Beveiligingsaudit voor je website

Een website kan er perfect uitzien en toch openstaan. Je merkt het pas als iemand ernaar vraagt, of als het misgaat:

• Een online scanner geeft je site een D of een F, en je weet niet wat die letters betekenen of waar je moet beginnen.

• Je klant of je IT vraagt om een security review, en niemand weet wie wat instelt: het bureau, de IT of de hosting.

• Er staat een Content Security Policy, maar met unsafe-inline. Of ze werd ooit uitgezet omdat de site brak.

• Je weet niet of je CMS en zijn pakketten nog up-to-date zijn, of welke beheerpaden publiek bereikbaar zijn.

• Een certificaat verliep een keer, en niemand zag het op tijd.

Veel van de beveiliging van een website zit niet in de code, maar in de instellingen eromheen. Daar begint een beveiligingsaudit.

Je weet waar je staat.
Per onderdeel zie je wat in orde is en wat niet, in gewone taal en met de technische details erbij.

Je sluit de bekende openingen.
Clickjacking, scripts van derden die meer mogen dan nodig, cookies die meereizen waar ze niet horen: je pakt ze aan voor iemand ze gebruikt.

Eén lijst, met per punt wie het oplost.
Wij, je IT of je hostingpartij. Geen heen-en-weer meer over wie wat moet doen.

Je doet eerst wat het meest oplevert.
Elke bevinding krijgt een ernst en een inschatting van het werk. Zo weet je wat eerst moet.

Je kunt het aantonen.
Aan je klanten, je IT of je directie: met een rapport per onderdeel, en een nieuwe meting na de aanpassingen.

Security headers

• HSTS: dwingt https af, ook bij een eerste bezoek via een oude link.

• X-Content-Type-Options, Referrer-Policy en Permissions-Policy.

• frame-ancestors of X-Frame-Options: tegen clickjacking.

• De Cross-Origin-headers.

Content Security Policy

• Is er een CSP, en is ze streng genoeg: nonces of hashes in plaats van unsafe-inline?

• Staat ze in report-only of wordt ze afgedwongen?

• Komen de rapporten ergens binnen, en leest iemand ze?

Certificaat en domein

• Certificaat, vervaldatum en protocolversies.

• Redirects naar https en naar één canonieke host.

• DNS: CAA, en SPF, DKIM en DMARC voor de mail van je domein.

Wat er voor je site staat

• CDN, WAF of firewall: hoe zijn de regels, het botbeheer en de rate limiting ingesteld?

• Worden gevoelige pagina's gecachet?

Je platform

• De versie van je CMS en zijn pakketten.

• Publiek bereikbare beheerpaden en toegelaten HTTP-methodes.

• Cookies: Secure, HttpOnly en SameSite.

• Wat foutpagina's en headers verraden, zoals de versie van je server.

Geen pentest. We proberen niet in te breken en testen de logica van je applicatie niet. We kijken naar hoe je website, je platform en wat ervoor staat, zijn ingesteld. Heb je een pentest nodig, dan zeggen we dat.

Geen malwarescan. We zoeken niet actief naar malware. Komen we sporen tegen, dan melden we het meteen.

Geen certificaat. Je krijgt een rapport dat toont waar je site staat, geen label.

Op blastic.com passen we toe wat we bij jou controleren:

• Een Content Security Policy met een nieuwe nonce bij elke pagina, zonder unsafe-inline voor scripts.

• De rapporten van die CSP komen bij ons binnen en we volgen ze op.

• HSTS met preload, en één redirect naar https en naar www.

• Alleen de HTTP-methodes die de site nodig heeft.

Benieuwd hoe jouw site ervoor staat? Vraag de gratis quickscan aan, en je krijgt dezelfde controles als pdf.

1. Gratis quickscan. We halen één URL door Mozilla Observatory, SSL Labs en ImmuniWeb en door onze eigen readiness-tool, en je krijgt het resultaat als pdf.

2. De audit. We controleren je site, je platform en wat ervoor staat, volgens de checklist hierboven.

3. Het rapport. Per bevinding de ernst, het werk en wie het oplost: wij, je IT of je hostingpartij.

4. Samen overlopen. We beslissen samen wat eerst moet.

5. Oplossen en opnieuw meten. Na de aanpassingen meten we opnieuw, zodat je ziet wat het opleverde.

We voeren de aanpassingen uit in je platform. Voor wat bij je IT of je hostingpartij ligt, werken we met hen samen, of nemen we het over.

Ook je platform zelf houden we veilig: we installeren de beveiligingsupdates en patches van Sitecore, Kentico en Umbraco, en werken de pakketten van derden bij.

Een veilige site blijft niet vanzelf veilig. Een nieuw script van een marketingtool, een release of een verlopen certificaat kan iets openzetten. Met monitoring volgen we de CSP-rapporten op en bewaken we je headers en je certificaat. Dat hoort bij hosting en support.

Elke site is anders, maar dit komen we vaak tegen:

• Een CSP die weinig tegenhoudt. Met unsafe-inline en unsafe-eval, of alleen in report-only zonder dat iemand de rapporten leest.

• Geen HSTS, of alleen voor het hoofddomein.

• Beheerpaden die publiek bereikbaar zijn, met een loginscherm voor iedereen.

• De serverversie in de headers of op een foutpagina.

• Cookies zonder Secure of SameSite.

• Geen DMARC, of DMARC op p=none, waardoor iemand mail kan sturen uit naam van je domein.

De meeste zijn instellingen: één keer goed zetten, en ze blijven goed.

Dat hangt af van hoeveel domeinen en omgevingen je hebt, van je platform en van wat er voor je site staat. Begin met de gratis quickscan. Daarna weet je waar je staat, en krijg je een voorstel op maat.