Eén notitie per lab: wat de check meet, hoe je de cijfers leest en wat je eerst aanpakt. Geschreven vanuit opdrachten, niet vanuit leverancierspagina's. Bijgewerkt zodra de labs veranderen.
Het cijfer van MDN HTTP Observatory is geen kwetsbaarheidsscan. Het leest de response headers van je voordeur en beoordeelt of die de browser opdragen zich veilig te gedragen: HSTS dwingt HTTPS af, Content-Security-Policy beperkt waar scripts vandaan mogen komen, X-Frame-Options en de frame-ancestors-directive voorkomen clickjacking, en de referrer- en cookie-flags beperken wat er naar derden lekt.
Je domein spoofen kost één regel in een mailclient, tenzij DNS anders zegt. SPF legt vast wie mag versturen, DMARC vertelt ontvangers wat ze moeten doen met mail die de controle niet doorstaat, DKIM ondertekent elk bericht, MX bewijst dat het domein überhaupt mail ontvangt, DNSSEC ondertekent de antwoorden zodat ze onderweg niet te vervangen zijn, en CAA beperkt welke certificaatautoriteiten certificaten voor de naam mogen uitgeven.
De tool maakt tot 140 varianten van je naam volgens de patronen die aanvallers echt gebruiken: een weggevallen letter, een verdubbelde letter, twee omgewisselde letters, een buurtoets op het toetsenbord, een koppelteken, een homoglyph zoals rn voor m, een achtervoegsel als -login en dezelfde naam onder een ander topleveldomein. Daarna controleert hij via DNS welke varianten bestaan.
De check hasht het wachtwoord lokaal met SHA-1 en stuurt alleen de eerste vijf tekens van die hash naar Have I Been Pwned. De dienst geeft alle hashes met dat prefix terug, honderden die niets met je wachtwoord te maken hebben, en de browser zoekt daarin naar een match. Het wachtwoord zelf verlaat de pagina nooit.
De X-ray leest de bytecode van een mainnet-adres rechtstreeks van publieke nodes en haalt daaruit de functieselectors, de proxy-slots volgens ERC-1967 en oudere Zeppelin-indelingen, de owner, de pauzestatus en de gevaarlijke opcodes: SELFDESTRUCT, DELEGATECALL en CREATE2. Sourcify laat zien of de gepubliceerde broncode overeenkomt met wat er is uitgerold.
Documenten, e-mails en webpagina's kunnen instructies bevatten die een mens nooit ziet: Unicode-tagtekens die onzichtbaar blijven, zero-width joiners, bidirectionele overrides die omdraaien wat het oog leest en homoglyphs uit andere schriften. Een LLM leest het allemaal. De scanner maakt die tekens zichtbaar en toetst de genormaliseerde tekst daarna aan de injectiefamilies uit OWASP LLM01, kenmerken van tool poisoning en gangbare formaten van secrets.
Zodra een agent verbinding maakt met een MCP-server, wordt elke toolbeschrijving tekst die het model leest en opvolgt. Een vergiftigde beschrijving kan het model opdragen een private key te lezen voordat het twee getallen optelt, alle mail via één tool te sturen of daarover te zwijgen. De scanner controleert namen, beschrijvingen en schema's op die kenmerken, op verwijzingen naar andere tools van dezelfde server en op uitgaande URL's.
Dertig minuten om de scope te bepalen. Binnen twee werkdagen een voorstel met een vaste prijs.