Web Security Scanner

De Web Security Scanner van Tidal Control controleert een publieke website via de MDN Observatory, en leest de mailauthenticatierecords van het domein waarop de website draait. Het is de eenvoudigste integratie om in te richten, want er zijn helemaal geen inloggegevens nodig: je geeft een hostnaam op en die ene hostnaam stuurt alle tien de tests aan.

Wat deze integratie monitort

Zes tests beoordelen de host zelf, op basis van een verse scan door de MDN Observatory. Behalve de totaalscore neemt elke test het oordeel van de Observatory over één controle over. Een controle die de Observatory als geslaagd noch gezakt beoordeelt, telt als gezakt.

Host moet een MDN Observatory-score boven B hebben (score > 79): Het totaalcijfer, op basis van alle HTTP-securityheaders van de host en de HTTPS-configuratie
Host stuurt een HSTS-header met een max-age van minimaal zes maanden: Browsers die de header hebben gezien, maken geen verbinding meer via gewone HTTP
Host stuurt HTTP door naar HTTPS op dezelfde host: Een bezoeker die http:// intypt, komt op HTTPS uit
Host stuurt een Content Security Policy die geen scripts via unsafe-inline of unsafe-eval toestaat: Het beleid blokkeert geïnjecteerde inline scripts en eval()
Host stuurt X-Content-Type-Options: nosniff: Browsers raden geen ander contenttype dan de server opgeeft
Host voorkomt dat andere sites zijn pagina's in een frame laden: Bescherming tegen clickjacking, via X-Frame-Options of een CSP-directive frame-ancestors

Vier tests beoordelen het maildomein dat bij de host hoort. Dat is het registreerbare domein van de hostnaam: www.example.com en shop.example.com geven allebei example.com, en www.example.co.uk geeft example.co.uk. Hosts op hetzelfde domein delen één resultaat.

Maildomein heeft een SPF-record dat eindigt op ~all of -all: Precies één v=spf1-record, waarvan de afsluitende all ~all of -all is. Een redirect= wordt gevolgd naar het record waar die naar verwijst. Een record zonder all of redirect= valt terug op ?all en zakt, net als +all en ?all
Maildomein heeft een DMARC-record met een quarantine- of reject-beleid: Precies één DMARC-record op _dmarc.example.com, met p=quarantine of p=reject. p=none zakt, omdat dat alleen rapporteert en niets tegenhoudt
Maildomein ondersteunt DKIM-records: Het domein publiceert DKIM-sleutels onder _domainkey.example.com. Hoe de test beslist, lees je hieronder
Domein zonder mail weigert alle mail die uit zijn naam wordt verstuurd: Geldt alleen voor een domein zonder MX-records, of met een null MX (MX 0 .). Zo'n domein moet een SPF-record publiceren dat eindigt op -all en een DMARC-record met p=reject, zodat niemand mail kan versturen die van dat domein lijkt te komen. Een domein dat wel mail ontvangt, heeft hier niets te controleren en slaagt

De mailtests lezen publieke DNS, dus ze hangen niet af van of de Observatory je website bereikt. Een IP-adres, een host zonder publiek suffix of een host op het domein van een hostingplatform zoals acme.vercel.app heeft geen maildomein dat Tidal Control kan controleren, omdat je daar geen mailrecords kunt publiceren.

Hoe de DKIM-test beslist

DKIM-sleutels staan onder selectors, zoals selector1._domainkey.example.com, en DNS kan die niet opsommen. De test controleert daarom dat _domainkey.example.com bestaat en een willekeurige naam daaronder niet. Sommige DNS-inrichtingen antwoorden voor elke naam dat die bestaat, door een wildcardrecord of door de compacte ontkenning die Azure DNS, Cloudflare en Route 53 gebruiken voor ondertekende zones. Dan slaagt de test alleen als een van de gangbare selectors selector1, selector2, google, k1, s1, s2, default of dkim een sleutel bevat.

Een domein dat helemaal geen afzenders toestaat, met het SPF-record v=spf1 -all en een DMARC-beleid p=reject, verstuurt geen mail om te ondertekenen. De DKIM-test laat zo'n domein buiten beschouwing.

Vereisten

De rol Super User in Tidal Control
Een publiek bereikbare hostnaam. De Observatory scant vanaf het internet, dus een host die alleen intern bereikbaar is kan niet worden beoordeeld

Stappenplan voor de configuratie

Er is niets aan te maken in een ander systeem. Je voegt alleen de hostnaam toe.

Configuratiestappen:

Configureer de integratie in Tidal Control

Stap 1: Configureer de integratie in Tidal Control

Ga naar Instellingen → Integraties in Tidal Control
Klik op het plusicoon naast Web Security Scanner
Vul de configuratie in:
- Naam: Een beschrijvende naam, bijvoorbeeld Website
- Hostnaam: De kale hostnaam, bijvoorbeeld example.com
Klik op "Aanmaken" om de integratie op te slaan

Warning

Vul een kale hostnaam in, zonder schema. Tidal Control weigert een waarde die met https begint, dus gebruik example.com en niet https://example.com. Laat ook een eventueel pad weg.

De tests aan je maatregelen koppelen

De bibliotheek van Tidal Control koppelt de tests aan twee maatregelen. HSTS en de doorverwijzing van HTTP naar HTTPS horen bij D.08 Encryptie van data tijdens overdracht, de andere acht bij C.03 Veilige standaardconfiguratie vastgesteld. Een nieuwe organisatie krijgt deze koppelingen via de startinhoud.

