Om WebScan

WebScan er en norsk tjeneste som sjekker hvor godt et nettsted er beskyttet med HTTP-sikkerhetsheadere, TLS og sertifikat, sikre cookies og fravær av informasjonslekkasje. Du får en score fra 0 til 100, forklaringer på norsk og konkrete anbefalinger.

Hva sjekkes?

Sikkerhetsheadere

Content-Security-Policy, Strict-Transport-Security, X-Frame-Options (eller frame-ancestors), X-Content-Type-Options, Referrer-Policy, Permissions-Policy og Cross-Origin-Opener/Embedder/Resource-Policy. Utdaterte headere som X-XSS-Protection, Expect-CT og Public-Key-Pins vises som info.

TLS og sertifikat

Tillitskjede, vertsnavn, gyldighetsperiode, nøkkellengde, signaturalgoritme og revokering. Hvilke TLS-versjoner serveren godtar (1.0–1.3), om http:// sendes videre til https://, og om domenet er på HSTS preload-listen.

Cookies

At alle cookies har Secure, HttpOnly og SameSite, og at __Host-/__Secure--prefiks følger reglene. Verdiene leses aldri ut eller lagres.

Informasjonslekkasje

Headere som avslører programvare og versjoner, for eksempel Server med versjonsnummer, X-Powered-By og X-AspNet-Version.

Slik beregnes scoren

Scoren er summen av poengene i tabellen under, avrundet til et heltall. Maksimal score er 100. Rapporten viser poeng per kategori og per sjekk.

Maksimale poeng per sjekk
Kategori	Sjekk	Maks poeng
Headere (60)	Content-Security-Policy	15
	Strict-Transport-Security	12
	X-Frame-Options / frame-ancestors	7
	X-Content-Type-Options	6
	Referrer-Policy	5
	Permissions-Policy	5
	Cross-Origin-Opener-Policy	4
	Cross-Origin-Resource-Policy	3
	Cross-Origin-Embedder-Policy	3
TLS (30)	Gyldig sertifikat	12
	Protokollversjoner	12
	HTTP → HTTPS-redirect	6
Cookies (5)	Cookies	5
Lekkasje (5)	Informasjonslekkasje	5
Totalt		100

Delpoeng

Content-Security-Policy: 6 poeng for at den finnes og håndheves, pluss 9 poeng for kvalitet. Det trekkes 5 poeng for 'unsafe-inline' eller 'unsafe-eval' i script-src, 2 poeng for wildcard eller skjema-kilder (*, https:, http:, data:), og 1 poeng for hver av object-src, base-uri og frame-ancestors som mangler. Kvalitetspoengene kan ikke bli lavere enn 0. Bare Content-Security-Policy-Report-Only regnes ikke som håndhevet.
Strict-Transport-Security: 6 poeng for at den finnes, +4 for max-age på minst ett år (31536000 sekunder) eller +2 for minst seks måneder (15768000 sekunder), og +2 for includeSubDomains.
Protokoller: 8 poeng når TLS 1.0 og 1.1 er slått av, og 4 poeng når TLS 1.3 støttes.
Cookies: det trekkes 2 poeng per cookie med feil flagg, ned til 0. Ingen cookies gir full score.
Øvrige sjekker: full score, halv score (delvis oppfylt) eller 0.

Tak på scoren

Svarer siden ikke over HTTPS, gir hele TLS-kategorien 0 og HSTS 0, og total score kan ikke bli høyere enn 40.
Er sertifikatet ugyldig, kan total score ikke bli høyere enn 50.

Fargekoder

0–49 Svak
50–79 Middels
80–100 Bra

Ofte stilte spørsmål

Hvorfor får siden min lav score selv om den er «trygg»?

Scoren måler forsvarslag som nettleseren kan håndheve. Mange angrep, som XSS og clickjacking, stoppes eller begrenses av riktige headere selv om koden har feil. En lav score betyr at disse ekstra lagene mangler, ikke nødvendigvis at siden har en kjent sårbarhet.

Hvorfor ble jeg sendt rett til en eksisterende rapport?

Er samme adresse skannet de siste 5 minuttene, vises den rapporten. Trykk «Skann på nytt» for å tvinge en ny skanning.

Hvilke adresser kan skannes?

Offentlige nettsteder over http eller https på port 80 eller 443. Interne adresser, private IP-adresser og localhost avvises.

Analyseres CSP i <meta>-taggen?

Nei. WebScan leser bare HTTP-headerne, ikke innholdet på siden.

Telles cipher suites opp?

Nei, men forhandlet cipher for TLS 1.2 og 1.3 vises som informasjon.

Hvor lenge lagres rapportene?

Rapporter lagres uten tidsbegrensning og kan ses av alle som har lenken. Se personvern.

Kan jeg bruke WebScan i byggløypa?

Ja, via API-et. Se API-dokumentasjonen for et eksempel som feiler bygget når scoren er under en terskel.