Contactformulier veilig configureren op hosting: 7 fouten

Een contactformulier veilig configureren op hosting draait om drie dingen: het formulier mag geen spamrelais worden, de mail moet in de inbox aankomen en je verwerkt persoonsgegevens volgens de AVGKeurigOnline zegtAVGDe AVG (Algemene verordening gegevensbescherming) is de Europese privacywet die regelt hoe je persoonsgegevens mag verwerken.. Het lijkt het simpelste onderdeel van je site, maar het is ook een open deur. Iedereen kan er invoer in stoppen, en je server verstuurt die invoer als e-mail namens jouw domein.

Gaat dat mis, dan merk je het op drie manieren. Bots misbruiken je formulier om spam te versturen, waarna je domein op blocklists belandt. Echte aanvragen verdwijnen ongezien in de spammap. Of je laadt scripts en bewaart gegevens waar je bezoeker nooit van heeft gehoord. Hieronder vind je zeven veelgemaakte fouten, per fout de oplossing, en een testroutine waarmee je in tien minuten controleert of jouw formulier deugt.

Wat je hosting moet kunnen, en wat je zelf moet regelen

Flexahosting zette onlangs op een rij wat je hosting moet kunnen voordat je formulieren, mail en SSL gebruikt^[1]. Dat is een bruikbare lijst: SMTPKeurigOnline zegtSMTPSMTP (Simple Mail Transfer Protocol) is het protocol waarmee mailprogramma's en mailservers e-mail versturen. met authenticatie, de poorten 587 en 465, SPF, DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. en DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM., en een SSLKeurigOnline zegtSSLSSL (Secure Sockets Layer) is een beveiligingsprotocol voor versleutelde internetverbindingen.-certificaat. Zonder die bouwstenen begin je niet.

Toch zitten de meeste problemen niet in de hosting, maar in het formulier zelf. Welk adres staat er in het From-veld? Wat gebeurt er met een regelafbreking in het naamveld? Welk script laadt je captchaKeurigOnline zegtCaptchaCaptcha is een beveiligingstest die onderscheid maakt tussen mensen en geautomatiseerde programma's (bots)., en hoe lang bewaar je de inzendingen? Dat bepaal jij, of de pluginKeurigOnline zegtPluginEen plugin is een uitbreiding die je aan software zoals WordPress toevoegt om er een nieuwe functie bij te krijgen. die je installeert.

Die plugins verdienen extra aandacht. Patchstack telde in 2025 11.334 nieuwe kwetsbaarheden in het WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren.-ecosysteem, 42% meer dan in 2024. Daarvan zat 91% in plugins, en voor 46% was er nog geen fix op het moment dat het lek openbaar werd^[2]. Formulierplugins horen daar gewoon bij. Elke plugin die je niet nodig hebt, is een lek dat je niet hoeft te patchen.

Het formulier is één onderdeel van je totale beveiliging. Voor het bredere plaatje gebruik je onze website beveiliging checklist voor het mkb.

Fout 1: geen HTTPS of mixed content op je formulierpagina

Een formulier dat over HTTPKeurigOnline zegtHTTPHTTP (HyperText Transfer Protocol) is het protocol dat de communicatie tussen webclients en servers mogelijk maakt. verstuurt, stuurt namen, e-mailadressen en berichten leesbaar over het netwerk. Iedereen die het verkeer onderweg kan meelezen, zoals op een openbaar wifi-netwerk, ziet precies wat je bezoeker typt.

Alleen de pagina op HTTPSKeurigOnline zegtHTTPSHTTPS (HyperText Transfer Protocol Secure) is HTTP over een versleutelde TLS-verbinding tussen browser en webserver. zetten is niet genoeg. Controleer ook:

• de action-URL van het formulier: die moet met https:// beginnen;
• alle ingeladen scripts, stylesheets en afbeeldingen: één bestand over HTTP geeft mixed content, en browsers blokkeren dat of tonen een waarschuwing;
• de redirectKeurigOnline zegtRedirectEen redirect stuurt bezoekers automatisch door naar een andere webpagina.: zet HTTPKeurigOnline zegtHTTPHTTP (HyperText Transfer Protocol) is het protocol dat de communicatie tussen webclients en servers mogelijk maakt. permanent door naar HTTPS, zodat niemand per ongeluk op de onversleutelde versie belandt.

