Wat controleert de domeinscan?
De scan is verdeeld in vier groepen, van je e-mail tot wat buitenstaanders over je organisatie kunnen ontdekken. De belangrijkste standaarden zijn dezelfde die de overheid (via Forum Standaardisatie) verplicht voor eigen domeinen.
E-mailbeveiliging
- E-mailprovider
- Wie je mail verwerkt. Niet bij Microsoft 365 of Google? Dan wijzen we op de MFA-plicht uit de Cyberbeveiligingswet.
- SPF, DKIM en DMARC
- Wie namens jou mag mailen, of je mail digitaal ondertekend is, en wat ontvangers met vervalste mail doen. Met
p=reject kunnen criminelen geen phishing meer vanaf jouw adres versturen.
- MTA-STS, TLS-RPT en DANE
- Dwingen af dat mail naar jou versleuteld en naar de echte server gaat, en melden je problemen daarmee.
- PTR en BIMI
- Reverse DNS van je mailservers, en (optioneel) je logo naast je e-mails.
Domein en DNS
- Registratie
- Registrar, registratiedatum, verloopdatum en transferslot (via RDAP).
- Nameservers
- Je DNS-provider en of er genoeg reserve is als een server uitvalt.
- DNSSEC
- Een digitale handtekening op je DNS, zodat niemand verkeer ongemerkt kan omleiden.
- CAA en IPv6
- Welke partijen certificaten voor je domein mogen uitgeven, en of je bereikbaar bent via het moderne internetadres.
Websitebeveiliging
- HTTPS en certificaat
- Redirect van HTTP naar HTTPS, geldigheid, keten en verloopdatum van het SSL-certificaat.
- TLS-versies en ciphers
- Of verouderde TLS 1.0/1.1 en zwakke versleuteling nog aanstaan.
- Security headers en cookies
- HSTS, Content-Security-Policy, X-Frame-Options en veilige cookie-instellingen.
- Mixed content en compressie
- Onversleutelde onderdelen op je pagina, en of je site snel en gecomprimeerd laadt.
Openbare informatie
- security.txt
- Of onderzoekers weten waar ze een beveiligingslek kunnen melden.
- Technologie
- Welke software zichtbaar is, en of er versienummers of verouderde versies te zien zijn.
- robots.txt en sitemap
- Of hierin onbedoeld interne paden of testomgevingen staan.
- Subdomeinen
- Welke subdomeinen in openbare certificaatlogs staan (zoals vpn. of webmail.), en DNS-records die naar niet meer bestaande diensten wijzen.
De score telt punten op naar belang: e-mail weegt het zwaarst (SPF, DKIM, DMARC en DANE), daarna DNSSEC, het SSL-certificaat en TLS. Onderdelen die niet van toepassing zijn, zoals mailchecks bij een domein zonder e-mail, tellen niet mee. Informatieve onderdelen zoals registratie, BIMI en subdomeinen tellen ook niet mee. Hulp nodig bij het instellen? Wij regelen het voor je, ook als je mail bij Microsoft 365 draait.
