Uw eigen website monitoren op onverwachte wijzigingen

Op een zondagmiddag in september 2022 drong iemand binnen in het contentmanagementsysteem (CMS) van Fast Company en verving elke kop op de homepage door een obsceen, racistisch bericht. Het team haalde de site offline en had deze ongeveer twee uur later weer hersteld. Twee dagen later stuurde dezelfde aanvaller soortgelijke berichten naar de Apple News-volgers van Fast Company, waardoor de website uiteindelijk acht dagen offline bleef.

Dat is de extreme variant. In het dagelijks leven verloopt het meestal stiller: Een deploy levert een prijzencomponent op die een lege tabel rendert. Een CMS-redacteur publiceert een concept met placeholdertekst in de hero-sectie. Iemand herstelt per ongeluk het privacybeleid van vorig jaar tijdens het corrigeren van een typefout. Niemand krijgt een pieperoproep, want de server draait en elke pagina laadt feilloos.

Ik werk bij Page Deltas, een tool die de meeste teams gebruiken om websites van andere bedrijven te volgen. Dit artikel legt uit hoe u deze op uw eigen site richt: welke pagina's u moet bewaken, hoe u het AI-filter instrueert zodat het afwijkingen herkent, hoe u na elke deploy een controle activeert en waar de grenzen van de tool liggen.

Waarom uw andere tools dit missen

De meeste websites beschikken al over een uptime-monitor. Die stelt slechts één vraag: antwoordt de pagina? En een door defacement aangetaste homepage antwoordt uitstekend. Net als een prijspagina met een kapotte tabel. Uptime-controles zijn geweldig om te melden dat het licht uit is. Ze kunnen u echter niet vertellen dat iemand de muren heeft overgeschilderd.

Server-side tools hebben een andere blinde vlek. Een file-integrity-monitor bewaakt uw eigen bestanden: deze merkt dus niet wanneer een script van derden (een chatwidget, tagmanager of advertentiesnippet) verandert wat bezoekers te zien krijgen. Het merkt ook geen DNS-hijack op, waarbij uw domein naar een andere server verwijst terwijl uw eigen servers onaangeroerd blijven. Visualpings handleiding over website-defacement benadrukt hetzelfde punt, en ze hebben gelijk: detectie moet kijken naar wat de pagina daadwerkelijk aan een bezoeker toont.

Dat is precies wat een websitewijzigingsmonitor doet. Deze haalt de pagina van buitenaf op, net zoals een bezoeker dat zou doen, en vergelijkt deze met de vorige controle. De vraag wordt: "is deze pagina gewijzigd op een manier die we niet hadden gepland?"

Welke pagina's moet u in de gaten houden?

U hoeft niet de hele website te monitoren. Begin met de pagina's waar een foute wijziging het snelst omzet of vertrouwen kost, en waar een bezoeker het waarschijnlijk eerder zou opmerken dan u.

De eerste vier rijen zijn paginamonitoren. De laatste is een sitemapmonitor, die waarschuwt wanneer er nieuwe URL's in uw sitemap.xml verschijnen. Dit helpt tegen één specifiek type aanval: het stilletjes aanmaken van honderden spampagina's onder uw domein, mits uw CMS die pagina's aan de sitemap toevoegt.

Het gratis abonnement biedt 10 gemonitorde URL's, waarbij een sitemapmonitor als één telt. Dat dekt uw homepage, prijspagina, drie belangrijke landingspagina's, twee juridische pagina's en de sitemap, met nog twee beschikbare plekken.

De inrichting

De opzet verloopt volgens onze handleiding voor het monitoren van websitewijzigingen, met één nuance: u beschrijft wat er nooit mag gebeuren, in plaats van wat u verwacht te zien.

1. Voeg uw pagina's toe met een instructie (brief)

Maak een gratis account aan, klik op New monitor (Nieuwe monitor) en plak de URL. Het beschrijvingsveld is de prompt die ons LLM leest om te bepalen of een wijziging belangrijk is: formuleer het als een instructie aan een collega die de pagina voor u controleert.

Voor uw eigen homepage werkt een instructie zoals deze uitstekend:

Onze eigen homepage (example.com). We wijzigen deze zelden buiten een release.
Waarschuw me bij elke wijziging in de hoofdtitel, hero-tekst, primaire call-to-action of prijzen.
Waarschuw me als er tekst verschijnt die niets met ons product te maken heeft, aanstootgevend is
of in een taal staat waarin we niet publiceren.
Negeer de roterende klantlogo's en de teaser voor recente blogberichten.

De uitsluitingsregel doet meer werk dan het lijkt. Vrijwel elke pagina heeft een component die uit zichzelf verandert: als u deze niet noemt, ontvangt u de eerste week voortdurend meldingen daarover.

2. Stuur meldingen naar twee verschillende bestemmingen

Open Channels (Kanalen) en stel in waar meldingen naartoe moeten. Slack, Discord en Microsoft Teams werken met de URL van een binnenkomende webhook. Voor e-mail moet de ontvanger eerst een verificatiebericht bevestigen, en een ondertekende webhook kan uw eigen interne systemen voeden. Klik bij elk kanaal op Send test (Test verzenden) om te controleren of het aankomt.

Voor uw eigen website raad ik aan om twee kanalen van verschillende typen te koppelen, bijvoorbeeld Slack plus een e-mailalias voor de storingsdienst. Elke melding wordt per kanaal één keer verzonden zonder automatische nieuwe pogingen: een tweede kanaal voorkomt dat een tijdelijke Slack-storing een defaced homepage verbergt.

