Naast het lezen van de gegevens van Google kan SaaSMaestro je websites zelf bezoeken om problemen op te sporen die Google niet meldt. De controles staan onder Websitegezondheid via Instellingen → je werkruimte → Gegevenskoppelingen. Elke controle is een aparte dienst, uitgeschakeld totdat een eigenaar of beheerder die in het dialoogvenster inschakelt, waar ze ook kiezen welke websites eronder vallen. Er hoeft niets geïnstalleerd te worden.
Controles komen van onze servers op 35.214.110.192. Staat je website achter een firewall, Cloudflare of een beveiligingsplug-in, zet dat adres dan eerst op de allowlist. Zie Ons IP-adres op de allowlist zetten.
De diensten
| Dienst | Hoe vaak | Wat wordt bekeken |
|---|---|---|
| Uptime-monitoring | Elke 15 minuten | Of de homepage antwoordt, bevestigd vanuit andere regio’s voordat een storing wordt vastgesteld, plus dagelijkse controles van de Google-tag, robots.txt, sitemap en pagina’s en een maandelijks rapport. |
| SSL-certificaatbewaking | Wekelijks | Wanneer het certificaat verloopt, wie het heeft uitgegeven en of bezoekers daadwerkelijk HTTPS krijgen. |
| Domeinmonitoring | Wekelijks | Wanneer de domeinregistratie verloopt, de registrar en blokkades van de registry. |
| DNS- en e-mailbeveiliging | Dagelijks | Wijzigingen in nameservers en mailservers, en in de SPF-, DMARC- en DKIM-records. |
| Blacklist & malware | Dagelijks | De Web Risk-lijst van Google met gevaarlijke sites en de malwarelijst URLhaus van abuse.ch. |
| Beveiligingsheaders | Wekelijks | Zes gangbare beveiligingsheaders, beoordeeld van A tot F, en bestanden die via gewoon HTTP worden geladen. |
| Labprestaties | Wekelijks | Een PageSpeed Insights-test van de mobiele homepage, met de score in de loop van de tijd. |
| Core Web Vitals | Dagelijks | Echte bezoekerssnelheid uit het Chrome UX Report, gelezen tijdens de dagelijkse controles van Uptime-monitoring zodra de API-sleutel is ingesteld. |
| Controles van sleutelpagina’s | Elke 5, 15 of 60 minuten | Pagina’s die je kiest, zoals prijzen of aanmelden, moeten laden en de opgegeven tekst bevatten. |
| Heartbeat-monitoring | Zo vaak als jij instelt | Je eigen cronjobs, back-ups en workers vragen een privéadres op; je krijgt een melding wanneer er een stil valt. |
Wanneer een nieuwe website wordt toegevoegd, worden je de diensten aangeboden die al voor de werkruimte zijn ingeschakeld. Waarschuwingen van SSL-, domein-, DNS-, blacklist-, beveiligingsheader- en prestatiecontroles worden zodra een controle ze vindt per e-mail naar eigenaars en beheerders gestuurd als “Meldingen bij kritieke problemen”, elk maar één keer, en naar elk chatkanaal dat ze ontvangt.
Uptime
De homepage van elke website wordt elke 15 minuten gecontroleerd. Een website telt pas als offline na twee mislukte controles op rij, wat vals alarm door één trage reactie voorkomt. Reacties zoals “niet geautoriseerd” of “te veel verzoeken” tellen als online, omdat de server antwoordt.
Voordat een tweede mislukking als storing wordt aangemerkt, laden servers in andere regio’s de website ook. Lukt dat de meeste, dan zit het probleem tussen onze hoofdserver en de website, zoals een netwerkstoring of een firewallregel, en wordt er geen storing vastgesteld. In het dialoogvenster Uptime-monitoring staan de gebruikte regio’s.
Wanneer een website uitvalt, krijgen eigenaars en beheerders direct een storingsmail (hooguit eenmaal per storing per week) en wordt een kritiek probleem aangemaakt totdat de website weer bereikbaar is. Op de 1e van elke maand krijgen ze ook een maandelijks uptimerapport met de uptime en storingen van elke website over de maand ervoor; iedereen kan dit voor zichzelf uitzetten onder Meldingen.
