Ik kijk daar iets anders tegenaan. Je bepaalt zelf (als eigenaar / beheerder) natuurlijk je risicobereidheid. Dus wanneer jij vindt dat bepaalde gefaalde testen in de praktijk voor jou een laag risico vormen, dan kun je dat risico voor jezelf accepteren. Internet.nl zorgt er dan in ieder geval voor dat je bewust een risico kan accepteren, zodat je het niet onbewust loopt. Maar bedenk tegelijkertijd ook dat veel risico's niet alleen voor jezelf zijn, maar juist ook voor de gebruikers van je online diensten. En deze gebruikers hebben mogelijk een afwijkende risicobereidheid. Daarom vind ik het doorgaans wel verstandig om als eigenaar/hoster je verantwoordelijkheid te nemen en te zorgen voor een veilige opzet van je dienstverlening. Het opgeven van een volledige URL heeft weinig nut, omdat veel standaarden op (sub)domeinniveau worden toegepast. Headers vormen hierop een uitzondering. HSTS dient te worden geplaatst op elke (sub)domein over HTTPS, omdat browsers dit ook per subdomein opslaan. Voor de overige ...