Vind de deuren die u open bent vergeten.
Vergeten subdomeinen, overnamegevoelige records, riskante poorten die vanaf het internet antwoorden, en de gelekte wachtwoorden die aanvallers als eerste proberen — van buitenaf bekeken, met uw toestemming waar dat telt.
Vergeten subdomeinen en bungelende DNS-records zijn een veelgebruikt toegangspunt voor aanvallers. Continue bewaking helpt u subdomeinen te vinden en te beveiligen waarvan u niet wist dat ze blootlagen.
Wat u kunt bewaken
Ontdek vergeten hosts, open poorten, blootgestelde apparaten en gelekte wachtwoorden.
Subdomeinontdekking
Inventariseer subdomeinen in uw hele landschap, inclusief vergeten en schaduwinfrastructuur.
Overnamedetectie
Identificeer bungelende DNS-records die subdomeinovername mogelijk maken.
Blootstellingskaart
Vind subdomeinen die diensten of poorten blootstellen die niet publiek zouden mogen zijn.
Wijzigingsbewaking
Bewaak nieuwe subdomeinen zodra ze verschijnen en markeer onverwachte toevoegingen.
Blootstellingsscan
Met uw toestemming een gewone verbinding naar een vaste lijst riskante poorten (extern bureaublad, databases, bestandsdeling, zelf gehoste AI-diensten, en besturingspoorten voor gebouw- en industriële techniek zoals Modbus, Niagara, Siemens S7, EtherNet/IP, DNP3 en MQTT) op hosts onder uw geverifieerde domeinen en op adressen die u toevoegt en wij verifiëren. Wekelijks en 34 poorten op Pro; dagelijks en 67 poorten vanaf Growth. Apparaatpagina's en verouderde webservers worden in beide herkend. Geen inlogpoging, geen exploit, geen koppeling met een CVE-database: CVE-nummers, de KEV-lijst van CISA en EPSS worden alleen getoond voor de weinige gevolgde lekken zoals PHP2Shell, vanaf Pro.
Audit van gelekte wachtwoorden
Een script op uw Windows-domeincontroller vergelijkt wachtwoordvingerafdrukken met een openbare lijst van gelekte wachtwoorden. Alleen aantallen bereiken ons: hoeveel accounts, en hoeveel daarvan beheerders. Vanaf Pro.
Apparaten op kale adressen
Een koel- of gebouwregelaar, een camera of een 4G-router antwoordt vaak op een provideradres zonder naam onder uw domein; zo kwam de aanval van oktober 2026 op de koeling van supermarkten binnen. Voeg het adres toe; zodra wij hebben aangetoond dat het van u is, wordt het ook gescand. Vanaf Pro wordt het apparaat herkend aan de paginatitel en servernaam die het zelf meldt, bijvoorbeeld “Danfoss AK-SM 800 webinterface bereikbaar vanaf internet”, met één gewone pagina-aanvraag en zonder inloggen; bij oudere Danfoss-modellen (AK-SM 800 van vóór de “A”-reeks, AK-SC 255 / 355) meldt hij ook wanneer de fabrikant ermee stopte. De bevinding is de bereikbaarheid: wij zeggen wat antwoordt en beweren nooit een zwakte.
Veilige actieve tests
Veilige actieve tests, geen poortgegevens uit de cache
Gratis tools vertellen u welke poorten iemand anders vorige maand open zag staan. SkyQon maakt verbinding met uw eigen geverifieerde hosts en vraagt het hun rechtstreeks: een handshake, één paginaverzoek, zonder inloggen en zonder payload.
Oude versleuteling
Elke certificaatscan probeert ook TLS 1.0, TLS 1.1 en een aanbod met alleen 3DES en RC4. Accepteert de server er een van, dan staat op de certificaatregel wat hij accepteerde, en elk zo'n endpoint kost één punt in uw Digital Trust Score, hooguit vijf in totaal.
