Je formulieren versturen klantgegevens via https
Een contact- of aanmeldformulier stuurt naam, telefoonnummer en klachtomschrijving via https naar een https-adres, zodat de gegevens onderweg versleuteld zijn.
Waarom het uitmaakt
In een contactformulier van een praktijk kunnen naam, telefoonnummer en een omschrijving van een klacht staan. Gaat dat via http, dan kan iemand onderweg meelezen of de gegevens wijzigen. Browsers waarschuwen de klant als een https-pagina een formulier naar een http-adres stuurt.
Artikel 32 van de AVG verplicht je tot passende technische en organisatorische maatregelen en noemt versleuteling als voorbeeld, maar schrijft https niet bij naam voor. Wat passend is, hangt volgens de Autoriteit Persoonsgegevens af van het risico; een medisch dossier weegt zwaarder dan een e-mailadres.
Zo is het goed geregeld
- De pagina met het formulier opent via https.
- Het adres achter action in het formulier begint met https:// of is een relatief adres op je eigen https-site.
- Een ingesloten formulier of boekingswidget van een andere partij laadt vanaf een adres dat met https:// begint.
- Het formulier gebruikt de methode POST, zodat ingevulde gegevens niet in het adres van de volgende pagina komen te staan.
Zo controleer je het zelf
- Open de pagina met het formulier en kijk of het adres met https:// begint en de browser geen waarschuwing toont.
- Klik met de rechtermuisknop op het formulier, kies Inspecteren en zoek het form-element; bekijk het adres bij action en de waarde bij method.
- Staat het formulier in een iframe, kijk dan of het adres bij src van dat iframe met https:// begint.
Zo los je het op
- Zorg eerst dat je hele site via https werkt (zie 7.1).
- Laat je websitebouwer het action-adres aanpassen naar https:// of een relatief adres zetten en de methode op POST.
- Vraag bij een extern formulier of boekingssysteem de https-insluitcode op bij de leverancier.
Https beschermt de gegevens alleen onderweg. Wat daarna gebeurt, zoals opslag, doorsturen per e-mail en wie erbij kan, valt buiten deze controle en hoort bij je eigen afweging onder de AVG.
Wat de testklant controleert
AI-testklant leest in de broncode van de pagina het action-adres, de methode en het adres van een ingesloten formulier; dat is wat elke browser ontvangt. Hij vult niets in, verstuurt niets en scant niet op kwetsbaarheden; verstuurt een formulier via een script zonder zichtbaar adres, dan staat het onder 'Niet getest'.
- Werkwijze
- Alleen openbare gegevens lezen
- Zit in
- Uitgebreid rapport
Bronnen
- Sending form dataMDN Web Docs (Mozilla) · gecontroleerd op 2 november 2026Het action-attribuut bepaalt waarheen gegevens gaan; browsers waarschuwen als een https-pagina naar een http-adres verstuurt; GET zet gegevens in het adres.
- Algemene verordening gegevensbescherming (AVG), artikel 32Autoriteit Persoonsgegevens · gecontroleerd op 2 november 2026Artikel 32 eist passende technische en organisatorische maatregelen en noemt versleuteling als voorbeeld; https of TLS staat er niet in.
- Maatregelen voor beveiligingAutoriteit Persoonsgegevens · gecontroleerd op 2 november 2026Wat passend is, hangt af van het risico; een medisch dossier levert een groter risico op dan een e-mailadres.