ScanZeker: gratis security scan van je domein en wat de score betekent

Hoe ziet je domein eruit voor iemand die van buitenaf kijkt? Die vraag is lastiger te beantwoorden dan hij lijkt. De informatie zit verspreid over losse tools, technische rapporten en specialistische bronnen, en wie alles bij elkaar heeft gezocht, ziet nog niet meteen welke bevindingen ertoe doen.

ScanZeker.nl is de gratis domeinscanner van Secure Audit. Je vult een domeinnaam in en krijgt binnen ongeveer een minuut een rapport over dertien beveiligingsmodules. Voor een scan heb je geen account nodig en je betaalt niets. Hieronder staat wat de scanner controleert, hoe de score tot stand komt en waar de grens ligt van wat een scan van buitenaf kan zeggen.

Wat je na een scan ziet

Elke scan levert drie weergaven van dezelfde resultaten op. Het beveiligingsrapport toont de score per module, met uitleg in gewone en in technische taal en een aanbeveling per bevinding. De risicokaart zet subdomeinen, services en bevindingen op een interactieve kaart en koppelt ze aan risicoscenario's. Het compliance-overzicht legt de bevindingen naast normen die auditors gebruiken; daarover verderop meer.

De dertien beveiligingsmodules

Twaalf modules tellen mee in de gewogen totaalscore. De dertiende, typosquat en lookalike-domeinen, heeft geen gewicht, maar trekt punten af als er iets wordt gevonden.

SSL/TLS (18% van de totaalscore) De module kijkt verder dan de geldigheid van het certificaat. Via de Qualys SSL Labs API worden protocolondersteuning (TLS 1.0 tot en met 1.3), forward secrecy, OCSP stapling en bekende kwetsbaarheden als Heartbleed, POODLE, BEAST en ROBOT getest. Is SSL Labs niet bereikbaar, dan voert ScanZeker zelf een TLS-handshake uit.

Website Headers (14% van de totaalscore) Security headers vertellen de browser hoe hij met de inhoud van je site moet omgaan. ScanZeker controleert Content Security Policy (met een effectiviteitsanalyse op onder meer unsafe-inline en wildcardbronnen), Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy en Permissions-Policy, en kijkt of er een security.txt volgens RFC 9116 staat. X-XSS-Protection telt niet meer mee, omdat moderne browsers die header niet meer gebruiken. Een CSP die alleen in report-only-modus staat, krijgt de helft van de punten. Blokkeert een WAF de directe verbinding, dan probeert de scanner het met een echte browser en daarna via Mozilla Observatory.

E-mailbeveiliging (12% van de totaalscore) E-mailspoofing is een veelgebruikte opstap voor phishing. De module controleert SPF, DKIM, DMARC, de MX-records en MTA-STS. In de kernscore weegt DMARC het zwaarst (30 van de 100 punten), gevolgd door SPF en DKIM (elk 25) en MX (20). Domeinen die geen mail versturen, worden met een apart model beoordeeld.

Server Exposure (12% van de totaalscore) Open poorten en diensten komen uit Shodan. Elke gerapporteerde poort wordt live gecontroleerd met een TCP-handshake (maximaal twintig poorten, op volgorde van risico) en bekende CVE's worden opgezocht in de NVD. Threat intelligence van AbuseIPDB en AlienVault OTX telt alleen mee als er ook een open beheer- of databasedienst is die misbruikt kan worden. Zonder die combinatie blijft het signaal informatief.

Datalekken (10% van de totaalscore) Via Have I Been Pwned en HudsonRock Cavalier wordt gecontroleerd of e-mailadressen van je domein voorkomen in bekende datalekken of op computers die besmet zijn geweest met malware die wachtwoorden steelt. Accounts van medewerkers wegen zwaarder dan die van gebruikers, omdat ze meer toegang tot de organisatie geven.

DNS-beveiliging (8% van de totaalscore) ScanZeker controleert DNSSEC via Google en Cloudflare DNS-over-HTTPS, de redundantie van nameservers, het SOA-record, CAA-records die bepalen wie certificaten voor je domein mag uitgeven, en RPKI-routevalidatie. IPv6 (AAAA-records) en DANE leveren bonuspunten op.

Subdomeinen en infrastructuur (8% van de totaalscore) Subdomeinen worden gevonden via Certificate Transparency (crt.sh en Certspotter), passieve DNS van AlienVault OTX en een woordenlijst van ruim tweehonderd veelgebruikte namen. Per subdomein kijkt de scanner naar bereikbaarheid, gevoelige namen zoals admin, staging en test, en het risico op subdomain takeover door een CNAME die naar een niet meer bestaande dienst wijst. De deep scan zet je per subdomein aan; daarin worden voor maximaal vijftien hosts ook TLS-configuratie, headers en loginpagina's gecontroleerd.

Certificaten (5% van de totaalscore) Alle certificaten die ooit voor je domein zijn uitgegeven, worden opgehaald uit de Certificate Transparency-logs. Een certificaat dat je niet herkent, kan erop wijzen dat iemand zich als jouw organisatie voordoet.

Technologie (5% van de totaalscore) Webservers, frameworks, CMS'en en WAF's worden herkend aan headers, HTML-patronen en cookies. Externe scripts worden per domein geïnventariseerd, met een controle op Subresource Integrity. Voor de kern van het CMS zoekt de scanner bekende kwetsbaarheden op in de NVD.

