Scanner voor beveiligingsheaders
Voer een webadres in. Onze server haalt de pagina één keer op en uw browser beoordeelt de beveiligingsheaders, cookies en TLS-instellingen, met een oplossing voor elke bevinding.
Onze server vraagt het adres dat u invoert één keer op en geeft de headers en certificaatgegevens terug. Er wordt niets opgeslagen.
Zo werkt de scan
Onze server vraagt het adres één keer op, zoals een browser dat zou doen, en volgt maximaal vijf doorverwijzingen. Hij controleert alleen openbare websites op de standaardpoorten en weigert private, lokale en gereserveerde adressen, ook als die via een doorverwijzing worden bereikt. Hij geeft de responsheaders en de TLS-gegevens terug; uw browser doet de beoordeling.
De beoordeling omvat Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, bescherming tegen framing, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy en de doorverwijzing van http naar https. Daarnaast signaleert de scan versienummers in headers, cookies zonder Secure, verouderde headers, oude TLS-versies en certificaatproblemen.
Zo wordt de beoordeling berekend
De controles zijn samen 100 punten waard, met aftrek voor lekken, onveilige cookies en zwakke punten in het certificaat of de TLS-instellingen. Met 85 punten of meer krijgt u een A; voor A+ zijn daarnaast HSTS met includeSubDomains, een CSP zonder zwakke punten en nul waarschuwingen nodig. Zonder HTTPS, of met een certificaat dat browsers weigeren, wordt het een F. Het overzicht onder elk resultaat laat zien waar elk punt vandaan komt.
Vragen
Wat doet uw server met het adres dat ik invoer?
Hij vraagt de pagina één keer op, leest de responsheaders en het certificaat, en stuurt die terug naar uw browser. Er wordt niets opgeslagen, en de scanner maakt zich in de User-Agent-header bekend als AngelForceScanner.
Kan ik een interne site of testomgeving scannen?
Alleen als die vanaf het internet bereikbaar is op de standaardpoorten. De scanner weigert private, lokale en gereserveerde adressen, zodat hij niet kan worden gebruikt om interne netwerken af te tasten.
Waarom is het aantal scans beperkt?
Elke scan doet echte verzoeken naar de doelsite. Daarom staan wij zes scans per tien minuten per verbinding toe: zo blijft de dienst eerlijk verdeeld en voorkomen wij misbruik.
Waarom geeft een andere scanner een andere beoordeling?
Elke scanner weegt headers anders. De bevindingen en de puntenverdeling laten precies zien wat wij hebben gecontroleerd, en dat zegt meer dan de letter.
Meer nodig dan een tool kan laten zien?
Een tool controleert één ding. Onze consultants kijken naar het geheel.
PenetratietestenGerelateerde artikelen
-
Een praktische checklist voor WordPress-beveiliging
Twaalf stappen om WordPress te beveiligen, in logische volgorde: van updates en verlaten plugins tot 2FA, XML-RPC, back-ups, bestandsintegriteit en WAF.
-
Beveiligingsheaders die ertoe doen, en welke u kunt schrappen
Gids voor CSP met nonces, HSTS en preload, frame-ancestors, Referrer-Policy, Permissions-Policy en COOP, met voorbeelden en wat u kunt schrappen.
-
Veilige bestandsuploads ontwerpen en testen
Een checklist met maatregelen voor uploadfuncties, gebaseerd op de OWASP-cheatsheet, plus een tabel met tests voor elk upload-endpoint.