Waarom je static site misschien beter niet op GitHub kan draaien

Even heel eerlijk: GitHub Pages werkt gewoon. Je pusht code en plotseling staat je website online. Geen servers om te tweaken, geen CI/CD die om drie uur 's nachts kaduuk gaat, geen deployment scripts die mysterieus falen op vrijdagmiddag. Het is die soort eenvoud waardoor je vergeet dat er eigenlijk nogal wat onder de motorkap gebeurt.

Maar die handigheid komt met een prijs die de meeste developers niet zien aankomen: je legt je code, je infrastructuur en je data in Amerikaanse handen. En in 2024 is dat een stuk relevanter dan de meeste mensen denken.

De Cloud Act waar niemand over praat

De Amerikaanse Cloud Act stamt uit 2018 en geeft federale autoriteiten de bevoegdheid om Amerikaanse bedrijven te dwingen toegang te verlenen tot data — zelfs als die data fysiek op servers staat in Frankfurt, Amsterdam of Dublin. GitHub (in handen van Microsoft) en GitLab Inc. zijn allebei Amerikaanse bedrijven. Ze kunnen hier simpelweg niet onderuit.

Voordat je dit wegzet als paranoia: denk eens na over wat er daadwerkelijk in jouw repository staat.

• Binnenlandse blogposts met productaankondigingen
• Interne teamdocumentatie
• Cliëntgegevens in issues en wikis
• Deployment credentials en toegangstokens
• Toegangslogs die laten zien wie er in je projecten heeft zitten neuzen

Niksz大树 hiervan is openbaar. Maar onder de juiste — of verkeerde — omstandigheden is het technisch allemaal toegankelijk. Voor een corporate blog misschien acceptabel. Voor een startup met ongelanceerde features, een consultancy met cliëntprojecten, of wie dan ook met gevoelige broncode: dit zou je wakker moeten leggen.

Het Transparantieprobleem

Wat me het meeste stoort aan de grote platforms is de vagheid rond dataverzameling.

GitHub, GitLab en Cloudflare voldoen allemaal aan GDPR en bieden Data Processing Agreements die je kunt ondertekenen. Dat voelt geruststellend, totdat je doorhebt dat je geen flauw benul hebt wat ze daadwerkelijk loggen. IP-adressen? User agents? Tijdstemppen met locatiegegevens? De standaardvoorwaarden zijn bewust vaag, en de echte serverlogs worden je nooit getoond.

Vergelijk dat eens met kleinere aanbieders zoals statichost.eu, die volledig documenteren wat er precies op hun servers terechtkomt: geen IP-adressen, geen user agents, alleen geaggregeerde responsegroottes voor facturatie. Ze tonen zelfs een voorbeeld-logentry in hun documentatie. Zo bouw je vertrouwen.

En dan is er nog het juridische moeras van het EU-US Data Privacy Framework. Dit is de opvolger van Privacy Shield, het mechanisme waarmee Amerikaanse bedrijven dataoverdrachten vanuit Europa legitimiseren. De clou: het hele framework rust op de onafhankelijkheid van de FTC — en het Amerikaanse Hooggerechtshof heeft recent twijfel gezaaid over juist die onafhankelijkheid. De juridische basis onder trans-Atlantische dataoverdrachten verschuift. Infrastructuur in Europa op Europese servers is niet langer een nice-to-have; het wordt steeds meer de enige stabiele ondergrond.

De Val van Naadloze Integratie

GitHub Pages is zo elegant geïntegreerd dat je stopt met nadenken over "code hosting" en "website deployment" als aparte concepten. Het is gewoon... GitHub. Deze naadloze ervaring is briljante UX, maar hij creëert een verborgen afhankelijkheid.

Je bent niet opgesloten in de harde zin — migratie is technisch gezien eenvoudig. Maar als je nooit mentaal scheiding hebt aangebracht tussen deze onderdelen, optimaliseer je ze ook nooit onafhankelijk. Je accepteert wat GitHub biedt voor deployment, omdat dat nu eenmaal is hoe websites werken.

Dit is het seams-based architecture argument toegepast op infrastructuur: koppeling veroorzaakt verborgen kosten, zelfs wanneer het voelt als gemak.

Het Europese Alternatief

Hier komt het goede nieuws: static sites zijn van nature draagbaar. Het hele punt van een static site generator is dat je content simpele bestanden wordt. Hosting verplaatsen is zelden zo pijnlijk als het migreren van een database-backed applicatie.

Het opkomende alternatieve stack ziet er ongeveer zo uit:

Voor Git hosting:

Codeberg draait op Forgejo (een community fork van Gitea) en wordt beheerd door een non-profit in Berlijn. Het is gratis, volledig open source, en de infrastructuur staat in Duitsland. Voor publieke repositories en open-source projecten is het een voor de hand liggende keuze. Hun voorwaarden heten open-source werk expliciet welkom.

Codefloe is de commerciële tegenhanger — ook Forgejo-gebaseerd, maar zonder gebruiksbeperkingen. Privé repositories? Commerciële projecten? Enterprise teams? Allemaal welkom. Als je broncode niet publiek moet zijn, is dit je Europese optie.

Beide platforms spreken standaard Git. Overstappen van GitHub betekent één remote URL aanpassen. Importtools verplaatsen je volledige geschiedenis.

Voor deployment:

statichost.eu bouwt en host static sites in Europese datacenters. Koppel je repository via webhook, geef je buildproces op (ze ondersteunen Docker images, dus vrijwel elke static site generator werkt), en push om te deployen. Custom domains, SSL certificaten, het hele pakket.

De scheiding is niet alleen filosofisch — hij is praktisch. Je kunt je Git host wisselen zonder je deployment aan te raken, of je hosting migreren zonder je code te verplaatsen. Twee onafhankelijke componenten, twee onafhankelijke beslissingen.

De Overstap Maken

Als je overtuigd bent maar bang bent voor complexiteit: dit stack is echt net zo makkelijk als GitHub Pages. Zola bouwt sites in milliseconden. Codeberg of Codefloe regelt je repository. statichost.eu trekt de trigger voor builds. De developer experience is vrijwel identiek.

Het verschil? Wanneer jij slaapt, leeft je data in Europa, onder Europees recht, gelogd met Europese transparantie, en beheerd door Europese organisaties.

Voor sommige projecten is GitHub Pages prima. Voor projecten waar data-sovereignty, privacy of professionele discretie toe doen, verdient het Europese alternatieve stack serieuze overweging.

Static sites zijn per definitie draagbaar. Misschien wordt het tijd dat je infrastructuur dat weerspiegelt.