3. Controleer direct na elke deploy

In Page Deltas stelt u geen vaste controlefrequentie in. Het schema is adaptief: pagina's die vaak veranderen worden vaker gecontroleerd en rustige pagina's minder vaak, waarbij betaalde abonnementen voorrang krijgen bij drukte. Uw eigen homepage is meestal heel rustig – precies het tegenovergestelde van wat u wilt direct nadat iemand eraan heeft gewerkt.

De oplossing is om zelf een controle te activeren. Elke monitor heeft de knop Check now (Nu controleren), en dezelfde actie is beschikbaar via de API, zodat u aan het einde van uw deploymentpipeline een aanroep kunt toevoegen:

curl -X POST \
  -H "Authorization: Bearer $PAGEDELTAS_TOKEN" \
  https://api.pagedeltas.com/api/monitors/$MONITOR_ID/check-now

Handmatige controles zijn beperkt tot één per minuut per monitor, wat ruim voldoende is voor deployments. U maakt de sleutel aan onder Settings (Instellingen) > API keys (vereist de rol editor of admin). Deze wordt slechts één keer getoond, dus sla hem direct op in de secrets van uw CI. Ons artikel over hoe u van elke website een change-API maakt behandelt de rest van de API als u ook het aanmaken van monitors wilt automatiseren.

Wat te doen als er een melding binnenkomt

Zodra dit actief is, genereert elke significante wijziging één bericht met een duidelijke samenvatting en screenshots van voor en na. Als u de ondertekende webhook gebruikt, ziet de payload er als volgt uit (waarden zijn fictief voor het voorbeeld):

{
  "event": "change.detected",
  "monitor_id": "01HW2X...",
  "monitor_url": "https://example.com/pricing",
  "monitor_name": "Onze prijspagina",
  "change_id": "...",
  "detected_at": "2026-10-08T07:12:00Z",
  "summary": "De Pro- en Business-pakketten worden niet meer weergegeven. De prijstabel toont nu alleen het Free-pakket.",
  "before_screenshot_url": "https://.../before.png",
  "after_screenshot_url": "https://.../after.png",
  "dashboard_url": "https://app.pagedeltas.com/monitors/..."
}

De meeste meldingen op uw eigen website betreffen legitieme aanpassingen van uw team. Dat is normaal en nuttig: een snelle reactie in de thread zoals "dat zijn wij, vandaag live gezet" verandert het kanaal in een doorlopend logboek van wat er live ging en wanneer. De cruciale melding is degene die niemand herkent.

Wanneer dat gebeurt, bieden de screenshots twee grote voordelen: ze tonen exact wat bezoekers op dat moment zien, en ze vormen een gedateerd bewijs van het voorval dat uw beveiligingsteam of verzekeraar later kan opvragen. De geschiedenis wordt 14 dagen bewaard op het Free-abonnement en langer op betaalde abonnementen (30 dagen op Starter, tot 730 op Scale) – download dus tijdig bewijsmateriaal dat u wilt bewaren.

Soms is het eerste signaal geen interne melding, maar een klant die een screenshot op sociale media plaatst. Als u daar ook van op de hoogte wilt zijn, stuurt ons zusterproduct KWatch.io meldingen zodra uw merknaam opduikt op Reddit, X, LinkedIn, Facebook en Hacker News.

Waar de grenzen liggen

Er zijn enkele situaties die deze opzet niet zal opvangen, en het is verstandig die te kennen voordat u erop vertrouwt.

We vergelijken de hoofdtekst van elke pagina. Navigatie, footers en advertenties worden vóór de vergelijking verwijderd: een spamlink die in uw footer wordt geïnjecteerd, zal dus niet opvallen. Hetzelfde geldt voor puur visuele wijzigingen, zoals een vervangen logo-afbeelding waarbij de tekst ongewijzigd blijft.

Het is evenmin een uptime-monitor. Als uw website uitvalt, mislukken de controles in plaats van een melding te sturen, en na 10 opeenvolgende mislukkingen pauzeert de monitor automatisch en ontvangen uw beheerders een bericht. Dat is veel te traag voor een storing: behoud uw uptime-tool voor dat onderdeel.

Tussen deployments door wordt een wijziging opgemerkt bij de eerstvolgende geplande controle, zonder een gegarandeerd vast interval. Als u elke paar minuten een gegarandeerde controle nodig heeft op een cruciale pagina, kunt u bij Visualping de frequentie per pagina instellen, wat daar beter bij past. Bovendien analyseren we alleen openbare pagina's: alles achter een inlogscherm blijft ontoegankelijk.

Tot slot vertelt Page Deltas u dat er iets is gewijzigd. Het vertelt u niet hoe een aanvaller is binnengekomen: dat blijft het werk van uw beveiligingshulpmiddelen.

Begin met uw homepage

Voeg eerst uw homepage en prijspagina toe, pas de bovenstaande instructie aan met uw eigen uitsluitingsregels en stuur een testmelding naar beide kanalen. Voeg vervolgens de check-now-aanroep toe aan uw deploymentscript. Het gratis abonnement dekt 10 URL's of sitemaps met AI-filtering, alle vijf meldingskanalen en API-toegang, zonder creditcard. Begin gratis met monitoren.

Julien, Productmanager bij Page Deltas