Sikkerhed
Målt – ikke påstået
Skal jeg fortælle jer, hvordan I sikrer jeres infrastruktur, bør min egen kunne klare de samme tjek. De måles mod det kørende site, hver gang det opdateres, og offentliggøres, uanset hvad de viser.
13 bestået3 advarsel0 fejlethelius.dk
Sitet, målt
Det samme, som en kundes sikkerhedsteam eller en ekstern scanner ville kigge på. En fejl bliver vist som en fejl. En fejl i buildet forhindrer udrulningen, og en fejl i det kørende setup står på denne side, indtil den er rettet.
Live-tjek senest målt: Tjek af buildet (CSP og ressourcer fra tredjeparter) ved udrulning: · 97bd720Rå resultater som JSON
Transport og headers
- HTTP sendes videre til HTTPSBeståethttp:// answers 301 → https://helius.dk/
- HSTSBeståetmax-age=31536000; includeSubDomains
- TLS-version og certifikatBeståetTLSv1.3 · certificate valid 60 more days
- MIME-sniffing slået fraBeståetnosniff
- Referrer-PolicyBeståetstrict-origin-when-cross-origin
- Permissions-PolicyBeståetcamera=(), microphone=(), geolocation=(), payment=(), usb=()
- Beskyttelse mod clickjackingBeståetX-Frame-Options: DENY
DNS
- DNSSECBeståethelius.dk validates (AD bit set by a validating resolver)
- CAA – hvem der må udstede certifikaterBeståethelius.dk: 11 CAA record(s) restrict issuance
- SPFAdvarselv=spf1 include:_spf.google.com include:_spf.protonmail.ch ~all (softfail; -all is stricter)
- DKIMBeståetselectors published: protonmail, protonmail2, protonmail3
- DMARCAdvarselv=DMARC1; p=quarantine (no rua= reporting)
- MTA-STSAdvarselno MTA-STS policy (inbound TLS not enforced)
Dette site
- Content-Security-PolicyBeståetscript-src hash-only, no unsafe-inline (meta)
- security.txt (RFC 9116)BeståetRFC 9116, expires in 179 days
- Ingen ressourcer fra tredjepartBeståetevery script, stylesheet, font and image is served from this site
Sådan er sitet bygget
- Statisk HTML. Der er ingen kode på serveren, ingen database og intet login at angribe.
- Ingen cookies, ingen analyseværktøjer, ingen sporingspixels og ingen scripts fra tredjeparter.
- Skrifttyperne hentes fra dette domæne og ikke fra et font-CDN, så ingen andre får at vide, at du har besøgt siden.
- Hvert inline-script er låst med en hash i Content-Security-Policy – intet andet må køre.
- Kontakt foregår via almindelig e-mail. Ingen formular indsamler noget.
Rapportér en sårbarhed
Finder du et sikkerhedsproblem på sitet eller i noget, jeg har udgivet, vil jeg gerne høre om det. Den samme kontakt står i /.well-known/security.txt.
- Sådan rapporterer du
- Skriv til [email protected] med, hvad du har fundet, hvordan det kan genskabes, og hvad du vurderer, konsekvensen er. På dansk eller engelsk.
- Det sker der bagefter
- Jeg bekræfter inden for to arbejdsdage, at jeg har modtaget din rapport, holder dig orienteret, mens jeg retter fejlen, og krediterer dig, når den er løst – medmindre du foretrækker at være anonym.
- Safe harbour
- Undersøgelser i god tro, der undgår at krænke privatlivet, ødelægge data eller afbryde tjenesten, bliver ikke forfulgt juridisk. Giv mig rimelig tid til at rette et problem, før du offentliggør det.
- Uden for rammerne
- Volumetriske denial of service-angreb, social engineering, fysiske angreb og fund, der blot gentager en manglende header, som allerede er nævnt på siden.
Fortæl mig, hvad der er galt
Et par linjer om problemet er nok. Inden for én arbejdsdag svarer jeg med, hvad jeg tror, det er, hvor lang tid det cirka tager, og om I overhovedet har brug for mig. Nogle gange er det ærlige svar nej.