Gratis website veiligheidscheck

Wat controleert de website check?

De website check test de beveiliging van je website aan de buitenkant, zoals een bezoeker of aanvaller hem ook ziet.

Naar de gratis check

Er wordt niets aangepast en je hoeft nergens in te loggen en je hoeft ook geen gegevens achter te laten. De check kijkt naar de volgende onderdelen:

• Security headers: instructies die je website aan de browser meegeeft om aanvallen te voorkomen.
• TLS en SSL-certificaat: of de verbinding met je website veilig en versleuteld is.
• WordPress-versie: of je website op WordPress draait en of de versie zichtbaar en actueel is.
• SPF en DMARC: of je e-mailinstellingen voorkomen dat anderen mail versturen namens jouw domein.
• security.txt: of beveiligingsonderzoekers weten waar ze een lek kunnen melden.
• XML-RPC: of het WordPress-bestand xmlrpc.php openstaat voor misbruik.
• Gebruikersnamen via de REST API: of iedereen de gebruikersnamen van je WordPress-beheerders kan opvragen.

Security headers: een extra beveiligingslaag

Security headers zijn instructies die je server meestuurt met elke pagina. Ze vertellen de browser hoe die zich moet gedragen, bijvoorbeeld dat je website alleen via een beveiligde verbinding geladen mag worden of niet in een frame op een andere website mag verschijnen. Ontbreken ze, dan is je website kwetsbaarder voor aanvallen zoals clickjacking en cross-site scripting. Belangrijke headers zijn:

• Strict-Transport-Security (HSTS): dwingt een beveiligde HTTPS-verbinding af.
• Content-Security-Policy: bepaalt welke scripts en bronnen op je website mogen laden.
• X-Frame-Options: voorkomt dat je website ongemerkt in een andere website wordt getoond.
• X-Content-Type-Options: voorkomt dat browsers bestanden verkeerd interpreteren.
• Referrer-Policy: beperkt welke informatie wordt meegestuurd naar andere websites.
• Permissions-Policy: regelt de toegang tot functies zoals camera, microfoon en locatie.

TLS: is de verbinding met je website veilig?

TLS is de techniek achter het slotje in de adresbalk. Het versleutelt alle gegevens tussen je bezoeker en je website, zoals ingevulde formulieren en inloggegevens. De check controleert of je SSL-certificaat geldig is, niet bijna verloopt en of je server moderne, veilige TLS-versies gebruikt. Verouderde versies zoals TLS 1.0 en 1.1 gelden als onveilig.

WordPress: veelvoorkomende zwakke plekken

WordPress is het meest gebruikte CMS ter wereld, en daardoor ook een populair doelwit. Draait je website op WordPress, dan controleert de check drie bekende aandachtspunten:

• Zichtbare WordPress-versie: een verouderde versie bevat vaak bekende lekken. Is de versie openbaar zichtbaar, dan weet een aanvaller precies waar hij moet zoeken.
• Open xmlrpc.php: dit oude koppelbestand wordt veel misbruikt voor wachtwoordaanvallen en het overbelasten van servers. De meeste websites hebben het niet nodig.
• Opvraagbare gebruikersnamen: via het adres /wp-json/wp/v2/users zijn bij veel websites de gebruikersnamen van beheerders op te vragen. Dat is de helft van de inloggegevens die een aanvaller nodig heeft.

SPF en DMARC: bescherming tegen e-mailfraude

Zonder goede e-mailinstellingen kan iedereen e-mail versturen die lijkt te komen van jouw domein. Criminelen gebruiken dat voor phishing en factuurfraude uit naam van je bedrijf. SPF legt vast welke servers mail namens je domein mogen versturen. DMARC bepaalt wat ontvangers moeten doen met mail die niet aan die regels voldoet. Samen zorgen ze ook dat jouw eigen e-mail minder snel in de spam belandt.

security.txt: een meldpunt voor lekken

security.txt is een klein tekstbestand op je website waarin staat hoe beveiligingsonderzoekers een kwetsbaarheid aan je kunnen melden. Het is een officiële internetstandaard en wordt aanbevolen door onder meer het Nationaal Cyber Security Centrum. Zonder dit bestand weet iemand die een lek vindt niet bij wie hij terechtkan.

Wat de check niet doet

De website check is een snelle eerste scan van zaken die van buitenaf zichtbaar zijn. Hij vervangt geen volledige beveiligingsaudit. De check zoekt bijvoorbeeld niet naar malware, controleert geen verouderde plugins op de server en test geen zwakke wachtwoorden. Een groen resultaat is een goed teken, maar geen garantie dat je website volledig veilig is.

Je resultaat verbeteren

Scoort je website op een of meer punten rood of oranje? De meeste verbeterpunten zijn met de juiste kennis snel op te lossen, vaak met een paar aanpassingen in de serverconfiguratie, DNS of WordPress-instellingen. Wij helpen je daar graag bij:

1. Resultaat doornemen: we bekijken samen welke punten aandacht nodig hebben en hoe urgent ze zijn.
2. Oplossen: wij passen de headers, TLS-instellingen, DNS-records en WordPress-configuratie aan.
3. Opnieuw testen: met een nieuwe check controleren we of alles op groen staat.
4. Blijvend veilig: met onderhoud en updates blijft je website ook in de toekomst beschermd.

Is je website al gehackt of merk je vreemde dingen op? Kijk dan bij problemen oplossen.

Veelgestelde vragen over de website check

Is de website check gratis?

Ja. Je kunt de check gratis en zonder account gebruiken, zo vaak als je wilt.

Is het veilig om mijn website te laten checken?

Ja. De check bekijkt alleen openbaar beschikbare informatie, net zoals een gewone bezoeker. Er wordt niets aangepast en je website ondervindt geen hinder.

Mijn website gebruikt geen WordPress, heeft de check dan zin?

Zeker. Security headers, TLS, SPF, DMARC en security.txt zijn belangrijk voor elke website, ongeacht het platform. De WordPress-controles worden alleen uitgevoerd als WordPress wordt herkend.

Hoe vaak moet ik mijn website controleren?

Doe de check in elk geval na een verhuizing, een grote update of een wijziging bij je hostingpartij. Daarnaast is een controle per kwartaal een goede gewoonte.