Hoe veilig is je domein?
Een gratis check in een paar seconden: zie hoe je e-mail en website ervoor staan. Alleen openbare gegevens; er wordt niets opgeslagen.
Het formulier werkt met JavaScript. Je kunt me ook direct mailen of appen. info@kelson365.com
- Je domein ontvangt mail via {value}.
- Dit domein ontvangt geen mail. Gebruik je het ook niet om te mailen? Zet dan SPF op 'v=spf1 -all' en DMARC op 'p=reject', zodat niemand namens je domein kan mailen.
- Er staat één SPF-record dat bepaalt wie namens je domein mag mailen.
- Zonder SPF kan iedereen mail sturen die van jouw domein lijkt te komen. Voeg een TXT-record toe met de diensten die namens je mailen, bij Microsoft 365 bijvoorbeeld 'v=spf1 include:spf.protection.outlook.com -all'.
- Er mag maar één SPF-record zijn; met meer werkt SPF helemaal niet. Voeg ze samen tot één record.
- Met '+all' mag iedereen namens je domein mailen. Vervang het door '-all' (of tijdelijk '~all').
- Je SPF-record eindigt niet op '-all' of '~all'. Sluit het af, zodat ontvangers weten wat ze met andere afzenders moeten doen.
- Ontvangers weigeren of markeren mail die niet echt van jou komt.
- Zonder DMARC kunnen oplichters makkelijk mailen uit naam van je domein. Begin met 'v=DMARC1; p=none; rua=mailto:…' om rapporten te krijgen en ga daarna naar quarantine en reject.
- Je krijgt rapporten, maar valse mail wordt nog gewoon afgeleverd. Bekijk de rapporten en zet het beleid daarna op quarantine en later op reject.
- Je uitgaande mail wordt digitaal ondertekend (selector: {value}).
- Bij de gangbare namen staat geen DKIM-sleutel. Misschien gebruik je een andere naam; zo niet, zet DKIM aan bij je mailprovider (bij Microsoft 365 in de Defender-portal, bij de instellingen voor e-mailverificatie).
- Mailservers die naar jou sturen, moeten een versleutelde verbinding gebruiken.
- MTA-STS staat klaar, maar nog in de modus testing. Bekijk de TLS-rapporten en zet het daarna op enforce.
- Optioneel, wel aan te raden: met MTA-STS dwing je af dat mail naar jou versleuteld wordt afgeleverd.
- Je krijgt een rapport als versleutelde aflevering naar jou misgaat.
- Optioneel: met een TLS-RPT-record krijg je bericht als versleutelde aflevering misgaat. Hoort bij MTA-STS.
- Je DNS is ondertekend, zodat niemand onderweg valse antwoorden kan geven.
- Zet DNSSEC aan bij je DNS-provider en zet het DS-record bij je registrar. Zo kan niemand de antwoorden voor je domein vervalsen.
- Alleen de certificaatuitgevers die jij kiest, mogen certificaten voor je domein maken.
- Optioneel: met een CAA-record bepaal je welke partijen certificaten voor je domein mogen uitgeven.
- Je website heeft een werkende, beveiligde verbinding.
- Je website is niet bereikbaar via een beveiligde verbinding. Zorg voor een geldig certificaat.
- Browsers gebruiken voortaan alleen nog de beveiligde verbinding.
- HSTS staat aan, maar korter dan zes maanden. Zet max-age op minstens een jaar (31536000).
- Zet de header Strict-Transport-Security aan, zodat browsers nooit meer onbeveiligd verbinden.
- Wie http:// typt, komt vanzelf op de beveiligde site.
- Je site is ook onbeveiligd bereikbaar. Stuur al het http-verkeer door naar https.
- Via http kwam geen antwoord; dat kan prima in orde zijn.
- Je site bepaalt welke scripts en bronnen mogen laden: een sterk slot tegen ingevoegde code.
- Je site heeft een CSP, maar staat inline scripts of opmaak toe. Dat maakt de bescherming tegen ingevoegde code zwakker.
- Optioneel, wel sterk: met een CSP bepaal je welke scripts mogen laden, als extra slot tegen ingevoegde code.
- Er is geen website gevonden; de websitecontroles zijn overgeslagen.
Wat controleert de check?
De check kijkt alleen naar openbare instellingen. Het is geen pentest en zegt niets over je wachtwoorden, apparaten of de inrichting van Microsoft 365 zelf; daarvoor is het security-assessment.
Of anderen mail kunnen sturen uit naam van je domein (SPF, DKIM, DMARC) en of mail naar jou versleuteld wordt afgeleverd (MTA-STS, TLS-RPT).
Domein
Of je DNS is ondertekend (DNSSEC), zodat niemand onderweg valse antwoorden kan geven, en wie certificaten voor je domein mag uitgeven (CAA).
Website
Of je site alleen via een beveiligde verbinding werkt (HTTPS, doorsturen, HSTS) en of hij bepaalt welke scripts mogen laden (Content-Security-Policy).
Goed om te weten
Wordt mijn domein opgeslagen?
Nee. Het domein gaat alleen naar de check en wordt niet bewaard of gelogd. Om misbruik te voorkomen telt de dienst per dag hoeveel checks er vanaf één IP-adres komen, met een versleutelde vorm van dat adres die na twee dagen verdwijnt.
Mag ik elk domein checken?
Ja, de check gebruikt alleen gegevens die iedereen kan opvragen: DNS-records en de eerste pagina van de website. Er wordt niets aangepast of uitgeprobeerd.
Alles groen. Ben ik dan veilig?
Je basis is dan goed, maar de grootste risico's zitten vaak in identiteiten, apparaten en gegevens. Een security-assessment kijkt daar wel naar.
Zullen we kennismaken?
Wil je een website laten maken, of hulp bij je cloudomgeving? Stuur me een bericht.
Liever een formulier? Vul de aanvraag in