Zo test je het: open je formulierpagina, klik op het slotje in de adresbalk en kijk of de verbinding als beveiligd wordt aangemerkt zonder meldingen. Open de ontwikkelaarstools (F12) en zoek in de console naar "Mixed Content". Controleer het certificaat zelf, inclusief vervaldatum en keten, met sslscan.nl.

Bij KeurigOnline zit een gratis SSL-certificaat bij elk hostingpakket, dus dit is de makkelijkste fout om op te lossen.

Fout 2: het adres van de bezoeker in het From-veld

Dit is de meest gemaakte formulierfout, en de eerste oorzaak om te controleren als je contactformulier in de spam komt. Het formulier verstuurt de mail met From: bezoeker@gmail.com, zodat je in je mailprogramma meteen op "beantwoorden" kunt klikken. Handig bedacht, maar jouw server is geen Gmail-server. De ontvangende mailserver controleert het From-domein, ziet dat gmail.com jouw server niet heeft geautoriseerd en de DMARC-controle van gmail.com faalt^[4]. Gevolg: spammap of een harde weigering.

De grote mailproviders zijn hier streng in. Gmail stelt sinds 1 februari 2024 eisen aan alle afzenders: SPF of DKIM, een geldige PTR-recordKeurigOnline zegtPTR-recordEen PTR-record vertaalt een IP-adres naar een domeinnaam (reverse DNS) en is cruciaal voor e-mailbeveiliging., TLSKeurigOnline zegtTLSTLS is het standaardprotocol voor versleutelde, betrouwbare communicatie tussen client en server., een spamratio onder 0,3% en geen nagemaakte From-headers^[3]. Outlook.com stelt sinds 5 mei 2025 vergelijkbare eisen aan bulkafzenders en weigert niet-conforme mail met de foutcode 550 5.7.515^[5]. Sommige hostingproviders laten formuliermail zelfs alleen door als het From-adres op het eigen domein eindigt^[6].

De juiste headers

Zet je eigen domein in From en de bezoeker in Reply-To. "Beantwoorden" werkt dan nog steeds, want je mailprogramma gebruikt automatisch het Reply-To-adres.

# Afzender: altijd een adres op je eigen domein
From: Contactformulier <formulier@jouwdomein.nl>
# Antwoorden gaat naar de bezoeker
Reply-To: jan@gmail.com
# Ontvanger: vast in de code, nooit uit het formulier
To: info@jouwdomein.nl

Gebruik je WordPress, dan stel je dit in de plugin in. In Contact Form 7 staat het onder het tabblad "E-mail", in WPForms en Gravity Forms onder de meldingsinstellingen. Vul bij "Van" een adres op je eigen domein in en zet het e-mailveld van de bezoeker bij "Reply-To" (in Contact Form 7 via de regel Reply-To: [your-email] bij extra headers).

Fout 3: header-injectie maakt je formulier een spamrelais

Bij PHPKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. mail header-injectie misbruikt een aanvaller het feit dat mailheaders gescheiden worden door een regelafbreking (\r\n). Stop je de invoer van een naam-, onderwerp- of e-mailveld ongefilterd in de headers, dan kan een bot daar een regelafbreking plus Bcc: duizend-adressen in zetten. Jouw formulier verstuurt dan keurig zijn spam, vanaf jouw server en namens jouw domein^[7].

Het gevolg merk je pas later. Je domein en het IP-adresKeurigOnline zegtIP-adresEen IP-adres (Internet Protocol-adres) is het nummer waarmee een apparaat op een netwerk of internet bereikbaar is. van de server komen op blocklists, en daarna komt ook je gewone zakelijke mail niet meer aan.

Fout en goed in PHP

// FOUT: invoer rechtstreeks in de headers en een ontvanger uit een verborgen veld
$headers = "From: " . $_POST['email'];
mail($_POST['to'], $_POST['onderwerp'], $bericht, $headers);

// GOED: vaste ontvanger, gevalideerd adres, geen regelafbrekingen in headers
$email = filter_var($_POST['email'] ?? '', FILTER_VALIDATE_EMAIL);
if ($email === false) { exit('Vul een geldig e-mailadres in.'); }
$naam    = str_replace(["\r", "\n"], '', $_POST['naam'] ?? '');
$headers = "From: formulier@jouwdomein.nl\r\nReply-To: " . $email;
mail('info@jouwdomein.nl', 'Contactformulier: ' . $naam, $bericht, $headers);

De vier regels die je formulier dichtzetten:

• Haal \r en \n weg uit alles wat in een header of het onderwerp terechtkomt.
• Valideer e-mailadressen met filter_var(..., FILTER_VALIDATE_EMAIL); een adres met een regelafbreking erin valt dan al af.
• Zet de ontvanger hard in de code. Een verborgen veld met het ontvangstadres kan iedereen aanpassen.
• Gebruik het vijfde mail()-argument nooit met gebruikersinvoer. Dat argument gaat als parameters naar het verzendprogramma van de server en is een bekende ingang voor misbruik^[7].

