Kontrollera säkerheten på er domän, gratis
Ange en domän och se dess riskpoäng, fynden bakom den och det som inte gick att kontrollera. Allt från öppet underlag, på ungefär 30 sekunder.
Senast granskad
Kontrollera en domän
Varje kontroll ger samma tre saker.
Resultatet öppnas i TrustSek-appen, och ni ser det växa fram i takt med att källorna svarar.
- En riskpoäng. Poängen är en multiplikator på en baslinje, inte ett betyg på en skala till 100. En poäng på 3,0× betyder att underlaget placerar domänen på tre gånger den risk som poängpolicyn utgår från för en genomsnittlig organisation. Varje poäng hamnar i ett av fyra riskband.
- Fynd, vart och ett förklarat. Varje fynd beskriver vad som testades, varför det spelar roll, vilken konsekvens det kan få och hur ni åtgärdar det.
- Det som inte gick att kontrollera. En källa som misslyckades eller aldrig tillfrågades visas som ej kontrollerad. Den räknas aldrig som ett rent resultat.
E-postsäkerhet · Allvarlighetsgrad: medel
DMARC-policyn är satt till none
- Vad som testades
- DMARC-posten som publiceras på
_dmarc.example.com. - Varför det spelar roll
- Utan en policy som faktiskt stoppar något kan vem som helst skicka e-post som ser ut att komma från er domän.
- Konsekvens
- Phishing och fakturabedrägerier i ert namn, riktade mot era kunder och anställda.
- Så åtgärdar ni det
- Följ DMARC-rapporterna och flytta sedan policyn från
p=nonetillp=quarantineoch vidare tillp=reject.
Poängen byggs upp av sex moduler.
Varje modul har en fast vikt i den publicerade poängpolicyn och en egen sida som förklarar vad den tittar på.
| Modul | Vikt | Vad den tittar på |
|---|---|---|
| E-postsäkerhetSPF, DMARC, DKIM, MTA-STS, TLS-RPT, CAA, DNSSEC och redundanta namnservrar. | 20% | SPF, DMARC, DKIM, MTA-STS, TLS-RPT, CAA, DNSSEC och redundanta namnservrar. |
| TLS och webbhygienOm HTTPS används, certifikat, protokollversioner och chiffer, omdirigeringar, säkerhetsheaders och cookieflaggor. | 20% | Om HTTPS används, certifikat, protokollversioner och chiffer, omdirigeringar, säkerhetsheaders och cookieflaggor. |
| Ransomware-exponeringUppgifter på ransomwaregruppernas leak sites som pekar ut organisationen, från två oberoende bevakningstjänster. | 20% | Uppgifter på ransomwaregruppernas leak sites som pekar ut organisationen, från två oberoende bevakningstjänster. |
| RykteDomänen och dess IP-adresser i threat intelligence och på listor över skadlig kod, phishing och botnät. | 15% | Domänen och dess IP-adresser i threat intelligence och på listor över skadlig kod, phishing och botnät. |
| SårbarheterProgramversioner som tjänsterna visar utåt, jämförda med kända utnyttjade och publicerade sårbarheter. | 15% | Programversioner som tjänsterna visar utåt, jämförda med kända utnyttjade och publicerade sårbarheter. |
| AttackytaSubdomäner, riskabla värdnamn, öppna portar utöver webben, domänens ålder och lookalike-domäner. | 10% | Subdomäner, riskabla värdnamn, öppna portar utöver webben, domänens ålder och lookalike-domäner. |
Letar ni efter något särskilt? E-postsäkerhet visar hur SPF, DKIM och DMARC kontrolleras, och TLS och webbhygien går igenom SSL-certifikat, TLS-versioner och säkerhetsheaders. Metoden förklarar hur vikter, allvarlighetsgrad och konfidens vägs ihop till poängen.
Det tar ungefär 30 sekunder.
Ni kan följa varje källa när den blir klar. Vissa källor svarar snabbare än andra, men en långsam källa fördröjer aldrig resten: svarar den inte i tid markeras den som misslyckad och kontrollen fortsätter.
Inga agenter, ingen åtkomst, inga intrångsförsök.
- Inga agenter och ingen åtkomst. Ingenting installeras. Vi loggar aldrig in i era system och ber aldrig om inloggningsuppgifter.
- Inga intrångsförsök. Det här är varken ett penetrationstest eller en aktiv sårbarhetsskanning. Vi skickar inga exploits, provar inga lösenord och letar inte aktivt efter svagheter.
- Bara öppet underlag. Det mesta vi använder är redan offentligt: DNS-poster, Certificate Transparency-loggar, threat intelligence-källor och tjänster som bevakar ransomwaregruppernas leak sites.
Kontrollen är icke-intrusiv, men den har viss kontakt med er webbserver, och det säger vi rakt ut. För att läsa ert certifikat och er webbkonfiguration öppnar den en TLS-anslutning till webbplatsen och hämtar startsidan över HTTPS och över HTTP, precis som en webbläsare gör. Publicerar ni en MTA-STS-policy hämtas den filen också. Anropen identifierar sig som TrustSek/1.0. Kontrollen går inte igenom webbplatsen, följer inga länkar och skickar inga formulär.
Ett resultat utan fynd betyder att vi inte hittade något i det underlag vi kunde se. Det betyder inte att domänen är säker, och det säger ingenting om det som finns bakom era inloggningssidor.
Vad händer med domänen ni anger?
Domänen ni anger och resultatet av kontrollen sparas i TrustSek-appen. Räkna inte med att en kontroll är privat: ange bara en domän om ni är bekväma med det. Kontrollen behöver inget annat än domännamnet, så vi ber inte om namn, e-postadress eller andra personuppgifter.
I integritetspolicyn kan ni läsa hur den här webbplatsen hanterar personuppgifter.
Frågor
Kan jag kontrollera en domän som jag inte äger?
Ja. Kontrollen bygger på öppet underlag, så den fungerar likadant för er egen domän som för en leverantörs, en kunds eller en presumtiv kunds. Ingen behöver ge åtkomst eller svara på något först.
Märker domänens ägare något?
Ingen kontaktas. De få förfrågningarna till webbplatsen presenterar sig som TrustSek/1.0, så de kan synas i webbplatsens egna serverloggar, precis som vilken besökare som helst.
Kostar det något?
Nej. Kontrollen är gratis och kräver varken konto eller kort. Ett konto behövs bara för att spara resultat och lägga till leverantörer.
Hur förbättrar vi vår poäng?
Åtgärda fynden. Varje fynd beskriver vad som hittades, varför det spelar roll och hur ni åtgärdar det, oftast en DNS-post eller en inställning i webbservern. Kör kontrollen igen efteråt för att se skillnaden utifrån.
Spara resultatet och lägg till era leverantörer.
Skapa ett konto för att spara resultaten, köra en ny kontroll när ni har åtgärdat något och lägga till de leverantörer ni är beroende av. För företag visar hur det går till. För försäkring och för IT-partner handlar om att bedöma domäner som ni inte själva äger.
Kontrollera en domän till
Det går lika bra med en leverantörs domän. Ni behöver bara domännamnet.