Cookies en privacy (4% van de totaalscore) ScanZeker opent je site in een echte browser en meet welke cookies en trackingscripts worden geplaatst voordat een bezoeker toestemming geeft. Daarnaast kijkt de module welke tracking actief is na toestemming en hoe de cookies zelf zijn ingericht: looptijd, securityflags en domeinen van derden.

Domeinbeveiliging (2% van de totaalscore) Via WHOIS en RDAP worden domeinleeftijd, registrar, DNSSEC-ondertekening en privacybescherming gecontroleerd.

Reputatie (2% van de totaalscore) Domein en IP-adres worden gecontroleerd tegen Google Safe Browsing, Spamhaus (ZEN en DBL), Barracuda, SURBL, URIBL, SpamCop en de Composite Blocking List. Een treffer bij Google Safe Browsing kost vijftig punten en zet het risico op kritiek.

Typosquat en lookalike-domeinen (geen gewicht, wel aftrek) Deze module zoekt naar geregistreerde domeinnamen die op de jouwe lijken en controleert via DNS en eventuele doorverwijzingen of ze in gebruik zijn. Elk lookalike-domein dat niet aan jouw organisatie te herleiden is, kost zes punten, en twaalf als het domein mail kan versturen.

Mogelijke aanvalspaden

ScanZeker combineert signalen uit meerdere modules tot tien mogelijke scenario's, waaronder account takeover, phishing en spoofing, een direct bereikbare database, publiek bereikbare remote access en subdomain takeover. Gelekte inloggegevens, zwakke e-mailauthenticatie en een publiek bereikbare loginpagina leveren samen bijvoorbeeld een account takeover-scenario op. Elk scenario krijgt een ernst en een advies.

Het blijven scenario's op basis van wat van buitenaf zichtbaar is. Het zijn geen bevestigde kwetsbaarheden, en ze zijn bedoeld als startpunt voor verificatie door een beveiligingsspecialist.

Hoe de score tot stand komt

De basisscore is het gewogen gemiddelde van de modulescores. Daarvan gaat een correctie af voor bevindingen die zwaarder wegen dan een configuratiekeuze, zoals een database, RDP of Telnet die vanaf internet bereikbaar is, of open beheerpoorten. Die correctie is maximaal 25 punten en staat apart van de basisscore in het rapport. De eindscore wordt vertaald naar een cijfer van A (85 tot 100) tot en met F (0 tot 39).

De score houdt rekening met context. Een beheerpoort op een hostingpaneel weegt minder zwaar dan dezelfde poort op een eigen server. Staan er meer dan tien domeinen op hetzelfde IP-adres, dan gaat het om gedeelde infrastructuur en worden poortcorrecties niet toegepast. De volledige methode en bronverantwoording vind je op https://www.scanzeker.nl/methodologie

Wat de scan betekent voor een audit

Het compliance-overzicht legt de bevindingen naast vijf kaders: ISO 27001 (Annex A), NEN 7510, NIS2 en de Cyberbeveiligingswet, de AVG en de DigiD-norm voor het ICT-beveiligingsassessment. Per norm zie je welke maatregelen een passieve scan van buitenaf kan raken en bij welke daarvan een bevinding hoort. De noemer is bewust het aantal maatregelen dat de scan kan toetsen, niet de hele norm.

Daar ligt ook de grens. Beleid, contracten, toegangsbeheer, logging en de werking van processen zijn van buitenaf niet te zien, en die onderwerpen beslaan het grootste deel van een ISO 27001-audit of een DigiD-assessment. Een groen overzicht zegt dus weinig over conformiteit. Een rode bevinding is wel bruikbaar: een verlopen certificaat, een ontbrekende DMARC-policy of een open databasepoort vindt een auditor ook, en die kun je herstellen voordat het onderzoek begint. ScanZeker noemt het overzicht zelf indicatief en geen bewijs van conformiteit of non-conformiteit. Welke onderdelen van een DigiD-assessment verder gaan dan de techniek, staat in de DigiD assessment checklist.

Privacy en opslag

Voor een scan is geen registratie nodig. ScanZeker plaatst geen cookies, gebruikt geen tracking en slaat scanresultaten niet op. Wie een maandrapport wil ontvangen, meldt zich na een scan aan met een e-mailadres; dat adres wordt alleen daarvoor gebruikt en niet gedeeld. Volgens de methodologie krijgen abonnees ook wekelijkse monitoring op nieuwe typosquat-registraties, met een melding per e-mail. Gegevens uit externe bronnen zoals Shodan en de NVD worden 24 uur bewaard in een cache, zodat dezelfde bron niet bij elke scan opnieuw wordt bevraagd.

Van scan naar opvolging

Bij elke bevinding staat een aanbeveling in gewone taal, met een indicatie of je het zelf kunt aanpassen, of dat het via je hostingprovider loopt of vastzit aan je platformkeuze. Die indicatie is informatief en telt niet mee in de score.

Hoe je bevindingen zelf nacontroleert, lees je in de handleiding domeinbeveiliging testen. Een scan van buitenaf is geen pentest; het verschil staat in pentest of vulnerability scan. Wil je ook de binnenkant laten beoordelen, zoals interne configuratie, toegangsbeheer en processen, dan doet Secure Audit dat met vulnerability scans, pentests en ISO 27001-trajecten.

Probeer het zelf

Ga naar https://www.scanzeker.nl, vul je domein in en je ziet binnen ongeveer een minuut hoe je domein ervoor staat en welke bevindingen als eerste aandacht verdienen.