Heb je de scanner gekoppeld voordat deze tests bestonden, dan worden de nieuwe tests niet automatisch aan je maatregelen gekoppeld. Een test zonder maatregel valt buiten scope en draait dus niet dagelijks. Zo koppel je ze:

Ga naar Instellingen → Integraties in Tidal Control
Open het menu op de kaart Web Security Scanner en kies Tests aan maatregelen koppelen
Het venster toont elke maatregel die tests krijgt. Klik op Koppelen om de koppelingen toe te voegen

Koppelen voegt alleen ontbrekende koppelingen toe en verwijdert er nooit een. Gearchiveerde maatregelen en maatregelen die niet uit de bibliotheek van Tidal Control komen, worden overgeslagen. Is elke test al gekoppeld, dan zie je "Geen Web Security Scanner-tests om te koppelen." Je kunt een test altijd weer van een maatregel ontkoppelen.

Configuratievelden uitgelegd

Het configuratievenster vraagt om de volgende waarden:

Naam:

Een beschrijvende naam voor deze verbinding
Bijvoorbeeld: Website, Marketingsite

Hostnaam:

De kale hostnaam die gescand moet worden, bijvoorbeeld example.com
Verplicht, en mag niet met https beginnen
Dit is het enige veld. Er is geen credential, omdat de Observatory publieke informatie scant. Het maildomein volgt uit deze hostnaam

Verificatie

De integratie werkt wanneer al het volgende waar is:

Instellingen → Integraties toont Web Security Scanner onder Geconfigureerde integraties
De tien Web Security Scanner-tests zijn beschikbaar in de sectie Tests
De scoretest toont een cijfer en score voor je host, met een link naar het volledige Observatory-rapport
De mailtests tonen je maildomein met de SPF- en DMARC-records die ze hebben gevonden

Veelgestelde vragen

Heb ik een account of API-sleutel nodig voor de Observatory? Nee. De scan gebruikt publieke informatie over een publieke host, dus er is niets om te authenticeren.

Kan ik meerdere sites scannen? Ja. Voeg per hostnaam een verbinding toe, elk met een eigen naam.

Kan de scanner een interne applicatie beoordelen? Nee. De Observatory bereikt je host vanaf het internet. Een host achter een VPN of firewall kan niet worden beoordeeld, gebruik daarvoor een handmatige maatregel.

Hoe verbeter ik het cijfer? Volg de aanbevelingen in het gekoppelde Observatory-rapport. De grootste winst zit meestal in het toevoegen van de standaard securityheaders en het afdwingen van HTTPS.

Ik heb www.example.com ingesteld. Waarom controleren de mailtests example.com? Mailadressen gebruiken het registreerbare domein, dus daar horen de SPF-, DMARC- en DKIM-records. Elke host onder example.com deelt dezelfde mailrecords.

Kan ik een ander maildomein laten controleren? Het maildomein volgt altijd uit de hostnaam. Wil je een ander domein controleren, voeg dan een verbinding toe met een hostnaam op dat domein. De zes websitetests scannen die host dan ook.

Ons domein verstuurt geen mail. Hebben we DKIM nodig? Nee. Publiceer v=spf1 -all als SPF-record en een DMARC-record met p=reject. Het domein staat dan geen afzenders toe en de DKIM-test laat het buiten beschouwing. Heeft het domein ook geen MX-record, dan slaagt de test voor domeinen zonder mail ook.

Veelvoorkomende problemen

"Host must not start with https"

Haal het schema weg. Vul example.com in, niet https://example.com

"Host is required"

Het veld is leeg. Vul de hostnaam in die gescand moet worden

De test rapporteert geen score

De host was niet bereikbaar vanaf het internet. Controleer of hij publiek resolvet en HTTPS aanbiedt

De mailtests tonen een fout in plaats van een resultaat

Een DNS-lookup liep in een time-out of de nameserver gaf een fout terug, dus Tidal Control kon de records niet lezen. Een record dat niet bestaat, is gezakt. Een lookup die geen antwoord krijgt, is een fout, zodat een test nooit een ontbrekend DMARC-record meldt omdat een resolver uit de lucht was. Voer de tests later opnieuw uit

De DMARC-test zakt terwijl je een DMARC-record hebt

Het beleid is p=none. Dat verzamelt rapporten maar laat vervalste mail door. Stap over op p=quarantine of p=reject zodra de rapporten laten zien dat je eigen mail slaagt
Er staan twee DMARC-records op _dmarc. Houd er één over

De SPF-test zakt terwijl je een SPF-record hebt

Het record eindigt op ?all of +all, of heeft helemaal geen all. Laat het eindigen op ~all of -all
Het domein heeft twee v=spf1-records. Voeg ze samen tot één

De SPF- en DMARC-test zakken zonder een domein te tonen

Geen van je hosts heeft een maildomein om te controleren, bijvoorbeeld omdat de enige host een IP-adres of acme.vercel.app is. Voeg een verbinding toe met een hostnaam op je eigen domein, of ontkoppel deze tests van de maatregel

De test voor domeinen zonder mail zakt op een domein dat geen mail verstuurt

Het domein heeft geen MX-record, maar iedereen kan nog steeds mail versturen die van dat domein lijkt te komen. Publiceer v=spf1 -all en een DMARC-record met p=reject

De DKIM-test zakt terwijl je mail wel ondertekend is

Je DNS antwoordt voor elke naam onder _domainkey, en je mailprovider gebruikt een selector buiten de gangbare lijst. Stuur de selector die je provider gebruikt naar support

Kom je er niet uit?

Stuur een e-mail naar support@tidalcontrol.com, dan nemen we zo snel mogelijk contact met je op.

Info

Verzamel supportinformatie: Noteer welke browser je gebruikt, de exacte foutmeldingen en welke stappen je al hebt geprobeerd. Dat versnelt de oplossing aanzienlijk.