Hoe ziet uw website er van buitenaf uit?
Elke prospect stelt die vraag vroeg of laat. Nu beantwoordt u hem in het eerste gesprek, voor de websites van elke klant, met de header, statusregel of het certificaatveld achter elke bevinding. De controles blijven binnen een bewust smalle grens: wat elke browser kan zien, en niet meer.
Kom binnen met bewijs, niet met een mening.
De website van een klant is het deel van de omgeving dat het hele internet kan zien. Web Exposure maakt daar per site een concreet, onderbouwd beeld van, zodat het gesprek begint bij wat de site werkelijk serveert en niet bij een algemene checklist.
Beantwoord het aan tafel
Voeg de website van een klant toe en start een scan op aanvraag. Daarna wordt hij elke 24 uur gecontroleerd, en kunt u hooguit eens per 10 minuten om een nieuwe scan vragen.
Bewijs in elke bevinding
Elke bevinding citeert de header, statusregel of het certificaatveld dat hem veroorzaakte, met de oplossing erbij. De technicus weet wat er moet veranderen, en de klant ziet waarom.
Eén cijfer per site
Elke website krijgt een cijfer van A tot F dat alleen uit de open bevindingen volgt. Een samenvatting die een klant begrijpt, onderbouwd met bevindingen waar een technicus mee aan de slag kan.
Hij controleert wat elke browser ziet. Verder niets.
Het passieve niveau wordt bepaald door wat het niet doet. Daardoor is het verantwoord om het te draaien op een site die u niet zelf host, en eenvoudig uit te leggen aan de klant van wie die site is.
Een website wordt pas gecontroleerd als iemand hem toevoegt. Kandidaten worden voorgesteld op basis van het websiteveld van de klant, certificaatmonitors en dark-web-domeinen, en worden nooit vanzelf toegevoegd.
TLS- en HTTP-bevindingen, elk met het bewijs erbij.
Het gaat om bevindingen die u daadwerkelijk oplost in de configuratie van een webserver of CDN. Ontbrekende beveiligingsheaders komen binnen als één gebundelde bevinding, omdat ze met één configuratiewijziging zijn opgelost en vijf losse risico's het register zouden ondersneeuwen.
- Certificaten: verlopen of verloopt binnen 14 dagen, een certificaat dat de hostnaam niet noemt, een onbetrouwbare keten, een zwakke sleutel
- Protocollen: verouderde TLS nog geaccepteerd, HTTPS geweigerd terwijl HTTP wel content serveert, geen redirect van HTTP naar HTTPS
- Beveiligingsheaders: HSTS en de max-age, Content Security Policy, bescherming tegen clickjacking en nosniff, samen als één bevinding
- Cookies zonder Secure, en sessiecookies zonder HttpOnly
- Versienummers die zichtbaar zijn in de Server- of X-Powered-By-header, vastgelegd als informatieve notitie
- Elke bevinding citeert de header, statusregel of het certificaatveld dat hem veroorzaakte, en vertelt hoe u het oplost
Gescoord zoals elk ander risico. Nooit gedempt op hostnaam.
Elke bevinding boven informatief wordt een risico met een eigen bron, Externe scan, gekoppeld aan de website en de controle zodat het nooit dubbel voorkomt. Het wordt gescoord zoals elk ander risico in het platform en gaat weer open als de bevinding terugkomt.
Geen dagelijks geflikker
Een bevinding moet in twee opeenvolgende scans ontbreken voordat hij sluit, zodat een WAF, een onderhoudspagina of een cachemiss niet elke dag een risico opent en weer sluit.
Afwijzingen blijven eerlijk
Een risico dat als false positive is gemarkeerd blijft afgewezen, tenzij de bevinding terugkomt onder een nieuwere versie van de controle. Wordt een controle scherper, dan worden oude afwijzingen opnieuw beoordeeld.
Geen uitzonderingslijst op hostnaam
Niets wordt ooit onderdrukt op hostnaam. Een site verdwijnt niet stilletjes uit beeld omdat iemand hem ooit lastig vond.
Diepere controles, alleen met bewijs van beheer.
Sommige blootstellingen ziet u pas als u vraagt naar een pad waar de site nooit naar linkte, zoals een blootgestelde .git-map of een vergeten back-up. Precies daarvoor bestaat toestemming, dus dit niveau heeft twee sloten: de klant toont aan het domein te beheren, en platformpersoneel zet de controles voor die klant aan. Standaard staat het uit.
