Kontroller och begränsningar

Kontrollerar att webbplatsen svarar över krypterad HTTPS (port 443): att en TLS-anslutning kan upprättas och att en sida kan hämtas.

• Webbplatsen går inte att nå via HTTPS · Hög

Begränsningar: Endast startsidan (/) hämtas. Tillfälliga nätverksstörningar eller brandväggar som blockerar vår skanner kan ge ett felaktigt resultat; ett enstaka utfall bör bekräftas vid nästa skanning.

Registrerar vilken TLS-version och vilket chiffer som förhandlas och testar med en separat anslutning om servern fortfarande accepterar de föråldrade versionerna TLS 1.0 och 1.1.

• Föråldrade TLS-versioner (1.0/1.1) är aktiverade · Medel

Begränsningar: Testet av äldre versioner kräver att skannerns egen krypteringsbibliotek (OpenSSL) kan erbjuda TLS 1.0/1.1. Om det inte går redovisas resultatet som ”kunde inte testas” i stället för som ett fynd. SSL 3.0 och enskilda svaga chiffer testas inte.

Kontrollerar att besökare som går till den okrypterade adressen (http://) automatiskt skickas vidare till HTTPS.

• Okrypterad HTTP omdirigeras inte till HTTPS · Medel

Begränsningar: Endast startsidan kontrolleras. En stängd port 80 räknas som godkänt. Omdirigeringar till andra domäner än den verifierade följs inte.

Kontrollerar att certifikatet är utfärdat av en betrodd certifikatutfärdare, matchar domännamnet och inte har gått ut.

• TLS-certifikatet är inte giltigt för webbplatsen · Hög
• TLS-certifikatet har gått ut · Kritisk

Begränsningar: Förtroendekedjan bedöms mot den standardlista med rotcertifikat som följer med Node.js. Enskilda webbläsare eller äldre enheter kan ha en annan lista. Återkallade certifikat (OCSP/CRL) kontrolleras inte.

Beräknar hur många dagar som återstår innan certifikatet löper ut och varnar i god tid före utgångsdatum.

• Certifikatet löper ut snart · Medel

Begränsningar: Endast certifikatet som presenteras för den skannade adressen kontrolleras. Andra servrar bakom samma namn (t.ex. i en lastbalanserare) kan ha andra certifikat.

Kontrollerar att webbplatsen instruerar webbläsare att alltid använda HTTPS via säkerhetsrubriken Strict-Transport-Security.

• HSTS saknas · Medel
• HSTS har för kort giltighetstid eller är felaktigt formaterad · Låg

Begränsningar: Rubriken kontrolleras på HTTPS-svaret för den skannade adressen. Om domänen redan finns i webbläsarnas preload-lista kontrolleras inte separat.

Kontrollerar om webbplatsen har en innehållssäkerhetspolicy (CSP) som begränsar vilka skript och resurser webbläsaren får köra, och om policyn för skript är tillräckligt strikt.

• Content Security Policy saknas · Medel
• Content Security Policy ger svagt skydd för skript · Låg
• Content Security Policy används endast i rapportläge · Låg

Begränsningar: Endast policyn i HTTP-rubriker på startsidan bedöms; policyer i <meta>-taggar och på andra sidor syns inte. Bedömningen fokuserar på skriptkällor och är inte en fullständig granskning av policyn.

Kontrollerar att rubriken X-Content-Type-Options: nosniff skickas så att webbläsaren inte gissar filtyper.

• X-Content-Type-Options: nosniff saknas · Låg

Begränsningar: Endast startsidans svar kontrolleras. Andra filer (t.ex. uppladdade dokument) kan sakna rubriken.

Kontrollerar att webbplatsen anger vilka sidor som får visa den i en ram, via X-Frame-Options eller CSP-direktivet frame-ancestors.

• Skydd mot inramning (clickjacking) saknas · Låg

Begränsningar: Endast startsidan kontrolleras. Sidor som avsiktligt ska kunna bäddas in (t.ex. widgetar) kan behöva ett annat beslut.

Kontrollerar att webbplatsen styr hur mycket av sidadressen som skickas vidare till andra webbplatser när besökare klickar på länkar.

