De staat van de bedrijfssite: 12.822 sites gemeten in 2026.

Wat we gemeten hebben

We zochten bedrijven op Google Maps, per stad, in vier branches: installateurs, zonnepanelenbedrijven, warmtepompinstallateurs en advocatenkantoren. Van 14.548 vermeldingen wees het websiteveld bij 13.557 naar een eigen domein, en niet naar Facebook, een platform of een bedrijvengids. Daarvan waren er 12.822 bereikbaar. Dat zijn de sites in dit onderzoek. We scanden ze tussen 9 juli en 28 oktober 2026 met onze eigen scan.

Per site haalden we de homepage één keer op, plus de robots.txt en de sitemap. Wat we daarin telden:

• Beveiligingsheaders: hoeveel van de zes standaardheaders de homepage meestuurt: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy en Permissions-Policy. Dezelfde zes die securityheaders.com meet.
• Snelheid: de prestatiescore op mobiel van Google PageSpeed Insights, van 0 tot 100, voor 8.466 van de 12.822 sites.
• Systeem: welk cms of framework de homepage verraadt, bijvoorbeeld via de generator-tag. Herkent de scan niets, dan staat het als onbekend.
• Vindbaarheid: of de homepage structured data (JSON-LD) heeft, of de robots.txt AI-crawlers blokkeert, of er een werkende https-verbinding is en of de pagina een viewport-tag voor de telefoon heeft.

Dit is een momentopname van de homepage. Wat er op andere pagina's staat, of wat een firewall doet, ziet deze scan niet.

Beveiliging: bijna de helft stuurt geen enkele header mee

Beveiligingsheaders zijn regels die je server met elke pagina meestuurt. Ze vertellen de browser bijvoorbeeld dat de site alleen via https mag laden, of dat een andere site hem niet in een frame mag tonen. Ze kosten niets en maken een aantal bekende aanvallen moeilijker. Wat elke header doet, lees je bij security headers.

Van de 12.822 sites stuurde 48,8% er geen enkele mee, en 81,5% hooguit twee. Alle zes had 2,7%: 345 sites.

Een header zegt niet alles: een site zonder headers is niet vanzelf gehackt, en een site met alle zes kan een lek in een plugin hebben. Maar het is het snelste teken of iemand naar de beveiliging heeft gekeken.

Snelheid op de telefoon: één op de negen is snel

Google PageSpeed Insights geeft op mobiel een score van 0 tot 100. Vanaf 90 heet een pagina snel, onder de 50 traag. Van de 8.466 sites die we zo maten, haalde 11,1% de 90. De grote meerderheid, 76,7%, zat ertussen, en 12,1% was traag.

De score is een labmeting op één moment, geen meting bij echte bezoekers. Wat echte bezoekers meten, en waarom dat voor Google telt, lees je bij Core Web Vitals.

WordPress en de rest

Op 42,8% van de sites herkende de scan WordPress. Dat is een ondergrens: bij 27,8% herkende hij geen systeem, en daar zit vast ook WordPress tussen. Daarna volgen Next.js (2,6%) en Wix (1,6%). Per branche lag het aandeel WordPress tussen 41,2% bij installateurs en 46,0% bij warmtepompinstallateurs.

Op veel WordPress-sites zagen we ook een page builder of een plugin voor snelheid in de code, zoals WPBakery of WP Rocket. Wat dat met de snelheid en het onderhoud doet, staat in welk cms systeem kies je in 2026.

Vindbaar in Google en AI

• Structured data: 60,9% heeft JSON-LD op de homepage. Dat helpt Google te begrijpen wie je bent; meer daarover bij structured data.
• AI-crawlers: 3,9% blokkeert in de robots.txt een of meer AI-crawlers, zoals GPTBot of ClaudeBot. Een blokkade in de firewall, bijvoorbeeld bij Cloudflare, ziet deze scan niet. Welke je toelaat, lees je bij AI-crawlers.
• Https: 91,0% had een werkende https-verbinding op de homepage. Bij 9,0% eindigde de scan op http of op een foutmelding.
• Telefoon: 13,3% mist de viewport-tag, de regel die een pagina op de telefoon goed laat schalen. Zonder die regel toont een telefoon de pagina als een verkleinde computerpagina.
• Chatbot: 1,1% heeft een chatbot op de homepage.

Of een site een llms.txt heeft, hebben we ook geteld, maar die meting is niet betrouwbaar: de scan telde ook foutpagina's die als gewone pagina terugkomen. Dat getal laten we daarom weg.

Per branche

De vier branches lijken sterk op elkaar. Warmtepompinstallateurs doen het op beveiliging iets beter, installateurs op snelheid; de verschillen zijn klein.

De snelheid is het gemiddelde over de sites die we met PageSpeed Insights maten: 3.965 bij zonnepanelen, 2.139 bij installateurs, 2.073 bij advocaten en 289 bij warmtepompen.

Wat dit zegt, en wat niet

• Dit zijn vier branches, gevonden via Google Maps. Het zegt iets over de gewone bedrijfssite in Nederland, maar het is geen steekproef van alle bedrijven.
• We maten alleen de homepage, één keer. Een site kan sindsdien veranderd zijn.
• De scan is van ons, en wij verkopen websites. Daarom staat hierboven precies hoe we maten, en lieten we het getal weg dat we niet konden vertrouwen.

Zo check je je eigen site

1. Beveiliging. Vul je adres in op securityheaders.com. Bij een D of F ontbreken de meeste headers. Je bouwer of hostingpartij kan ze toevoegen.
2. Snelheid. Meet je homepage op mobiel in PageSpeed Insights. Onder de 50 heet een pagina traag.
3. AI-crawlers. Open je-domein.nl/robots.txt en kijk of er GPTBot, ClaudeBot of PerplexityBot met Disallow in staat. Kijk ook in de botinstellingen van je firewall.
4. Alles in één keer. Doe onze gratis scan: beveiliging, snelheid, een SEO-check en toegang voor AI-zoekmachines, binnen een halve minuut.

Staat je site bij de 48,8% zonder headers, of bij de 12,1% die traag is? De sites die ons team bouwt, gaan live met beveiligingsscore A, anders krijg je je geld terug. Vraag je drie ontwerpen aan: je ziet ze voor je iets betaalt.