Gratis NSO-scan: hoe veilig is jouw domein?

Een mail die van je eigen bedrijf lijkt te komen, met een factuur en een nieuw rekeningnummer. Je klant betaalt, en het geld is weg. Het overkomt organisaties van elke omvang, en vaak is de oorzaak niet een gehackte mailbox, maar een domeinnaam die niet goed is ingesteld. Dan kan iedereen mail versturen die van jullie lijkt te komen.

De meeste ondernemers weten niet hoe hun domein ervoor staat. Dat is niet vreemd: de instellingen zitten verstopt in de DNS, met namen als SPF, DKIM en DMARC. Daarom hebben we de NSO-scan gemaakt. Je vult je domeinnaam in en ziet in tien seconden hoe goed je mail, website en domein beveiligd zijn.

Doe de gratis NSO-scan

Wat de scan controleert

De scan kijkt naar tien punten, verdeeld over drie onderdelen.

E-mail. Het belangrijkste onderdeel, want hier zit de grootste kans op misbruik.

• SPF: staat er vastgelegd welke servers mail mogen versturen namens jouw domein, zoals Microsoft 365?
• DMARC: wat doet een ontvanger met mail die zich voordoet als jouw domein? Weigeren, in de spam, of niets?
• DKIM: wordt je uitgaande mail digitaal ondertekend, zodat een ontvanger kan zien dat hij echt is?
• MTA-STS en TLS-rapportage: wordt mail naar jou altijd versleuteld afgeleverd, en hoor je het als dat mislukt?

Website.

• Opent je website veilig via HTTPS, met een geldig certificaat?
• Komt een bezoeker die http:// intypt vanzelf op de beveiligde versie?
• Staan de beveiligingsheaders aan, zoals HSTS? Die beschermen bezoekers tegen veelvoorkomende aanvallen.

Domein.

• Zijn de DNS-gegevens van je domein ondertekend met DNSSEC, zodat niemand ze onderweg kan vervalsen?
• Staat er een CAA-record, zodat alleen jouw eigen leverancier certificaten voor je domein mag uitgeven?

Wil je weten hoe SPF, DKIM en DMARC precies werken? Lees dan SPF, DKIM en DMARC uitgelegd.

Zo lees je de uitslag

Je krijgt een score van 0 tot 10. Niet elk punt weegt even zwaar: de mailinstellingen tellen het zwaarst, omdat daar het grootste risico zit. Per punt zie je een label:

• Goed: dit staat zoals het hoort.
• Let op: geen direct gevaar, maar hier kun je de beveiliging verbeteren.
• Risico: hier kan iemand jouw domein misbruiken. Pak dit als eerste aan.
• Info: we konden dit niet met zekerheid vaststellen. Bijvoorbeeld als je domein geen website heeft.

Bij elk punt staat in één zin wat het betekent, zonder vakjargon.

Wat we vaak tegenkomen

DMARC staat op p=none. Veel organisaties hebben DMARC wel ingesteld, maar op de stand waarin er alleen wordt gekeken. Dat is een goed begin, maar nepmail uit jouw naam wordt dan niet tegengehouden. De stap naar quarantine of reject vraagt wel voorbereiding: eerst moet duidelijk zijn welke diensten namens jou mailen, zoals je nieuwsbrief of je factuursoftware. Anders komt ook je eigen mail niet meer aan.

Geen MTA-STS. Hiermee dwing je af dat mail naar jou altijd versleuteld wordt afgeleverd. Het is minder bekend, maar met een paar instellingen geregeld.

HSTS ontbreekt. Een kleine instelling op je website die ervoor zorgt dat browsers altijd de beveiligde versie gebruiken.

Wat doen we met je gegevens?

De scan kijkt alleen naar openbare gegevens: de DNS-gegevens van je domein en de headers van je website. Je hoeft niet in te loggen, niets te installeren en we kijken niet in je systemen. De uitslag bewaren we een kwartier, zodat dezelfde scan niet steeds opnieuw alles opvraagt. Daarna is hij weg.

Je score delen

Na de scan kun je je score delen, bijvoorbeeld op LinkedIn of met je collega’s. Je downloadt een kaart met je domein en je score, of je deelt de link naar de scan. Zo kunnen anderen zelf ook kijken hoe hun domein ervoor staat.

En dan?

De meeste punten zijn op te lossen met een paar instellingen in de DNS. Bij DMARC is het verstandig om het stap voor stap te doen. Met DMARC-monitoring zie je eerst wie er allemaal namens je domein mailt, en zet je daarna de deur dicht voor nepmail.

Kom je er niet uit, of wil je dat we het voor je regelen? Klik in de uitslag op Laat NSO het oplossen. De punten die aandacht vragen, staan dan al in je bericht. We nemen binnen één werkdag contact met je op.

Scan je domein nu