• Referrer-Policy saknas eller är för tillåtande · Låg

Begränsningar: Moderna webbläsare har en rimlig standard även utan rubriken, men äldre webbläsare och inbäddade vyer kan bete sig annorlunda. Endast startsidan kontrolleras.

Kontrollerar om servern avslöjar programvara och versionsnummer i rubriker som Server och X-Powered-By.

• Servern avslöjar programvaruversion · Låg

Begränsningar: Vi jämför inte versionsnumret mot kända sårbarheter och påstår inte att en specifik sårbarhet finns. Versionsangivelsen kan också vara inaktuell eller avsiktligt missvisande.

Kontrollerar att cookies som sätts av webbplatsen har attributen Secure, HttpOnly och SameSite. Cookievärden läses eller lagras aldrig.

• Cookie saknar säkerhetsattribut · Låg

Begränsningar: Endast cookies som sätts direkt i svaret på startsidan (och dess omdirigeringar inom domänen) syns. Cookies som sätts efter inloggning, av JavaScript eller av tredjepartstjänster kontrolleras inte. Att HttpOnly saknas kan vara avsiktligt för cookies som läses av JavaScript.

Kontrollerar att domänen har exakt en SPF-post som anger vilka servrar som får skicka e-post för domänen, och hur strikt policyn är.

• SPF-post saknas · Medel
• Flera SPF-poster publicerade · Medel
• SPF tillåter alla avsändare (+all) · Hög
• SPF-policyn är neutral (?all eller saknar all) · Låg

Begränsningar: Vi kontrollerar policyns slutregel (all) och följer redirect= i upp till tre steg. Vi verifierar inte att alla era legitima e-posttjänster faktiskt finns med i posten.

Räknar mekanismer i SPF-posten som kräver DNS-uppslag (include, a, mx, ptr, exists, redirect). Standarden tillåter högst tio.

• SPF-posten kräver för många DNS-uppslag · Låg

Begränsningar: Endast uppslag på översta nivån räknas; uppslag i inkluderade poster (t.ex. include:spf.protection.outlook.com) räknas inte. Det verkliga antalet kan därför vara högre.

Kontrollerar att domänen har en DMARC-policy som talar om för mottagande e-postservrar vad de ska göra med e-post som utger sig för att komma från er men inte klarar SPF/DKIM.

• DMARC-policy saknas · Medel
• DMARC är endast i övervakningsläge (p=none) · Låg
• DMARC-posten är ogiltig · Medel

Begränsningar: Vi läser policyn i DNS men ser inte hur e-posten faktiskt hanteras hos mottagarna. Av integritetsskäl sparas endast antal rapportadresser och deras domäner, inte fullständiga adresser.

Letar efter publicerade DKIM-nycklar under ett antal vanliga selektorer (t.ex. selector1/selector2 för Microsoft 365 och google för Google Workspace).

Begränsningar: DKIM-selektorer kan inte räknas upp via DNS – de kan heta vad som helst. Att vi inte hittar någon nyckel betyder därför inte att DKIM saknas, och ger aldrig ett fynd. Nyckellängden är en uppskattning utifrån nyckelns storlek.

Registrerar vilka e-postservrar (MX) som tar emot e-post för domänen.

Begränsningar: Informativ kontroll. Saknas MX-poster tar domänen troligen inte emot e-post; även då rekommenderas SPF (v=spf1 -all) och DMARC (p=reject) för att förhindra att domänen missbrukas som avsändare.

Registrerar om domänen begränsar vilka certifikatutfärdare som får utfärda certifikat för den (CAA).

Begränsningar: Informativ kontroll. Avsaknad av CAA är vanligt och ger inget fynd, men vi rekommenderar CAA som ett extra skydd mot felaktigt utfärdade certifikat. Endast den verifierade domänen kontrolleras.

Sparar A-, AAAA- och NS-poster för adressen så att oväntade ändringar (t.ex. kapad DNS eller flytt till ny leverantör) kan upptäckas mellan skanningar.

Begränsningar: Informativ kontroll. Poster hämtas via publika DNS-resolvrar och kan påverkas av geografisk lastbalansering (olika svar beroende på var frågan ställs).