Methodologie & Bronnen

We checken de instellingen die jouw webserver meestuurt bij elke pagina. Die instellingen bepalen of een browser bezoekers beschermt tegen dingen als phishing, afluisteren en klik-trucs. Als je site de bezoeker doorstuurt (bijvoorbeeld van voorbeeld.nl naar www.voorbeeld.nl en dan naar een beveiligde versie), dan checken we elke tussenstop. Krijgen we geen antwoord omdat er een beveiligingsmuur voor zit? Dan openen we jouw site via een echte browser om dezelfde informatie alsnog op te halen.

We testen grondig hoe sterk de versleuteling is tussen bezoekers en jouw website. Dat is wat het slotje in de browser betekent. Niet elke versleuteling is even veilig: oude varianten zijn gekraakt, nieuwere niet. We kijken ook of het certificaat nog geldig is, bij wie het hoort en of er bekende kwetsbaarheden zijn waarop we moeten letten.

Oplichters kunnen proberen mails te sturen die eruitzien alsof ze van jouw bedrijf komen (spoofing). We checken of je de instellingen hebt staan die dat tegenhouden. Drie maatregelen werken samen: SPF zegt welke servers namens jou mogen mailen, DKIM zet er een digitaal waarmerk op, en DMARC zegt wat er moet gebeuren als een mail die twee controles faalt. Verstuur je geen mail vanaf dit domein? Dan checken we of je dat expliciet hebt dichtgezet.

DNS is het telefoonboek van internet: het vertaalt een domeinnaam naar het adres van de server die de website draait. We checken of jouw telefoonboek-regels goed beschermd zijn. Als die beveiliging ontbreekt, kan een aanvaller bezoekers stiekem naar een nep-versie van jouw site sturen zonder dat ze het doorhebben.

Servers hebben allemaal "deuren" die open of dicht kunnen staan (poorten). Sommige deuren horen open te zijn (bijvoorbeeld voor je website), andere horen juist dicht omdat er gevoelige dingen achter zitten (databases, beheer-panelen). We kijken welke deuren er openstaan, wat erachter draait en of daar bekende problemen mee zijn. We checken ook of externe bronnen dit IP-adres al gemeld hebben als verdacht, zodat open deuren die er al in het vizier zijn zwaarder meetellen.

Elke website draait op software: een webserver (zoals nginx of Apache), vaak een CMS (zoals WordPress), een framework en soms extra tools. We kijken welke software aan de buitenkant zichtbaar is. Als je site te veel prijsgeeft over welke versie je draait, maak je het hackers makkelijker om bekende zwakke plekken te zoeken.

Een domeinnaam is geregistreerd bij een partij die het voor je beheert (de registrar). We checken hoe oud dat domein is, wie het beheert, en of er sloten op staan die voorkomen dat iemand het stiekem overneemt. Voor subdomeinen (zoals admin.voorbeeld.nl) kijken we naar de gegevens van het hoofddomein, want subdomeinen worden niet apart geregistreerd.

We vragen aan verschillende organisaties of ze jouw domein of server-adres al eerder als verdacht hebben geregistreerd: phishing, malware, spam of misbruik. Als Google, Microsoft of grote anti-spam-diensten je markeren als kwaadaardig, krijgen bezoekers waarschuwingen in hun browser en belanden je mails in de spambox. Alleen bronnen met een goede reputatie tellen mee, bekende ruisbronnen laten we bewust weg om valse alarmen te voorkomen.

Elk SSL-certificaat dat ooit voor jouw domein is uitgegeven wordt openbaar gelogd in een publiek register. We kijken welke certificaten er in dat register staan. Dat geeft een beeld van welke partijen namens jou certificaten hebben aangevraagd. Een onverwacht certificaat kan een teken zijn dat iemand anders zich probeert voor te doen als jouw organisatie.

Naast je hoofddomein (voorbeeld.nl) bestaan vaak allerlei subdomeinen (mail.voorbeeld.nl, staging.voorbeeld.nl, oud.voorbeeld.nl). Soms vergeten teams die, en vergeten subdomeinen met verouderde software zijn een bekende manier waarop aanvallers binnenkomen. We zoeken in drie publieke bronnen welke subdomeinen er bestaan, checken welke nog leven, en signaleren risico's zoals verweesde namen die iemand kan overnemen of vergeten loginpagina's. Op verzoek kun je per subdomein een diepere analyse starten waarbij we ook kijken naar TLS-config, ontbrekende security-headers, login-pagina's en wat de buitenwereld over die specifieke server weet.

Als een website (bijvoorbeeld van een leverancier) gehackt wordt, komen wachtwoorden van gebruikers vaak op straat te liggen. We kijken of e-mailadressen die eindigen op jouw domein voorkomen in bekende datalekken of op computers die besmet zijn geweest met wachtwoord-stelende malware. We maken onderscheid tussen medewerkers en klanten, omdat medewerkersaccounts vaak gevoeliger zijn voor een bedrijf dan een enkele klant.

We checken welke cookies je site plaatst vóórdat de bezoeker ergens op heeft geklikt, en welke tracking-scripts al meteen meedraaien. In Europa moet je mensen toestemming vragen voordat je tracking-cookies plaatst. We openen de site met een echte browser om precies te meten wat er gebeurt voor iemand de cookie-popup ziet of ermee interacteert.