Bij ons op de server zitten een uitgaande spamfilterKeurigOnline zegtSpamfilterEen spamfilter is software die binnenkomende e-mail beoordeelt en ongewenste berichten (spam) apart zet of tegenhoudt. en een dagelijkse e-maillimiet: 500 bij Start, 1.000 bij Plus en 2.000 bij Pro (zie onze webhostingpakketten). Dat beperkt de schade van een misbruikt formulier, maar vervangt geen veilig formulier. Heb je structureel meer mail nodig, lees dan wanneer een VPS of shared hosting beter past.

Fout 4: alleen validatie in de browser, geen CSRF-bescherming

Een required-attribuut of een JavaScriptKeurigOnline zegtJavaScriptJavaScript is een programmeertaal die wordt gebruikt om interactieve en dynamische websites te maken.-check zorgt ervoor dat een mens geen leeg veld verstuurt. Een bot gebruikt je formulier niet: die stuurt een POST-verzoek rechtstreeks naar je verwerkingsscript. Validatie in de browser is dus gebruiksgemak, beveiliging doe je op de server.

Controleer daarom server-side:

• verplichte velden en het type (is het e-mailadresKeurigOnline zegtE-mailadresEen e-mailadres is een uniek digitaal adres in het formaat naam@domein.nl voor het versturen en ontvangen van elektronische berichten. echt een e-mailadres?);
• de maximale lengte per veld, zodat niemand een bericht van een megabyte stuurt;
• uitvoer escapen als je inzendingen ergens toont, bijvoorbeeld in je beheerscherm, met htmlspecialchars(). Anders voert een ingestuurd script zich uit in jouw browser (XSSKeurigOnline zegtXSSXSS (cross-site scripting) is een aanval waarbij een kwetsbare website de JavaScript van een aanvaller naar bezoekers stuurt.).

CSRF-token toevoegen

Een CSRF-token bewijst dat de inzending van jouw eigen formulierpagina komt en niet van een andere site of een script dat blind post. In WordPress gebruik je daarvoor nonces (wp_nonce_field() en wp_verify_nonce()); de bekende formulierplugins doen dat al voor je. In een eigen script ziet het er zo uit:

// Bij het tonen van het formulier: token in de sessie en in een verborgen veld
$_SESSION['csrf'] = bin2hex(random_bytes(32));

// Bij het verwerken: token vergelijken, anders stoppen
if (!hash_equals($_SESSION['csrf'] ?? '', $_POST['csrf'] ?? '')) {
    exit('Verlopen formulier, laad de pagina opnieuw.');
}

Fout 5: reCAPTCHA plaatsen zonder toestemming

Google reCAPTCHA is de standaardreflex om contactformulier spam te voorkomen. Ook in lijstjes met hostingeisen staat "reCAPTCHA of hCaptcha" zonder kanttekening. Maar reCAPTCHA laadt resources van Google-servers in de VS, vaak al op het moment dat de bezoeker de pagina opent, nog voordat hij iets invult. De voorzichtige lijn is daarom om reCAPTCHA onder toestemming te laten vallen^[8].

In Duitsland wordt in dit verband een uitspraak van het Landgericht Köln van 23 maart 2023 (33 O 376/22) aangehaald tegen Google-diensten die zonder toestemming worden ingeladen^[9]. Dat is een Duits signaal en geen Nederlandse norm, maar wel een reden om reCAPTCHA AVG-technisch niet als vanzelfsprekend te zien.

Begin met een gelaagde aanpak zonder externe scripts

Voor veel kleine websites volstaat een server-side honeypot met rate limiting^[8]. Een honeypot in je contactformulier is een veld dat mensen niet zien en bots wel invullen:

<!-- Buiten beeld, niet bereikbaar met de tab-toets, genegeerd door schermlezers -->
<div style="position:absolute; left:-9999px;" aria-hidden="true">
  <label for="website">Laat dit veld leeg</label>
  <input type="text" id="website" name="website" tabindex="-1" autocomplete="off">
</div>

Combineer dat met twee checks op de server:

• Tijdscheck: slaKeurigOnline zegtSLAEen SLA (service level agreement) is een contractuele afspraak over de kwaliteit en beschikbaarheid van een dienst. bij het tonen van het formulier het tijdstip op in de sessie. Komt de inzending binnen een paar seconden binnen, dan was het geen mens.
• Rate limiting: sta per IP-adres maar een handvol inzendingen per uur toe.

