Hoe veilig is jouw domein?

Werk je bij de overheid of in het onderwijs, dan ken je de toets op open standaarden van internet.nl. Die is daar een verplicht kader, hij is gratis en hij meet precies wat het Forum Standaardisatie op de pas-toe-of-leg-uit-lijst heeft gezet. Sta je daar op honderd procent, dan is dat een echte prestatie en geen formaliteit. Deze scan neemt die basis mee, en kijkt daarna verder.

De overlap is geen verspilling. TLS, DNSSEC, IPv6, SPF, DKIM, DMARC, DANE en de gangbare beveiligingsheaders komen in beide uitkomsten terug, en dezelfde meting van twee kanten bevestigd is prettiger dan één meting die je moet geloven. Het verschil zit in reikwijdte, niet in strengheid: een standaardentoets kijkt of je de afgesproken standaarden voert, en de categorieën hieronder gaan over configuratiefouten en vergeten resten. Die staan in geen enkele standaard, want niemand zet ze bewust aan.

Bovenop dus, en niet ernaast. Haal de score die je toch moet halen, en gebruik deze scan voor de laag eronder. Een deel van wat hier staat telt niet mee in het cijfer, om de reden die in de volgende sectie staat; minder belangrijk is het daarmee niet.

• Blootgestelde paden. Een publiek bereikbare .git-map, een .env-bestand met sleutels erin, een vergeten backup of een open directory listing. Dit zijn geen ontbrekende maatregelen maar weggegeven materiaal, en het is doorgaans het eerste dat je oplost.
• Cookie- en contentbeveiliging. De Secure-, HttpOnly- en SameSite-vlaggen op je cookies, een Content-Security-Policy die unsafe-inline nog toestaat, de TRACE-methode die aanstaat en een serverbanner die je exacte versienummer prijsgeeft. Het verschil tussen een header hebben en hem goed hebben staan.
• Afspraken rond mailtransport. MTA-STS en TLS-RPT: het beleid dat afdwingt dat mail aan jou versleuteld wordt afgeleverd, en het rapportagekanaal dat je vertelt wanneer dat misgaat. Ze staan naast SPF, DKIM en DMARC en vervangen die niet.
• DNS-hygiëne. Een zone-transfer die voor iedereen openstaat en dus je hele naamgeving weggeeft, een wildcard-record waardoor elk verzonnen subdomein bestaat, en vermeldingen van je domein of je IP-adres op publieke blocklists.
• Subdomeinen. Via certificaattransparantie en de meest voorkomende naamsvarianten spoort de scan hosts op die bij je domein horen, en beoordeelt die apart. De vergeten testomgeving en de oude campagnesite zitten zelden in het overzicht waar je zelf naar kijkt.

Het percentage bovenaan je resultaat is een gewogen cijfer, geen optelsom. Van de 44 categorieën tellen er 22 mee in de score. Een ontbrekende TLS-basis of een DMARC-beleid dat op none staat kost veel; een ontbrekende Permissions-Policy kost weinig. Zo blijft het cijfer vertellen hoe erg iets is, en niet alleen hoeveel er misgaat.

De andere 22 categorieën staan onder Aanvullende bevindingen. Ze tellen niet mee omdat ze niet voor elk domein van toepassing zijn of omdat er geen betrouwbaar goed of fout van te maken is van buitenaf. Ze zijn daarom niet minder belangrijk: een blootgestelde .git-map staat in dat blok en is doorgaans het eerste dat je moet oplossen.

Wat de score niet zegt: dat je voldoet aan ISO 27001 of NIS2. De scan meet de buitenkant van één domein op één moment. Beleid, rollen, leveranciersafspraken, incidentafhandeling en de vraag of je maatregelen ook worden nagekomen zitten er niet in. Honderd procent is een goed startpunt en geen certificaat. Andersom geldt ook: een lage score betekent niet dat je organisatie onveilig is, wel dat er publiek zichtbaar werk ligt.

Een niet-getest resultaat is precies dat. Bij een tijdelijk onbereikbare resolver of een dienst die de scanner van buitenaf niet kan beoordelen rapporteren we niet getest in plaats van goed of fout, zodat het cijfer niet vals positief wordt.

Elke check klapt uit naar drie vragen: wat is het, wat betekent het en wat kun je eraan doen. Die uitleg is bedoeld voor de persoon die het moet oplossen, dus met de naam van het record of de header erbij in plaats van een abstracte aanbeveling.

Het volledige rapport als PDF mailen we naar een adres op het gescande domein. Die beperking is bewust: zo weten we dat het rapport bij de beheerder van dat domein terechtkomt en niet bij een willekeurige derde. De PDF is bruikbaar als bijlage bij een leveranciersgesprek, als agendapunt in een overleg of als nulmeting voordat je aan een traject begint.

Werk je in het platform, dan is de scan geen losse tool meer. Elke geslaagde check wordt automatisch als bewijs gekoppeld aan de bijbehorende controls van de kaders die jouw organisatie voert, inclusief de dekkingsstatus die daaruit volgt. Een wekelijkse herhaling houdt dat bewijs vers, zodat een verlopen certificaat of een gewijzigd DNS-record opvalt voordat je auditor erover begint.

Wil je verder kijken dan je hoofddomein, dan spoort de subdomein-scan bekende hosts op via certificaattransparantie en de meest voorkomende naamsvarianten. Subdomeinen tellen niet mee in de score van je hoofddomein, want een vergeten testomgeving zegt iets anders dan je productiesite. Ze staan er wel bij, want in de praktijk zit daar het meeste losse eind.