Dagelijkse controles
Deze draaien samen met Uptime-monitoring, eenmaal per dag voor elke website die eronder valt.
| Controle | Wat wordt bekeken |
|---|---|
| Google-tag | Of de homepage de GA4-tag van deze website bevat, een andere GA4-ID, Google Tag Manager, of niets. |
| robots.txt | Of het bestaat, of het is gewijzigd en of het alle zoekmachines blokkeert. |
| Sitemap | Hoeveel URL's erin staan, waarbij tot 10 onderliggende sitemaps worden gelezen. |
| Core Web Vitals | Snelheid voor echte bezoekers uit het Chrome UX Report: Largest Contentful Paint, Interaction to Next Paint en Cumulative Layout Shift. Vereist een Chrome UX Report-API-sleutel, in te stellen in het vak Core Web Vitals op het tabblad Gegevenskoppelingen van de werkruimte. |
| Status in Google-index | Voor websites die aan Search Console zijn gekoppeld: of elke gevolgde pagina in de index van Google staat, via de URL Inspection API. |
| Interne links (wekelijks) | Tot 40 links naar je eigen website vanaf de gevolgde pagina's worden gevolgd, en links die met 404, 410 of een serverfout reageren worden vermeld. |
Een website die zijn Google-tag laadt via een toestemmingstool of Tag Manager, kan “Google Tag Manager gevonden” of “Niet gevonden” tonen, ook al werkt de tracking. Controleer voor de zekerheid het Realtime-rapport van GA4.
SSL-certificaten
Eenmaal per week lezen onze servers het certificaat dat elke website aanbiedt: wanneer het verloopt en wie het heeft uitgegeven. Binnen acht dagen voor het verlopen, of zolang HTTPS ontbreekt, kijken ze dagelijks, zodat een verlenging wordt opgemerkt voordat iemand wordt gewaarschuwd. Je wordt een week voordat het certificaat verloopt gewaarschuwd, nogmaals de dag ervoor, en zodra het is verlopen. Het verschijnt als probleem op de pagina van de website vanaf 14 dagen ervoor.
Ze controleren ook of bezoekers HTTPS krijgen: je wordt gewaarschuwd als de website alleen via gewoon HTTP antwoordt, of als gewoon HTTP de website serveert zonder door te verwijzen naar HTTPS. Die waarschuwingen herhalen zich wekelijks totdat het is opgelost.
Domeinregistratie
Eenmaal per week wordt het geregistreerde domein (example.com voor shop.example.com) via RDAP opgezocht bij zijn registry, of via WHOIS als de registry geen RDAP heeft. Binnen een maand voor het verlopen wordt het dagelijks opgezocht. Je wordt een maand, een week en een dag voordat de registratie verloopt gewaarschuwd, en zodra die is verlopen. Je wordt ook direct gewaarschuwd als de registry het domein blokkeert, waardoor website en e-mail niet meer werken, of als het is verlopen en op het punt staat te worden verwijderd.
DNS- en e-mailbeveiliging
Eenmaal per dag worden de DNS-records van het domein opgevraagd via DNS-over-HTTPS, zodat de resultaten overeenkomen met wat de rest van het internet ziet. Een wijziging van nameservers of mailservers geeft direct een melding en blijft een week op de pagina van de website staan, omdat een gekaapt domein of een mislukte migratie er zo uitziet.
Voor domeinen die e-mail ontvangen, signaleert de controle ook een ontbrekend SPF-record, meer dan één SPF-record, een SPF-record waarmee iedereen mag verzenden (+all) en een ontbrekend DMARC-record. DKIM kan niet worden opgevraagd, dus er wordt wekelijks naar gezocht onder de selectors die gangbare maildiensten gebruiken, en het wordt alleen getoond als het wordt gevonden.
Blacklists en malware
Eenmaal per dag wordt elke website opgezocht in de Web Risk-lijst van Google, waardoor Chrome en andere browsers bezoekers een rode waarschuwingspagina tonen in plaats van de website, en in de URLhaus-lijst van abuse.ch met malwaredownloads. Beide betekenen meestal dat de website is gehackt, en je wordt direct gewaarschuwd.
