Sammenlign med andre verktøy
WebScan dekker mye, men ikke alt. Her er tre kjente, gratis tjenester som gjør mye av det samme, og hva de kan gi deg som WebScan ikke gir. De fungerer godt sammen med WebScan.
Hva trenger du?
| Behov | Bruk |
|---|---|
| Rask sjekk av sikkerhetsheadere med forklaring på norsk | WebScan |
| Karakter fra A+ til F for headere, TLS og cookies samlet | WebScan |
| Karakter fra A+ til F for bare sikkerhetsheadere | securityheaders.com |
| Karakter fra A+ til F for bare TLS-oppsettet | SSL Labs |
| Nettsted utenfor .no | WebScan-API-et, eller securityheaders.com, SSL Labs og internet.nl i nettleseren |
| Alle chiffersett, klientsimulering og TLS-sårbarheter | SSL Labs |
| Alle IP-adressene til en webserver | SSL Labs |
| DNSSEC-validering, RPKI og IPv6 | internet.nl |
| Grundig e-posttest med alle e-postservere | internet.nl |
| Cookies, CORS, security.txt, feilside og innholdet på forsiden | WebScan |
| Rapport som kan deles med en lenke, og API for byggløypa | WebScan |
securityheaders.com
Sjekker HTTP-sikkerhetsheaderne på en adresse og gir en karakter fra A+ til F. Viser hvilke headere som mangler, med en kort forklaring, og alle rå headere fra svaret.
Bruk den når
- kravet er nettopp karakteren deres, for eksempel «A+ på securityheaders.com». WebScan har egen karakter, men den regnes ut på en annen måte
- du vil skanne et nettsted utenfor .no i nettleseren, uten API-nøkkel
- du vil skanne uten at resultatet vises i listen over nylige skanninger (valget «Hide results»)
- du vil se svaret fra den første adressen uten å følge videresendinger
Sjekker bare headerne. TLS, sertifikat, DNS og e-post er ikke med.
Gå til securityheaders.comQualys SSL Labs (SSL Server Test)
Den grundigste gratis testen av TLS-oppsettet på en webserver. Gir en karakter fra A+ til F og viser alle protokoller og chiffersett serveren godtar, i rekkefølgen serveren foretrekker dem, sertifikatkjeden og kjente sårbarheter i TLS.
Bruk den når
- du trenger hele listen over chiffersett, ikke bare om svake grupper godtas
- du vil vite hvilke nettlesere og klienter som klarer å koble til (håndtrykksimulering mot mange klientversjoner)
- du vil teste for kjente TLS-sårbarheter som Heartbleed, POODLE og ROBOT
- vertsnavnet har flere IP-adresser og alle serverne skal testes, ikke bare én
En test tar gjerne et par minutter. Sikkerhetsheadere utover HSTS, cookies, DNS og e-post er ikke med.
Gå til Qualys SSL Labs (SSL Server Test)internet.nl
Laget av Platform Internetstandaarden i Nederland. Tester om et nettsted og et e-postdomene følger moderne internettstandarder: IPv6, DNSSEC, HTTPS og TLS etter anbefalingene fra NCSC-NL, sikkerhetsheadere og RPKI. E-posttesten dekker SPF, DKIM, DMARC, STARTTLS og DANE. Resultatet er en prosentscore.
Bruk den når
- du vil ha DNSSEC validert, ikke bare se om domenet har DS-post
- du vil sjekke RPKI, altså om IP-adressene til serverne er beskyttet mot kapring av ruter
- du vil teste e-post grundigere, for eksempel alle e-postserverne og ikke bare de tre første
- du vil sammenligne mot et anerkjent sett med krav, for eksempel i en anskaffelse
Cookies og innholdet på siden er ikke med. Testen er på engelsk eller nederlandsk.
Gå til internet.nlDette gjør ikke WebScan
- Skjemaet på nettsiden skanner bare nettsteder under .no. Det gjelder ikke API-et, som skanner alle toppdomener (krever API-nøkkel).
- Karakteren fra A+ til F dekker headere, TLS, cookies og informasjonslekkasje samlet. Den er derfor ikke den samme som karakteren på securityheaders.com eller SSL Labs.
- Bare forsiden leses, og JavaScript kjøres ikke. Innhold som lastes senere, eller andre sider, blir ikke sett.
- TLS testes mot én IP-adresse. Har vertsnavnet flere servere, testes bare én av dem.
- Chiffersett testes i grupper (NULL/EXPORT, RC4, 3DES, RSA-nøkkelutveksling og CBC). Hele listen og klientsimulering er ikke med.
- Kjente TLS-sårbarheter som Heartbleed og ROBOT testes ikke.
- DNSSEC sjekkes bare ved å se etter en DS-post. Signaturene valideres ikke.
- RPKI sjekkes ikke.
- Bare de tre e-postserverne med lavest prioritet testes.
Tjenestene over har ingen tilknytning til WebScan. Beskrivelsene gjelder slik tjenestene fungerer i dag og kan endre seg. Se Om WebScan for alt WebScan sjekker.