Disclaimer & privacy

Hoe een check werkt

Als je een adres invult, bezoekt onze server die website en doet hij, in deze volgorde:

1. Eén verzoek voor de pagina die je hebt ingevuld. Daarbij volgen we maximaal vijf doorverwijzingen (bijvoorbeeld van example.com naar www.example.com). Heeft de website geen werkende HTTPS, dan proberen we één keer gewone HTTP.
2. Alleen als die pagina geen duidelijk antwoord geeft, nog een paar verzoeken op dezelfde website. We stoppen zodra we een antwoord hebben:
   • /robots.txt, het bestand waarin websites aan automatische bezoekers doorgeven welke pagina's ze moeten overslaan. Het verraadt vaak welke software een website gebruikt, en we volgen de regels erin;
   • twee verzonnen adressen, één op .php en één op .html, om te zien hoe de website reageert op pagina's die niet bestaan;
   • /index.php, de gebruikelijke startpagina van PHP-websites;
   • /wp-login.php, de standaard inlogpagina van WordPress. We laden die alleen; we loggen nooit in en versturen nooit iets;
   • maximaal vier pagina's waar de ingevulde pagina naar linkt, zoals een contact-, inlog- of winkelpagina. We slaan pagina's over die automatische bezoekers volgens robots.txt moeten mijden, links met ‘nofollow’ en links die iets kunnen veranderen, zoals een uitloglink.

Dat zijn maximaal 16 verzoeken per check, doorverwijzingen meegeteld. Het zijn allemaal gewone GET-verzoeken, binnen ongeveer 18 seconden. We lezen van elk antwoord maximaal de eerste 512 KB en kijken naar:

• response-headers, zoals X-Powered-By en Server;
• de cookies die de website plaatst: hun namen, zoals PHPSESSID, en of een waarde de herkenbare vorm heeft van de versleutelde cookies van Laravel. We ontsleutelen of bewaren cookies nooit;
• de HTML van de pagina, op zoek naar signalen zoals een ‘generator’-tag van WordPress of Drupal, bestandspaden die typisch zijn voor PHP-software, formuliervelden van PHP-frameworks, PHP-foutmeldingen en links naar .php-pagina's.

Om de waarschijnlijke hostingpartij van de website te noemen, zoeken we ook op bij welk bedrijf het netwerk van het IP-adres hoort. Dat doen we in een openbare tabel die onderdeel is van onze eigen website. Daarnaast kijken we welke nameservers het domein gebruikt. Dit zijn gewone DNS-opvragingen; ze sturen niets naar de website. We noemen alleen bekende hostingpartijen, en een hostingpartij die we noemen is een onderbouwde gok: een webbureau of webbouwer kan die server voor je huren.

Wat een check nooit doet

• Hij test nooit op het lek, activeert of misbruikt het nooit, en stuurt nooit iets dat bedoeld is om een website te laten vastlopen of te overbelasten.
• Hij logt nooit in, vult geen formulieren in, voert geen scripts van de website uit en downloadt geen afbeeldingen of bestanden.
• Hij raadt nooit naar verborgen adressen (behalve de adressen hierboven), en zoekt nooit zelf naar andere subdomeinen. Hij volgt alleen een paar links die al op de pagina staan.
• Hij bezoekt nooit privé- of interne netwerkadressen, IP-adressen of afwijkende poorten. Alleen openbare websites kunnen worden gecontroleerd.

Hoe we tot een uitslag komen

• Ja: we vonden minstens één duidelijk spoor van PHP, zoals een header die PHP noemt, een PHP-sessiecookie of software die alleen op PHP draait.
• Waarschijnlijk: we vonden alleen ondersteunende aanwijzingen, zoals links naar .php-pagina's.
• Geen sporen: we vonden niets dat op PHP wijst. Dat is geen bewijs dat er geen PHP wordt gebruikt.
• Onduidelijk: we konden de echte website niet zien, bijvoorbeeld door een firewall, een cookiemuur of een foutmelding.

Linkt de pagina naar andere delen van dezelfde website (zoals een shop.- of blog.-adres)? Dan stellen we voor om die ook te controleren. Die suggesties komen uit links die al op de pagina staan en kosten geen extra verzoeken. Elke voorgestelde check start pas als jij ervoor kiest.

Geen garanties

Een check ziet alleen wat een website openbaar laat zien, en kan dus nooit helemaal zeker zijn. Websites kunnen verbergen dat ze PHP gebruiken, firewalls kunnen ons tegenhouden, en andere systemen (zoals een beheeromgeving, webshop, mailserver of intranet) kunnen PHP gebruiken, ook als wij er geen sporen van vinden. Een gevonden PHP-versie is de versie die de website meldt. Die laat niet altijd zien welke updates je hostingpartij heeft geïnstalleerd.

Alles op deze website is algemene informatie, aangeboden ‘zoals het is’ en zonder enige garantie. Het is geen professioneel beveiligings- of juridisch advies, en het kan verouderd, onvolledig of onjuist zijn. Laat het altijd bevestigen door je hostingpartij, webbouwer of IT-afdeling, en volg de officiële richtlijnen van het NCSC en het PHP-project.

