Beveiligingsscan
Zoek naar open gevoelige bestanden, verouderde software en mixed content.
Over deze tool
Veel websites worden niet gehackt via ingewikkelde aanvallen, maar via simpele fouten: een vergeten back-upbestand, een .env-bestand met wachtwoorden dat openbaar staat, of een WordPress-installatie die al jaren geen update heeft gehad. Aanvallers zoeken daar automatisch en op grote schaal naar, ook bij kleine bedrijven. Voor jou als ondernemer kan dat uitlopen op een gehackte website, gestolen klantgegevens en een datalek dat je moet melden bij de Autoriteit Persoonsgegevens.
Deze gratis beveiligingsscan kijkt passief mee: we bekijken je homepage en vragen een beperkt aantal bekende risicobestanden op, zonder iets aan te vallen of formulieren te versturen. Je ziet welke software en versies van buitenaf zichtbaar zijn, of er verouderde onderdelen draaien zoals een oude jQuery- of PHP-versie, of je pagina onveilige http-bronnen laadt en of je een security.txt hebt. Vinden we een gevoelig bestand, dan melden we alleen dat het er staat, nooit wat erin staat.
Wat we controleren
- Openbare gevoelige bestanden: .env, .git, .svn, .htpasswd, .DS_Store, databasedumps en back-ups van wp-config.php
- PHP-informatiepagina's (phpinfo) en de Apache-serverstatus
- Herkenning van CMS, websiteplatform, webserver en JavaScript-bibliotheken, met versie waar die zichtbaar is
- Verouderde software, zoals WordPress, jQuery, PHP, Drupal, IIS en OpenSSL
- WordPress: bereikbare xmlrpc.php, op te vragen gebruikersnamen en een open uploadmap
- Mixed content: scripts, stijlen en afbeeldingen die via onbeveiligd http laden
- Formulieren en inlogvelden die niet via https versturen
- Aanwezigheid van /.well-known/security.txt
Veelgestelde vragen
Is deze scan veilig voor mijn website?
Ja. De scan doet ongeveer twintig gewone verzoeken, vergelijkbaar met een bezoeker die een paar pagina's opent. We proberen niet in te loggen, versturen geen formulieren en voeren geen aanvallen uit. De verzoeken zijn herkenbaar aan de naam HeldIT-Tools.
Er is een gevoelig bestand gevonden. Wat moet ik nu doen?
Verwijder of blokkeer het bestand direct. De scan vertelt per bestand hoe dat moet. Ga er daarna van uit dat de inhoud al bekeken is: wijzig wachtwoorden en sleutels die erin stonden. Bevat het bestand persoonsgegevens, zoals een databaseback-up, dan moet je het datalek mogelijk binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Held IT kan je helpen om dit snel en goed af te handelen.
Waarom is een oude jQuery-versie een risico?
jQuery-versies van vóór 3.5.0 hebben bekende lekken waarmee een aanvaller onder bepaalde omstandigheden eigen code in je pagina kan laten uitvoeren (cross-site scripting). Die lekken zijn openbaar beschreven, dus aanvallers weten waar ze op moeten letten. Vaak zit de oude versie in een verouderd thema of plugin; bijwerken lost het dan meestal op.
Betekent een goede score dat mijn website veilig is?
Nee, het betekent dat we van buitenaf geen bekende fouten zien. Deze scan bekijkt alleen je homepage en een vaste lijst bestanden. Zwakke wachtwoorden, kwetsbare plugins zonder zichtbare versie of een ontbrekende back-up zie je hier niet. Zie het als een goede eerste controle, niet als garantie.
Wat is security.txt en heb ik het nodig?
Security.txt is een klein tekstbestand op /.well-known/security.txt waarin staat hoe beveiligingsonderzoekers een gevonden lek bij je kunnen melden. Het is niet verplicht, maar het zorgt ervoor dat een melding bij de juiste persoon terechtkomt in plaats van in een algemene inbox. Je maakt het in een paar minuten, bijvoorbeeld met de generator op securitytxt.org.
Mag ik ook de website van een ander scannen?
De scan doet niets wat een gewone bezoeker niet ook kan, maar hij is bedoeld voor je eigen website of een site waarvoor je toestemming hebt. Vind je een probleem op de website van een ander, meld het dan netjes bij de eigenaar, bijvoorbeeld via het adres in hun security.txt.