Staging website afschermen: zo houd je je testomgeving uit Google
Een geindexeerde staging-website is de nachtmerrie van elke webbouwer. Duplicate content met je live-site, verspilling van crawlbudget en (erger) concurrenten die in je toekomstige updates kunnen kijken. Hieronder loop ik je langs de juiste aanpak om je staging- of development-omgeving buiten Google te houden.
Wat is een staging- of development-omgeving?
Een staging- of development-website is een omgeving waar je nieuwe versie van de website wordt ontwikkeld voordat hij live gaat. Vaak op een aparte domeinnaam of subdomein, bijvoorbeeld staging.kgom.nl of dev.kgom.nl.
Hier toetst je webbouwer functionaliteiten, kun jij als klant feedback geven en worden bugs gefixt. Zodra alles goedgekeurd is, wordt de inhoud overgezet naar de live-omgeving.
Waarom mag de staging niet geindexeerd worden?
- Duplicate content. Als je live-site en staging-site inhoud delen (en dat doen ze meestal), ziet Google twee versies van dezelfde pagina’s en weet niet welke te tonen.
- Crawlbudget-verlies. Op hetzelfde hoofddomein verspilt Google tijd aan staging-pagina’s. Bij grote sites betekent dat minder crawl-tijd voor je belangrijke pagina’s.
- Zichtbaarheid voor concurrenten. Als Google het vindt, kan iedereen het vinden. Je toekomstige campagnes, product-lanceringen en features worden vroegtijdig zichtbaar.
- Privacy-gevoelige content. Testdata, dummy-accounts, interne documenten — je wilt niet dat ze in de zoekresultaten belanden.
Check of je staging in Google staat
Simpele check: tik in Google in:
site:staging.domeinnaam.nl
Verschijnen er resultaten? Dan heb je een probleem. Lees verder — of stuur dit artikel door naar je webbouwer.
De twee beste methodes om staging af te schermen
Methode 1: HTTP Basic Authentication
De sterkste oplossing. Bezoekers moeten een gebruikersnaam en wachtwoord invoeren om de site te zien. Geen gebruikersnaam = geen toegang, niet voor bezoekers, niet voor Google. De site is technisch niet crawlable.
Je webbouwer stelt dit in via de webserver-config (nginx, Apache) of via je hosting-panel. Het is een eenmalige technische ingreep.
Methode 2: IP-whitelisting
Je host staat alleen verkeer toe vanuit een lijst goedgekeurde IP-adressen (kantoor-IP, IP van de webbouwer, VPN). Iemand buiten die lijst krijgt een 403-pagina te zien.
Combineer deze methode met Basic Authentication voor maximale zekerheid. Let er wel op dat je je IP’s bijhoudt — dynamische IP’s kunnen dit lastig maken.
Methodes die je beter niet gebruikt
Noindex in robots.txt (werkt niet goed meer)
Google ondersteunt de noindex-directive in robots.txt al enkele jaren niet meer officieel. En Disallow in robots.txt voorkomt crawlen maar niet indexeren (Google kan de pagina alsnog indexeren via interne of externe links). Bovendien: het robots.txt-bestand is publiek zichtbaar, dus concurrenten zien direct waar je staging-omgeving zit.
Noindex meta-tag op pagina’s
Werkt wel voor indexatie, maar Google crawlt de pagina’s nog steeds (kost crawlbudget) en concurrenten kunnen de pagina’s alsnog direct bezoeken. Alleen als tijdelijke backup-oplossing, niet als primaire afscherming.
Canonical tag verwijzend naar live
Werkt voor duplicate content-preventie, maar crawlbudget blijft verloren gaan en de staging is nog steeds publiek toegankelijk. Tegenwoordig kan Google ook canonicals negeren als de inhoud te veel verschilt.
Disallow: / in robots.txt
Voorkomt crawlen maar niet indexeren. Als Google ergens een link vindt naar je staging, komt hij toch in de index — met het bekende “Er is geen beschrijving voor deze pagina beschikbaar vanwege robots.txt”. Geen oplossing, wel een symptoom.
Pas op bij de livegang
Welke methode je ook kiest: bij het live zetten is het cruciaal dat je de afscherming verwijdert, anders bestaat je live-site niet in Google. Klassieker die ik tientallen keren heb zien misgaan:
- Site gaat live met de staging-noindex-tag er nog op.
- Twee weken later merken ze dat de organische traffic is geklapt.
- Paniek, tag verwijderen, maar rankings moeten opnieuw herstellen.
Maak een livegang-checklist waarin “noindex/robots/auth van live-site halen” op regel 1 staat. En check na de livegang direct de URL-inspectie in Google Search Console.
Als Google je staging al heeft geindexeerd
Als het kwaad al is geschied, zijn dit je stappen:
- Voeg Basic Authentication toe (stopt direct de crawl).
- Ga naar Google Search Console en gebruik de URL-verwijdering-tool om de staging-URL’s te verwijderen.
- Voeg voor de zekerheid 410-headers (Gone) toe voor alle staging-URL’s, zodat Google ze uiteindelijk definitief uit de index haalt.
Zie hoe je URLs snel uit de Google-index verwijdert voor het volledige proces. En als je breder last hebt van indexatieproblemen, zit er wellicht meer aan de hand — de vier redenen waarom Google je pagina’s niet indexeert helpt daarbij.
Wie is verantwoordelijk?
Dit is iets wat bij je webbouwer thuishoort — staging afschermen is een basisstap in elke professionele ontwikkelworkflow. Toch zie je het vaak misgaan uit haast of onwetendheid. Mijn advies: controleer zelf na elke deployment of je staging afgeschermd is, en spreek je webbouwer erop aan als het structureel niet goed gaat.
