HTML-viewer: HTML-bestanden online openen en bekijken

Q: Hebben scripts toegang tot mijn accounts als ik ‘Scripts uitvoeren’ aanzet?

Nee. Het kader heeft geen `allow-same-origin`, dus de code kan de cookies en opslag van deze site niet lezen, en de netwerkverzoeken zijn geblokkeerd. Scripts kunnen wel veranderen wat de pagina toont, dus laat de schakelaar uit bij bestanden die je niet vertrouwt.

Zo werkt het

Open een bestand of plak code. Sleep een .html-, .htm-, .xhtml- of .svg-bestand naar de pagina, kies er een op je apparaat of plak HTML in het tekstvak. Bestanden mogen tot 5 MB groot zijn.
Bekijk het voorbeeld. De pagina verschijnt in een afgeschermd kader. Kies telefoon, tablet of volle breedte om te zien hoe ze zich gedraagt op verschillende breedtes.
Lees het Info-paneel. Je ziet grootte, aantal regels, titel, soort document, tekenset en taal, hoeveel scripts, stylesheets, afbeeldingen, links en formulieren het bestand bevat, en met welke externe domeinen het contact zou maken.
Zet schakelaars alleen aan als het nodig is. Ziet de pagina er kaal of leeg uit, probeer dan ‘Externe bronnen laden’ of ‘Scripts uitvoeren’. Beide blijven binnen de sandbox, maar laat ze uit bij bestanden die je niet vertrouwt.

Zo werkt het voorbeeld

Een HTML-bestand is gewoon tekst die een browser omzet in een pagina. Dubbelklik je erop, dan opent je browser het met alle rechten: het kan scripts uitvoeren en van alles van internet laden. Deze viewer opent dezelfde code in een beperkt kader, zodat je eerst kunt kijken.

Afgeschermd kader. Het voorbeeld is een iframe met het attribuut sandbox en zonder allow-same-origin. Het bestand geldt als afkomstig van een onbekende herkomst en kan de gegevens en cookies van deze site niet lezen.
Content-Security-Policy. Standaard wordt bovenaan het document een beveiligingsbeleid ingevoegd. Dat blokkeert scripts en alles wat van andere sites zou worden opgehaald: afbeeldingen, lettertypen en stylesheets van internet worden niet geladen. Afbeeldingen die als data: zijn ingesloten en CSS in een <style>-blok werken gewoon.
Geen upload. Het bestand wordt in je browser gelezen met de File API. Het gaat naar geen enkele server, en met de standaardinstellingen doet het openen geen verzoeken aan derden.
Formulieren en navigatie. Formulieren kunnen vanuit het voorbeeld niet worden verstuurd, en netwerkverzoeken van scripts (fetch, XHR) blijven geblokkeerd, ook als scripts aan staan.

Omdat externe bronnen geblokkeerd zijn, kan een opgeslagen webpagina hier soberder ogen dan in een gewone browser. Dat is de bedoeling en ook nuttig: je ziet wat het bestand zelf bevat.

Het Info-paneel wordt berekend uit de brontekst met patroonherkenning, niet met een volledige HTML-parser. Zie de aantallen als een snelle samenvatting: commentaar en de inhoud van script- en style-blokken tellen niet mee bij het tellen van tags.

De twee schakelaars en wat ze veranderen

Twee schakelaars bepalen wat de pagina in het voorbeeld mag doen. Beide staan standaard uit. Wat je ook kiest, het kader blijft in de sandbox en krijgt nooit toegang tot deze site.

Externe bronnen laden	Scripts uitvoeren	Wat er gebeurt
Uit	Uit	Standaard en het veiligst. Alleen de HTML, ingesloten CSS en `data:`-afbeeldingen worden getoond. Er draait geen script en er wordt niets bij andere sites opgevraagd.
Aan	Uit	Afbeeldingen, lettertypen en stylesheets van internet worden geladen, zodat de pagina op het origineel lijkt. Je browser maakt contact met die servers, die je IP-adres kunnen zien. Er draait geen script.
Uit	Aan	Scripts in het bestand draaien, maar kunnen niets van internet laden. Handig voor een op zichzelf staand rapport met grafieken die door de eigen code worden getekend.
Aan	Aan	Scripts draaien en kunnen meer scripts en bronnen laden. Dit komt het dichtst bij een gewone browser. Gebruik het alleen voor bestanden die je vertrouwt.