Verouderde webservers
Als een webserver zijn naam noemt, vergelijken we die met de ondersteuningskalender van de maker: Microsoft IIS 8.5 en ouder, Apache httpd 2.2 en ouder, PHP 7.x en ouder. De bevinding noemt de datum waarop de ondersteuning stopte en de bron.
Open AI-diensten
Ollama, Qdrant en Milvus antwoorden standaard zonder inloggen. De exposure-scan zoekt ernaar, en bij de uitgebreide scan ook naar Gradio, Ray en Open WebUI.
PHP ouder dan de beveiligingsrelease
PHP bracht op 22 oktober 2026 beveiligingsreleases uit voor het lek dat bekendstaat als PHP2Shell. Toont een server zijn PHP-versie, dan vergelijken wij die met deze releases. Oudere servers komen bovenaan de lijst, met de stappen in volgorde: alleen bijwerken lost het op; een VPN, een lijst met toegestane adressen of een firewallregel beperkt tot dan alleen wie de server kan bereiken. Een bevinding wordt gesloten zodra een gecorrigeerde versie te zien is, niet wanneer de versie verborgen wordt.
Versies die een server verbergt
Veel servers verbergen hun versienummer. Vanaf Pro kan de SkyQon-agent de versies van PHP, Apache en nginx binnen in de server uitlezen, ook in containers, zodra u de optie inschakelt. Heeft Debian, Ubuntu of Red Hat de correctie onder het oude versienummer uitgebracht, dan staat er in de rij „Gecorrigeerd door Debian” (of Ubuntu, of Red Hat) in plaats van een alarm.
In uw NIS2-rapport
Het NIS2-bewijsrapport vermeldt elke server die in de periode software draaide die ouder was dan een beveiligingsrelease, en de dag waarop dat werd verholpen. Het rapport voor de directie bevat het aantal.
Eén stap naar de oplossing
Een verlopend of niet-vertrouwd certificaat, in de certificaatlijst of op een exposure-regel, leidt rechtstreeks naar Auto-Renew, dat de vervanging op uw server uitgeeft en installeert en bij de volgende scan bevestigt.
Controles op oude TLS draaien op elk abonnement met certificaatbewaking. De exposure-scan vraagt een geverifieerd domein en de toestemming van een beheerder: lichte scan (34 poorten, wekelijks, met webserver- en apparaatcontroles) op Pro, uitgebreide scan (67 poorten, dagelijks) vanaf Growth.
Wat elke scan controleert
De configuratie achter elk adres
Vier gebieden, gecontroleerd op elk domein, elke mailserver en elk HTTPS-adres dat u bewaakt.
DNS en DNSSEC
Controleer de DNSSEC-ondertekening en de gezondheid van de nameservers van uw domeinen, en vind verweesde DNS-records waarmee iemand een subdomein kan overnemen. Valideer DANE-records (TLSA) tegen het certificaat dat elke server toont.
SSL- en TLS-protocollen
Zie elke protocolversie van SSL 2.0 tot TLS 1.3, de cipher suites en sleuteluitwisselingsgroepen die elk adres accepteert, en welke gangbare browsers en systemen verbinding zouden maken. Het volledige detail wordt vanaf Pro wekelijks gemeten.
Applicatiebeveiliging
Controleer HSTS, de Content-Security-Policy, bescherming tegen weergave in een frame, cookie-attributen, subresource integrity en mixed content op de startpagina van elk HTTPS-adres.
SMTP-beveiliging
Controleer of elke mailserver STARTTLS aanbiedt en of zijn DANE-record bij zijn certificaat past. Zie of SPF, DKIM, DMARC en MTA-STS gepubliceerd en afgedwongen zijn.
Beveilig subdomeinen waarvan u vergeten was dat ze bestonden.
Continue bewaking helpt u subdomeinblootstelling te ontdekken en te sluiten voordat aanvallers die vinden.