledige audit. testtoegankelijkheid.nl draait dezelfde code met Nederlandse teksten. Het rapport: hercontrole wcagtoolkit.com, augustus 2026. Lees ook de toegankelijkheidsverklaring.

Een andere partij kiezen voor de audit kan. Dan sturen we de steekproef mee die we al hebben voorbereid volgens WCAG-EM.

Portaal: deels getoetst. We hebben 97 pagina's automatisch getoetst met axe-core 4.10.3, met de regels voor WCAG 2.0, 2.1 en 2.2 niveau A en AA, op 1280 en op 320 pixels breed. axe-core vond geen fouten.

Een automatische toets vindt een deel van de fouten. Toetsenbord, focus en zoom zijn in het portaal nog niet getoetst. We zeggen daarom niet dat het portaal aan WCAG voldoet. Daarvoor is een handmatige audit nodig.