// Honeypot ingevuld of te snel verstuurd: stil weigeren, de bot leert er niets van
if (!empty($_POST['website']) || time() - ($_SESSION['form_start'] ?? 0) < 3) {
    exit;
}

Daarna pas een captcha, en dan privacyvriendelijker

Wees eerlijk over de grenzen: een honeypot houdt de massa geautomatiseerde spam tegen, geen bot die speciaal op jouw site is afgesteld. Komt er dan nog veel door, kies een alternatief zoals CloudflareKeurigOnline zegtCloudflareCloudflare is een Amerikaans bedrijf dat als reverse proxy vóór websites staat en DNS, een CDN en beveiliging levert. Turnstile, hCaptcha of Friendly Captcha^[8]. Ook die verwerken gegevens, dus noem ze in je privacyverklaring. En elk extern script kost laadtijd: lees waarom websitesnelheid en SEO daar gevoelig voor zijn.

Fout 6: te veel velden, geen privacyverwijzing, inzendingen voor altijd bewaard

Een contactformulier AVG-proof maken is minder werk dan veel mensen denken. Er zijn drie punten waar het meestal misgaat.

Vraag alleen wat je nodig hebt

Voor een contactvraag heb je een naam, een e-mailadresKeurigOnline zegtE-mailadresEen e-mailadres is een uniek digitaal adres in het formaat naam@domein.nl voor het versturen en ontvangen van elektronische berichten. en het bericht nodig. Een telefoonnummer maak je optioneel. Geboortedatum, adres of bedrijfsgrootte horen er niet in, tenzij je ze echt gebruikt om de vraag te beantwoorden. Elk extra veld is een gegeven dat je moet beschermen, en een reden voor de bezoeker om af te haken.

Verwijs naar je privacyverklaring

Volgens de Autoriteit Persoonsgegevens is een duidelijke verwijzing naar je online privacyverklaring bij het formulier genoeg om aan je informatieplicht te voldoen^[10]. De grondslag voor het beantwoorden van een contactvraag is meestal gerechtvaardigd belang^[12]. Een verplicht vinkje "ik ga akkoord met de privacyverklaring" is daarvoor niet nodig. Een korte zin onder de verzendknop werkt beter: "We gebruiken je gegevens alleen om je vraag te beantwoorden. Lees onze privacyverklaring."

Ruim inzendingen op

De AVG noemt geen vaste bewaartermijn. Je bewaart persoonsgegevens niet langer dan nodig, legt je termijn vast en zet hem in je privacyverklaring^[11]. Veel formulierplugins slaan elke inzending ook op in de databaseKeurigOnline zegtDatabaseEen database is een georganiseerde verzameling gegevens die elektronisch wordt opgeslagen en beheerd., zoals Flamingo bij Contact Form 7 of de entries van WPForms. Krijg je de inzending toch al per mail, zet dat opslaan dan uit of ruim de database periodiek op.

Werk je met veel persoonsgegevens, zoals bij hosting voor een vereniging met aanmeldformulieren voor leden, dan wordt dit punt nog belangrijker.

Fout 7: PHP mail() zonder SPF, DKIM en DMARC op orde

De PHP-functie mail() geeft je bericht af aan het lokale verzendprogramma van de server, zonder in te loggen op een mailbox. Beter is geauthenticeerde SMTP: je formulier logt in met een bestaand mailadres op je eigen domein, via poortKeurigOnline zegtPoortEen poort is een nummer van 0 tot 65535 waarmee een computer netwerkverkeer naar de juiste dienst stuurt, zoals 443 voor HTTPS. 465 (SSL) of 587 (STARTTLS). Voor een SMTP contactformulier in WordPress installeer je een SMTP-plugin en vul je daar de gegevens van dat mailadres in. In eigen code gebruik je een bibliotheek zoals PHPMailer of Symfony Mailer.