Ook met scripts aan blijven verzoeken van scripts (fetch, XHR) geblokkeerd en kunnen formulieren niet worden verstuurd. Externe bronnen laden doet wel echte verzoeken aan andere servers.

Waar het handig voor is

Een nieuwsbrief met trackingpixels

Je hebt een nieuwsbrief opgeslagen als .html-bestand en wilt weten of die je volgt. Open hem met beide schakelaars uit: tekst en opmaak verschijnen, de afbeeldingen van internet niet. In het Info-paneel zie je misschien een lijst met externe domeinen, waaronder een server die een afbeelding van 1×1 pixel levert. Dat is de typische trackingpixel: laadt je mailprogramma die, dan weet de afzender dat het bericht is geopend. Jij beslist of je afbeeldingen van die afzender blijft laden.

Een onbekende HTML-bijlage

Je krijgt onverwacht een mail met factuur.html. Phishingbijlagen zijn vaak HTML-bestanden die een nep-inlogpagina tonen, bijvoorbeeld van een bank of een pakketdienst. Open je het bestand hier met scripts uit, dan kun je het lezen zonder dat er iets wordt uitgevoerd. Het Info-paneel laat zien of er een formulier in staat en naar welke domeinen het verwijst. Vraagt het om een wachtwoord, sluit het dan: typ nooit inloggegevens in een pagina die uit een bijlage komt. Een verdachte mail kun je melden bij de Fraudehelpdesk.

Een rapport uit een programma

Veel programma's exporteren rapporten, testresultaten of documentatie als één .html-bestand. Open het met scripts uit om de inhoud te controleren; ontbreken er tabellen of grafieken, zet dan ‘Scripts uitvoeren’ aan en kijk opnieuw. Met de breedtes telefoon en tablet zie je hoe het leest op een kleiner scherm.

Een SVG controleren

Een .svg-bestand is een afbeelding die als tekst is geschreven. Open het om te zien hoe het wordt weergegeven, en lees daarna de broncode om de afmetingen en de titel te controleren en te zien of het scripts of links naar andere sites bevat.

Een stukje code uitproberen

Plak een fragment, zoals een kop met wat CSS erbij, en zie het resultaat meteen, zonder een bestand te maken. Het Info-paneel herkent het als fragment en niet als volledige pagina.

Hoe veilig is het, en wat het niet doet

Een verdacht bestand hier bekijken met de standaardinstellingen is veiliger dan erop dubbelklikken, omdat er niets draait en niets wordt opgehaald. De beveiliging komt van de sandbox van de browser en de Content-Security-Policy: dezelfde mechanismen die browsers gebruiken voor elk ingesloten kader.

Het blijft een viewer, geen beveiligingsproduct.

Het is geen virusscanner. Het zoekt niet naar malware, herkent geen bekende dreigingen en geeft geen oordeel over veilig of onveilig.
Een pagina kan je nog steeds misleiden. Een nep-inlogformulier ziet er echt uit, ook als het geen gegevens kan versturen. Vul nooit wachtwoorden, kaartnummers of codes in op een pagina die je uit een bijlage hebt geopend.
Links. Klik niet op links in een voorbeeld dat je niet vertrouwt. Vraagt een pagina je iets te downloaden of te installeren, doe het dan niet.
De schakelaars veranderen het risico. Externe bronnen laden maakt contact met servers van derden; scripts uitvoeren laat de code van het bestand in de sandbox draaien.
Aantallen zijn bij benadering. Het Info-paneel vat de tekst van het bestand samen en kan dingen missen die scripts pas tijdens het draaien opbouwen.

Bestanden die je echt niet vertrouwt, open je het best helemaal niet; vraag de afzender via een ander kanaal of het bericht klopt. Houd je systeem en browser up-to-date. Twijfel je over een mail, meld hem dan bij de Fraudehelpdesk (fraudehelpdesk.nl, 088 - 7867372).

