Open standaarden

Forum Standaardisatie houdt een lijst bij van open standaarden voor de overheid. Een deel is verplicht volgens het principe "pas toe of leg uit", de rest wordt aanbevolen. Een organisatie die software inkoopt, kan vragen aan welke daarvan de software voldoet.

Op 15 oktober 2026 hebben we pdf-toegankelijk.nl en de tool getoetst aan 15 van die standaarden: voor webhosting, voor API's en voor webapplicaties. Per standaard staat hieronder wat we zagen en hoe we het hebben gemeten.

De uitslag in het kort

Voldoet: 12 standaarden. IPv6 voldoet sinds de middag van 15 oktober.
Deels getoetst: Digitoegankelijk, de standaard voor WCAG. Alleen automatisch getoetst, het handmatige onderzoek loopt nog.
Niet van toepassing: OpenAPI en de REST API design rules, want de tool heeft geen publieke API.

Zes dingen vonden we tijdens de toets en hebben we meteen opgelost:

security.txt ontbrak.
Het adres met www gaf geen HSTS mee.
Een technische beschrijving van alle adressen in de tool stond openbaar, terwijl er geen publieke API is.
Tijden in de JSON hadden geen tijdzone.
Eén stylesheet had een fout.
Tekst in de illustratie op de startpagina had weinig contrast.

Webhosting

DNSSEC

Voldoet. Verplicht, pas toe of leg uit.

De domeinnaam is ondertekend en de sleutel staat geregistreerd bij SIDN, de beheerder van .nl. Een resolver die DNSSEC controleert, keurt de antwoorden goed.

HTTPS en HSTS

Voldoet. Verplicht, pas toe of leg uit.

Een bezoek over HTTP sturen we door naar HTTPS. Elk antwoord over HTTPS zegt met HSTS dat je browser de site een jaar lang alleen via HTTPS opent, ook voor de subdomeinen. De doorverwijzing van www.pdf-toegankelijk.nl gaf die kop nog niet mee. Dat hebben we op 15 oktober opgelost.

TLS

Voldoet. Verplicht, pas toe of leg uit.

De server spreekt TLS 1.3 en TLS 1.2. Een verbinding met TLS 1.0 of 1.1 weigert hij. Bij TLS 1.2 accepteert hij drie versleutelingen: ECDHE-ECDSA met AES-256-GCM, met AES-128-GCM en met ChaCha20-Poly1305. Het certificaat komt van Let's Encrypt en gebruikt een ECDSA-sleutel.

De websitetest van internet.nl toetst de verbinding aan de TLS-richtlijnen van het NCSC. Volgens die test is de verbinding voldoende beveiligd. Eén hashfunctie voor de sleuteluitwisseling raadt internet.nl aan op termijn uit te zetten.

IPv6 en IPv4

Voldoet. Verplicht, pas toe of leg uit.

De site is bereikbaar via IPv4 en via IPv6. Bij de toets in de ochtend van 15 oktober stond het IPv6-adres nog niet in de DNS. Sinds de middag staat het er, voor pdf-toegankelijk.nl en voor www.pdf-toegankelijk.nl. De websitetest van internet.nl kon daarna beide adressen via IPv6 bereiken, en zag via IPv6 dezelfde site als via IPv4.

API's

De tool heeft geen publieke API. De schermen halen wel gegevens op als JSON, bijvoorbeeld de stand van een reparatie, en je kunt de lijst met problemen downloaden als JSON. Daarop hebben we de standaarden getoetst die erover gaan.

OpenAPI

Niet van toepassing. Verplicht, pas toe of leg uit.

Er is geen API voor andere software, dus er is ook niets om met OpenAPI te beschrijven.

REST API design rules

Niet van toepassing. Verplicht, pas toe of leg uit.

Om dezelfde reden: er is geen publieke API.

ISO 8601 voor datum en tijd

Voldoet. Aanbevolen.

Tijden in de JSON staan in ISO 8601: in de stand van een reparatie, in de stand van een export en in de lijst met problemen. Tot 15 oktober stond de tijdzone er niet bij, terwijl de tijd in UTC was. Nu staat er +00:00 achter, zodat een script de tijd niet als lokale tijd leest.

UTF-8

Voldoet. Aanbevolen.

Pagina's, stylesheets en tekstbestanden komen met de tekenset UTF-8 in de kop van het antwoord. JSON is volgens de eigen standaard altijd UTF-8.

URI

Voldoet. Aanbevolen.

Elk document in de tool, elk verslag van de gratis controle en elke download heeft een eigen adres.

JSON

Voldoet. Aanbevolen.

Gegevens die software uitleest, geven we als JSON. De lijst met problemen kun je daarnaast als CSV downloaden. Alleen de sitemap voor zoekmachines is XML, want dat schrijft het sitemapprotocol voor.

security.txt

Voldoet. Verplicht, pas toe of leg uit.

Vind je een kwetsbaarheid, dan staat in ons security.txt-bestand hoe je die meldt. Het bestand ontbrak bij de toets en staat er sinds 15 oktober.

Webapplicaties

HTML

Voldoet. Aanbevolen.

We hebben alle openbare pagina's door de HTML-validator van W3C gehaald: de 25 pagina's uit de sitemap en het inlogscherm. Geen enkele pagina gaf een fout of een waarschuwing.

CSS

Voldoet. Aanbevolen.

Van de drie stylesheets waren er twee foutloos volgens de CSS-validator van W3C. In de derde sloot het laatste blok niet. Browsers vingen dat op, dus je zag er niets van. De fout is opgelost.

SVG

Voldoet. Aanbevolen.

Iconen staan als SVG in de pagina. Ze zijn versiering en daarom verborgen voor schermlezers. Het icoon in het tabblad van je browser is ook een SVG, en dat bestand is foutloos volgens de validator van W3C.

Digitoegankelijk (EN 301 549 met WCAG 2.1)

Deels getoetst. Verplicht, pas toe of leg uit.

We hebben dezelfde 26 pagina's automatisch getoetst met axe-core, met de regels voor WCAG 2.2 niveau A en AA. Daar zitten de criteria van WCAG 2.1 in. axe-core meldde op de startpagina een contrast van 4,14:1 in de illustratie. Die tekst is versiering, maar we hebben de kleur toch lichter gemaakt. Op de andere pagina's vond axe-core niets.

Een automatische toets vindt maar een deel van de toegankelijkheidsfouten, en de schermen achter de inlog hebben we deze keer niet getoetst. De andere hoofdstukken van EN 301 549 vielen ook buiten de toets. We zeggen daarom niet dat de tool aan WCAG voldoet. Daarvoor is een handmatige audit nodig. Proper Access onderzoekt alle pagina's van de website en van de tool, ook achter de inlog. Het onderzoek is op 15 oktober 2026 gestart en wordt op 23 oktober 2026 afgerond. De stand lees je op de pagina Digitale toegankelijkheid.

Hoe we hebben gemeten

DNS en DNSSEC: dig en delv, tegen de servers van .nl en tegen een openbare resolver.
HTTPS, HSTS en TLS: curl en OpenSSL 3.6.4, met elke TLS-versie en elke versleuteling apart.
IPv6: de DNS met dig, en de bereikbaarheid met de websitetest van internet.nl.
TLS volgens de richtlijnen van het NCSC: de websitetest van internet.nl, versie 1.11.5.
HTML en SVG: de Nu Html Checker van W3C, versie 26.10.12.
CSS: de CSS-validator van W3C.
WCAG: axe-core 4.10.3 in Chrome.

Wil je de uitvoer van de metingen zien, of heb je een vragenlijst van je eigen organisatie? Mail info@properaccess.nl.