Voor deze controle is een Google Web Risk API-sleutel, een URLhaus-authenticatiesleutel of beide nodig, opgeslagen in het dialoogvenster. Zonder een van beide draait de controle niet. De gratis Safe Browsing API van Google heeft geen licentie voor commercieel gebruik, daarom wordt de betaalde Web Risk API gebruikt.
Beveiligingsheaders en gemengde inhoud
Eenmaal per week wordt de homepage via HTTPS geladen en beoordeeld op zes headers: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (of CSP frame-ancestors), Referrer-Policy en Permissions-Policy. Alle zes is een A, vijf een B, enzovoort. Je hoort het wanneer HSTS ontbreekt of er minder dan vier worden verstuurd.
De pagina wordt ook doorzocht op bestanden die via gewoon HTTP worden geladen. Scripts, stijlen en frames die zo worden geladen, worden door browsers geblokkeerd en kunnen de pagina breken; afbeeldingen en media kosten het slotje. Alleen de HTML zoals geserveerd wordt gecontroleerd, dus bestanden die later door scripts worden toegevoegd, worden niet gezien.
Labprestaties
Eenmaal per week test PageSpeed Insights van Google de mobiele homepage van elke website op een gesimuleerde telefoon en geeft er een score op 100 aan, met de laad-, blokkeer- en lay-outverschuivingstijden. De laatste 12 wekelijkse scores worden bewaard. Je hoort het wanneer de score onder de 50 komt, of met 15 punten of meer daalt ten opzichte van de vorige test, vaak voordat de Core Web Vitals van echte bezoekers volgen. Het gebruikt dezelfde Google API-sleutel als Core Web Vitals, met de PageSpeed Insights API ingeschakeld voor het bijbehorende project. De test draait vanaf de servers van Google, niet de onze.
Controles van sleutelpagina’s
Voeg de belangrijkste pagina’s toe, zoals prijzen, aanmelden of afrekenen, met de tekst die elke pagina moet bevatten, en kies of ze elke 5, 15 of 60 minuten worden gecontroleerd. Een pagina faalt als ze niet laadt, met een fout antwoordt of de tekst niet meer bevat, zodat je een kapotte pagina opmerkt die toch nog “200 OK” antwoordt. De tekst wordt gezocht in de pagina zoals onze server die ontvangt, voordat scripts draaien.
Na twee mislukkingen achter elkaar krijgen eigenaars en beheerders een storingsmail, worden chatkanalen op de hoogte gebracht en wordt een kritiek probleem aangemaakt. Ze horen het opnieuw zodra de pagina weer werkt.
Heartbeats
Elke heartbeat krijgt een privéadres, zoals https://saasmaestro.com/hooks/heartbeat/…. Laat een van je taken dit adres bij elke uitvoering opvragen, bijvoorbeeld door curl -fsS en het adres aan het eind van een cron-regel toe te voegen. GET-, POST- en HEAD-verzoeken tellen allemaal mee.
Kies hoe vaak een ping wordt verwacht, van elke 5 minuten tot eenmaal per week, en een respijtperiode voor langlopende taken. Komt er binnen het interval plus de respijtperiode geen ping, dan krijgen eigenaars en beheerders een storingsmail, worden chatkanalen op de hoogte gebracht en wordt een kritiek probleem aangemaakt; ze horen het opnieuw zodra de ping terugkomt. Een heartbeat wordt pas bewaakt zodra de eerste ping binnen is.
Gevolgde pagina's en automatische notities
SaaSMaestro volgt de homepage en de vijf drukst bezochte landingspagina's. Als de status, titel, metabeschrijving, robots-instructie of het canonical-adres van een pagina verandert, of robots.txt verandert, wordt er automatisch een tijdlijnnotitie toegevoegd met de markering “Automatisch gedetecteerd”. Dat geldt ook voor een pagina die uit de index van Google valt. Zo staat bij een onverwachte verkeerswijziging de verklaring vaak al in de grafiek.
Waar je het ziet
Het vak van elke dienst bij Gegevenskoppelingen toont wanneer die voor het laatst draaide en hoeveel websites aandacht nodig hebben, en het klokpictogram opent de recente resultaten. De pagina van elke website heeft een sectie Websitegezondheid met de nieuwste resultaten. Problemen verschijnen ook als meldingen over problemen; zie Controles en ernst van problemen.