Het Info-paneel lezen

Het paneel is een checklist die je in een paar seconden leest. Het toont de grootte in bytes en het aantal regels, en verder:

Titel, soort, doctype. Het document is een volledige HTML-pagina, een SVG of een fragment. Een pagina zonder doctype kan door browsers in de zogeheten quirks-modus worden weergegeven.
Tekenset en taal. Heeft het bestand geen opgegeven tekenset, dan kunnen letters met accenten of een trema als vreemde tekens verschijnen (‘ideeÃ«n’ in plaats van ‘ideeën’). Het attribuut lang helpt schermlezers en vertaalprogramma's.
Elementen. Het aantal tags in de opmaak.
Scripts en stylesheets. Aantallen ingesloten en extern. Externe scripts zijn de gebruikelijke manier waarop een pagina code van andere sites binnenhaalt.
Afbeeldingen, links, formulieren, iframes. Snelle signalen: een formulier op een pagina die je niet verwachtte, of een iframe dat naar elders wijst, verdient aandacht.
Externe domeinen. De servers die genoemd worden in src, href, srcset, url(...) en @import. Een korte lijst bekende domeinen is normaal voor een opgeslagen webpagina; veel onbekende verdienen een betere blik.

Wil je rekenen met de datums of tijden in een geëxporteerd rapport, gebruik dan de datumcalculator.

Bronnen

WHATWG, HTML Living Standard: het iframe-element en het attribuut sandbox, waaronder het sleutelwoord allow-same-origin.
W3C, Content Security Policy Level 3: de richtlijnen script-src, default-src en form-action.
W3C, File API: bestanden lokaal in de browser lezen.
Fraudehelpdesk (fraudehelpdesk.nl): ‘Verdachte e-mail melden’ en het telefoonnummer 088 - 7867372 als eerste loket bij oplichting.

Bronnen gecontroleerd op 22 oktober 2026.

Veelgestelde vragen

Wordt mijn bestand ergens naartoe geüpload?

Nee. Het bestand wordt in je browser gelezen met de File API en getoond in een kader op je eigen apparaat. Het gaat niet naar een server.

Waarom ziet de pagina er anders uit dan het origineel?

Standaard zijn scripts en bronnen van internet geblokkeerd, dus externe afbeeldingen, lettertypen en stylesheets laden niet en inhoud die scripts opbouwen ontbreekt. Zet ‘Externe bronnen laden’ of ‘Scripts uitvoeren’ aan om dichter bij het origineel te komen, als je het bestand vertrouwt.

Is het veilig om hier een verdachte HTML-bijlage te openen?

Het is veiliger dan erop dubbelklikken, omdat met de standaardinstellingen geen script draait en niets bij andere sites wordt opgevraagd. Maar dit is geen virusscanner en het geeft geen oordeel. Vul nooit wachtwoorden of andere inloggegevens in op zo'n pagina.

Hoe zie ik met welke servers een pagina contact maakt?

Open het bestand en lees ‘Externe domeinen’ in het Info-paneel. Daar staan de servers uit links, afbeeldingen, scripts, stylesheets en CSS. Een trackingpixel in een nieuwsbrief verschijnt meestal als een onbekend domein.

Hoe groot mag een bestand zijn?

5 MB. Bij grotere bestanden plak je alleen het deel dat je nodig hebt, of maak je het bestand eerst kleiner.

Welke bestandstypen kan ik openen?

Bestanden die eindigen op .html, .htm, .xhtml en .svg, en alle HTML die je als tekst plakt. Andere formaten, zoals .mht of .pdf, worden niet ondersteund.

Hebben scripts toegang tot mijn accounts als ik ‘Scripts uitvoeren’ aanzet?

Nee. Het kader heeft geen allow-same-origin, dus de code kan de cookies en opslag van deze site niet lezen, en de netwerkverzoeken zijn geblokkeerd. Scripts kunnen wel veranderen wat de pagina toont, dus laat de schakelaar uit bij bestanden die je niet vertrouwt.

Waar meld ik een phishingmail met een HTML-bijlage?

Bij de Fraudehelpdesk, via ‘Verdachte e-mail melden’ op fraudehelpdesk.nl of telefonisch op 088 - 7867372. Gaat het om een mail namens je bank, meld het dan ook bij de bank zelf, en heb je al gegevens ingevuld, neem dan meteen contact op met je bank.

Laatst bijgewerkt op woensdag 14 oktober 2026