Gebruik van deze website

Gebruik de check alleen voor legale doeleinden, zoals het controleren van websites die je bezit, beheert of waarvoor je verantwoordelijk bent. Gebruik hem niet om systemen van anderen in kaart te brengen of aan te vallen, en benader hem niet met scripts, bots of andere geautomatiseerde middelen. We kunnen de toegang blokkeren of beperken om misbruik te voorkomen. Het aantal checks is per bezoeker en per website beperkt, en overmatig verkeer wordt automatisch geblokkeerd.

Aansprakelijkheid

Je bent zelf verantwoordelijk voor de beveiliging van je eigen systemen en voor wat je doet met de informatie op deze website. Voor zover de wet dat toestaat, zijn we niet aansprakelijk voor schade of verlies door het gebruik van, of het vertrouwen op, deze website, de uitslagen of het advies, of door iets wat wel of niet is gedaan naar aanleiding daarvan. Dit beperkt geen aansprakelijkheid die volgens de wet niet beperkt kan worden, zoals aansprakelijkheid bij opzet of bewuste roekeloosheid.

Niet verbonden

We zijn niet verbonden aan, goedgekeurd door of werkzaam namens het PHP-project, The PHP Group, de PHP Foundation, het Britse National Cyber Security Centre (NCSC), het Nederlandse NCSC (NCSC-NL) of een softwareleverancier of hostingpartij. ‘PHP’ en andere productnamen zijn merken van hun eigenaren en worden alleen gebruikt om ernaar te verwijzen. Als we een hostingpartij of platform noemen, of naar de hulppagina's ervan linken, is dat geen aanbeveling. Links naar andere websites zijn er voor je gemak; we zijn niet verantwoordelijk voor de inhoud ervan.

Privacy

We verzamelen zo weinig mogelijk. We maken geen accounts aan, gebruiken geen trackingcookies en verkopen of delen geen gegevens voor advertenties. Dit gebeurt er als je de website gebruikt:

Het adres dat je controleert

Dat gebruiken we voor de check en daarna gooien we het weg. We loggen of bewaren het niet, en de uitslag ook niet. Om te beperken hoe vaak één website kan worden gecontroleerd, bewaren we maximaal twee uur een one-way hash van de domeinnaam (een onleesbaar gemaakte code die niet terug te rekenen is naar de naam). Deellinks zetten het adres na het ‘#’-teken (zoals doiusephp.com/#example.com). Browsers sturen dat deel nooit naar servers, dus het komt ook niet in de logs van onze hostingpartij terecht. Het blijft wel in je eigen browsergeschiedenis staan.

Je IP-adres

Dat gebruiken we om misbruik te voorkomen. Voor het beperken van het aantal checks bewaren we alleen een one-way hash ervan, die binnen twee dagen automatisch wordt verwijderd. We slaan je IP-adres nooit leesbaar op.

Dienstverleners

• Vercel host deze website en beheert de firewall. Zoals elke hostingpartij verwerkt Vercel technische gegevens, zoals IP-adressen en opgevraagde pagina-adressen, en kan het die kort bewaren in logs voor beveiliging en beheer. Privacybeleid van Vercel.
• Vercel Web Analytics telt paginaweergaven en hoeveel checks op elke uitslag uitkomen. Het gebruikt geen cookies en herkent je niet, en we halen het gecontroleerde adres uit elke paginaweergave voordat die wordt verstuurd. Privacy bij Analytics.
• Cloudflare Turnstile controleert of een mens, en geen bot, een check start. Cloudflare verwerkt daarvoor technische informatie over je browser en verbinding, en gebruikt die niet voor advertenties. Privacy bij Turnstile.
• Upstash bewaart de kortlevende, gehashte tellers voor het beperken van het aantal checks, zoals hierboven beschreven. Privacybeleid van Upstash.

Sommige van deze dienstverleners kunnen gegevens buiten de Europese Economische Ruimte verwerken. Ze doen dat met waarborgen die het EU-recht erkent, zoals het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie.

Grondslag en je rechten

We verwerken deze gegevens op basis van ons gerechtvaardigd belang om een gratis, veilige dienst aan te bieden en misbruik ervan te voorkomen (artikel 6, lid 1, onder f AVG). Je hebt het recht om je persoonsgegevens in te zien, te laten corrigeren of te laten verwijderen, en om bezwaar te maken tegen de verwerking. Omdat we bijna niets opslaan waarmee je te herkennen bent, is er meestal weinig of niets om te delen of te verwijderen. Maar we beantwoorden je verzoek altijd; zie het contactadres hieronder. Je kunt ook een klacht indienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens.

Voor website-eigenaren

Zie je onze check in je logs? Hij maakt zich bekend met de user agent doiusephp-checker/1.0 (+https://doiusephp.com/disclaimer) en deed alleen de paar onschuldige verzoeken die hierboven staan, omdat iemand het adres van je website invulde. Je kunt die user agent blokkeren als je dat wilt.

Over deze website

doiusephp.com is een persoonlijk, niet-commercieel project van Hein de Wilde. Heb je vragen, of wil je misbruik melden? Stuur dan een e-mail naar info@heindewilde.com. We kunnen geen advies geven over individuele websites; neem daarvoor contact op met je hostingpartij of webbouwer.

We kunnen deze pagina bijwerken; de datum bovenaan toont de nieuwste versie. Op deze website en deze disclaimer is Nederlands recht van toepassing.