// PHPMailer: inloggen op een echt mailadres op je eigen domein
$mail = new PHPMailer\PHPMailer\PHPMailer(true);
$mail->isSMTP();
$mail->Host       = 'smtp-server-uit-je-hostinggegevens';
$mail->SMTPAuth   = true;
$mail->Username   = 'formulier@jouwdomein.nl';
$mail->Password   = getenv('FORM_MAIL_PASS'); // wachtwoord niet in de code
$mail->SMTPSecure = 'ssl';
$mail->Port       = 465;

SPF, DKIM en DMARC in het kort

• SPF is een DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn.-record met de servers die namens jouw domein mogen mailen. De ontvanger vergelijkt het verzendende IP-adres met die lijst.
• DKIM zet een digitale handtekening op elke mail. De ontvanger controleert die met de publieke sleutel in je DNS en weet dan dat de mail onderweg niet is aangepast.
• DMARC vertelt de ontvanger wat hij moet doen als SPF of DKIM niet klopt voor het From-domein: niets, in quarantaine of weigeren. Je krijgt er ook rapporten mee.

Valkuilen

• Je mag maar één SPF-recordKeurigOnline zegtSPF-recordEen SPF-record is een DNS-record dat bepaalt welke mailservers e-mail mogen versturen namens een domein. per domein hebben, met maximaal 10 DNS-lookups. Daarboven faalt SPF met een permanente fout (RFC 7208, paragraaf 4.6.4). Dat gaat snel mis als je naast je hosting ook een nieuwsbriefdienst en een boekhoudpakket laat mailen.
• Gmail vraagt een DKIM-sleutel van minimaal 1024 bits, 2048 bits wordt aanbevolen^[3].

Je DNS-records beheer je bij ons in DirectAdminKeurigOnline zegtDirectAdminDirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel.. Controleer daarna met dnsscan.nl of SPF, DKIM en DMARC kloppen. Voor een webshop speelt hetzelfde op grotere schaal, met bestelbevestigingen die écht moeten aankomen: zie ons artikel over hosting voor je webshop.

Zo test je je contactformulier (en los je problemen op)

Een formulier dat een bevestiging toont, is nog geen formulier dat werkt. Loop na elke wijziging, en minstens na elke grote plugin-update, deze routine door.

Troubleshooting: symptoom, oorzaak, oplossing

Houd tot slot je formulierplugin bij. Bij de zwaarst aangevallen WordPress-lekken lag de mediane tijd tot massaal misbruik op 5 uur na bekendmaking^[13]. Automatische updates voor plugins zijn daarom geen luxe.

Checklist: contactformulier veilig configureren op hosting

• Formulierpagina en action-URL draaien op HTTPSKeurigOnline zegtHTTPSHTTPS (HyperText Transfer Protocol Secure) is HTTP over een versleutelde TLS-verbinding tussen browser en webserver., zonder mixed content.
• From is een adres op je eigen domein, de bezoeker staat in Reply-To.
• Geen \r of \n in headers, e-mailadressen gevalideerd, ontvanger vast in de code.
• Alle velden server-side gevalideerd, uitvoer geëscaped, CSRF-token of nonce actief.
• Honeypot, tijdscheck en rate limiting; een captcha alleen privacyvriendelijk en in je privacyverklaring.
• Alleen naam, e-mail en bericht verplicht, verwijzing naar je privacyverklaring, bewaartermijn vastgelegd.
• Verzending via geauthenticeerde SMTP, met SPF, DKIM en DMARC op orde.
• Getest met Gmail en Outlook, headers op "pass", en de plugin up-to-date.

Bij KeurigOnline krijg je gratis SSL, een uitgaande spamfilterKeurigOnline zegtSpamfilterEen spamfilter is software die binnenkomende e-mail beoordeelt en ongewenste berichten (spam) apart zet of tegenhoudt. en DNS-beheer in DirectAdminKeurigOnline zegtDirectAdminDirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel. bij elk pakket. Imunify360KeurigOnline zegtImunify360Imunify360 is een uitgebreide beveiligingssuite voor Linux webservers met AI-aangedreven malware scanning. is bij een VPSKeurigOnline zegtVPSEen VPS is een eigen virtuele server met meer vrijheid en flexibiliteit dan shared hosting. optioneel en niet standaard inbegrepen. Wil je het onderhoud van je WordPress-site liever uitbesteden? Ons WordPress-onderhoud Standaard (€45 per maand) bevat spam protectie, Uitgebreid (€75 per maand) ook externe SMTP voor mail. Vragen over je formulier? Mail onze support, ma-vr van 09:00 tot 21:00.

Veelgestelde vragen