- Bewijs van beheer via een DNS TXT-record, dat alle subdomeinen dekt, of via een bestand in de well-known-map van de site
- Elke 30 dagen opnieuw gecontroleerd. Mislukt dat twee keer op rij, dan valt de site terug op passieve controles en vertelt de pagina waarom
- Elke verificatie wordt gelogd, samen met de gebruikte methode
- Elke controle bevestigt een blootstelling op inhoud, nooit op statuscode. Een host die op elk pad 200 antwoordt, wordt als zodanig vastgelegd in plaats van gemarkeerd
- Hooguit 40 verzoeken per scan, elk één GET of POST, zonder payloads
- De inhoud van een blootgesteld bestand wordt nooit opgeslagen: alleen dat het werd geserveerd, de grootte, en een eerste regel met elke waarde gemaskeerd
Zwak bewijs wordt als zwak bewijs benoemd.
Een versiebanner en een poortenlijst zijn nuttige context, maar geen van beide is zo sterk als wat een agent van binnenuit op een apparaat leest. Het platform behandelt ze daar ook naar.
Bannerversies, hooguit ter review
Een versie die een site prijsgeeft in de generator-tag of de Server- of X-Powered-By-header wordt aan CVE's gekoppeld met dezelfde regels als de device-engine. De match blijft hooguit op review staan en wordt nooit automatisch geaccepteerd, en komt nog lager uit als de banner een distributiebuild noemt waarin de leverancier de fix mogelijk heeft teruggezet.
Misbruikte CVE's worden nooit verborgen
Een bannermatch onder de reviewdrempel blijft een bevinding zonder risico, tenzij bekend is dat de CVE actief wordt misbruikt of de EPSS-score hoog is. Die komen altijd boven, met de titel mogelijk kwetsbaar en de banner geciteerd.
Poorten, zonder poortscan
Elke site toont welke poorten het internet op zijn adres kan bereiken, op basis van de Shodan-data die de threat feed al ophaalt. Het platform scant nooit poorten. Hoort het adres bij een CDN, dan zegt de pagina dat en toont geen poorten, omdat die van het CDN zouden zijn. Zonder Shodan-sleutel vertelt de kaart wat er ingesteld moet worden.
Van één site tot het hele portfolio.
De bevindingen blijven niet op een scannerpagina hangen. Ze komen terecht in de rapporten die uw klanten lezen en in het overzicht van waaruit u uw portfolio beheert.
- Risicosamenvattingen en managementsamenvattingen bevatten een Web Exposure-tabel: site, cijfer, niveau en open bevindingen per ernst
- Het partnerportfolio heeft een kolom Web met het slechtste cijfer van elke klant
- Certificaatmonitoring wijkt voor de websitecontrole op dezelfde hostnaam, zodat een verlopend certificaat één risico is en geen twee
- Per klant aan te zetten. Zet u het uit, dan stoppen de scans en blijven bevindingen en instellingen bewaard tot het weer aan gaat
Veelgestelde vragen
Is dit een penetratietest?
Nee. Een penetratietest probeert binnen te komen, binnen een afgesproken scope. Web Exposure controleert wat elke browser of TLS-client al kan zien, en vraagt in het geverifieerde niveau een vaste lijst paden op die nooit openbaar zouden mogen zijn. Hij stuurt nooit een payload, verstuurt nooit een formulier en logt nooit in.
Gaat onze WAF erop af, of belast het de site?
Het passieve niveau doet hooguit zes verzoeken per site per dag, wacht een seconde tussen verzoeken en maakt zich bekend. Antwoordt de site met 429 of 503, dan stopt hij voor die dag. Een WAF of onderhoudspagina kan bevindingen ook niet laten flikkeren, want een bevinding sluit pas na twee schone scans op rij.
Hebben we toestemming van de klant nodig?
Het passieve niveau controleert alleen wat elke browser ziet op een hostnaam die de klant publiceert. Het geverifieerde niveau is anders: dat vraagt paden op waar de site nooit naar linkte, en vereist daarom bewijs dat de klant het domein beheert, via een DNS-record of een bestand op de site. Platformpersoneel zet het vervolgens per klant aan. De scope vooraf met uw klant afstemmen is in beide gevallen verstandig.
Welke websites worden gecontroleerd?
Alleen de websites die u toevoegt. Het platform stelt kandidaten voor op basis van het websiteveld van de klant, certificaatmonitors en dark-web-domeinen, maar voegt nooit zelf een site toe.
Vervangt dit de agent?
Nee. De agent ziet een apparaat van binnenuit; Web Exposure ziet de gepubliceerde websites van een klant van buitenaf. Beide voeden hetzelfde risicoregister en worden op dezelfde manier gescoord.
Hoe wordt het gelicentieerd?
Web Exposure is inbegrepen in Standard, met 5 websites per klant. Voor extra websites geldt een kleine maandelijkse vergoeding, vermeld op de prijzenpagina. Het wordt per klant aangezet, zodat u zelf bepaalt voor welke klanten het draait.
Neem het buitenaanzicht mee naar uw volgende klantgesprek.
We laten u Web Exposure live zien: de grens, de bevindingen met hun bewijs, en hoe ze in klantrapporten en uw portfolio terechtkomen.