Menu

Gratis controle

security.txt en e‑mailbeveiliging controleren

Vul een domein in. We halen de security.txt op en kijken naar de mailservers, SPF, DMARC en DNSSEC. De uitkomst bewaren we niet.

Een domeinnaam, een webadres of een e-mailadres. We controleren het geregistreerde domein.

security.txt maken

Vul in wat van toepassing is. Het bestand wordt in je browser gemaakt; niets wordt naar ons verstuurd.

Eén per regel: een e-mailadres, een webadres of een telefoonnummer (tel:+31…). Verplicht.

Verplicht. RFC 9116 raadt minder dan een jaar vooruit aan.

Bijvoorbeeld: nl, en

Een link naar je beleid voor het melden van kwetsbaarheden.

Een link naar je openbare sleutel, als je die hebt.

Je security.txt

Vul ten minste één Contact en een Expires-datum in.

Zet het bestand op https://example.com/.well-known/security.txt, als platte tekst (text/plain). Je kunt het ondertekenen met OpenPGP. Zet de vervaldatum in je agenda: een verlopen bestand zegt onderzoekers dat het niet meer klopt.

Wat security.txt is

security.txt is een klein tekstbestand op een vaste plek op je website: /.well-known/security.txt. Het vertelt wie een kwetsbaarheid vindt, waar hij die kan melden. De standaard is RFC 9116.

Volgens het NCSC zijn maar twee velden verplicht: een contactadres en een vervaldatum. De vervaldatum zorgt dat niemand een vergeten, verouderd bestand blijft vertrouwen.

Klanten en hun hulpmiddelen kijken naar zulke dingen. Een geldige security.txt en goed ingestelde e-mail laten zien dat iemand de basis bijhoudt.

Bron:RFC 9116, de standaard voor security.txt

Bron:NCSC, Wat is security.txt?

E-mailbeveiliging in het kort

  • MX: welke servers mail voor het domein ontvangen.
  • SPF: welke servers namens het domein mail mogen versturen. Het beleid aan het eind (bijvoorbeeld -all) zegt wat ontvangers doen met mail van andere servers.
  • DMARC: wat ontvangers doen met mail die niet door de controles komt: niets (none), apart zetten (quarantine) of weigeren (reject).
  • DNSSEC: of de DNS-antwoorden van het domein zijn ondertekend, zodat ze niet onderweg zijn te vervalsen.

Veelgestelde vragen

Bewaart about.biz wat ik controleer?
Nee. De uitkomst gaat alleen naar jou en wordt niet opgeslagen. Om misbruik te beperken tellen we per dag hoeveel controles er van één adres komen, met een code die we daaruit afleiden en die elke dag verandert. Het adres zelf bewaren we niet.
Waarom vind ik niet alles wat internet.nl test?
We controleren minder dan internet.nl, met opzet: alleen wat ook op een paspoort staat. Voor de volledige test verwijzen we graag naar internet.nl.
Wat als het domein niet antwoordt?
Dan staat er “Niet bereikbaar”, met de reden. Dat is iets anders dan “niets gevonden”: een controle die niet draaide, staat er nooit als in orde.

Dit vastleggen voor je klanten?

In een about.biz-paspoort staan deze controles als gedateerde feiten, naast je certificaten en je ondertekende vragenlijst.
Maak je paspoort