Gastscan, passief of actief: wat elke scan doet

Bijgewerkt: 18 oktober 2026

Kort antwoord: de gastscan en de passieve scan kijken alleen in openbare bronnen en sturen niets naar je systemen. De gastscan is een snelle blik zonder account, de passieve scan kijkt met een gratis account veel breder. Een actieve scan klopt wel zelf aan bij je servers, maar alleen nadat je hebt aangetoond dat het domein van jou is, en alleen bij de subdomeinen die jij aanzet.

Video van 61 seconden, alle tekst in beeld, met achtergrondmuziek. Volg de stipjes: blauw is een vraag van Exposure Watch, paars het antwoord, oranje een verzoek dat bij jouw eigen servers aankomt.

De gastscan: even kijken, zonder account

De gastscan start je op de voorpagina. Je vult je hoofddomein in, bevestigt dat je geen robot bent en binnen 30 tot 90 seconden zie je de eerste bevindingen. Op de achtergrond gebeurt dit:

1. Openbare DNS. We vragen het adres van je domein op, je mailservers en een vaste lijst gangbare namen zoals www, mail, vpn en portal.
2. Certificaatlogboeken. Elk certificaat dat voor je domein is uitgegeven, staat in openbare logboeken. Daarin vinden we namen die je zelf misschien vergeten bent.
3. Internetscan-archieven. Voor elk systeem zoeken we op welke poorten en welke software er al eerder van buitenaf zichtbaar waren.
4. Bekende lekken. Herkende software koppelen we aan de openbare lijst van kwetsbaarheden die aanvallers in de praktijk misbruiken, en aan de kans dat een lek wordt misbruikt.
5. Losse controles. Mailbeveiliging (zoals SPF en DMARC), openbaar leesbare cloudopslag en subdomeinen die iemand anders kan overnemen.

Een gastscan werkt maximaal twaalf systemen uit. Drie bevindingen zie je meteen volledig, met uitleg en oplossing. Het totaal en de verdeling naar ernst zie je ook, en alle bevindingen kun je gratis als PDF per mail laten sturen.

Je servers krijgen bij een gastscan geen enkel verzoek van ons. Eén kanttekening voor de volledigheid: de controles op cloudopslag en subdomein-overname stellen één vraag aan de opslag- of hostingpartij waar een van je namen naar verwijst. Dat is hun platform, niet jouw server.

De passieve scan: breder, nog steeds zonder aanraken

Met een account, ook het gratis account, draai je een passieve scan. Die gebruikt dezelfde soort bronnen als de gastscan, maar gaat veel verder:

• Meer subdomeinen. We combineren meerdere openbare bronnen en zoeken elk gevonden subdomein op. Hoeveel er per scan worden uitgewerkt, hangt af van je abonnement.
• Reputatielijsten. Staat een van je adressen bekend als kwaadaardig, bijvoorbeeld omdat er aanvallen of spam vandaan kwamen?
• Publieke code. We zoeken in openbare code naar je domein in de buurt van woorden als wachtwoord en sleutel. Een treffer is een aanwijzing om na te lopen, geen bewijs.
• Ransomware-leksites. Staat je organisatie op een lijst van slachtoffers? Dat controleren we op een eigen kopie van de openbare leksitelijst, die we elke nacht verversen. Je domein gaat daarvoor niet naar een derde partij.
• Vergelijking met de vorige scan. Je ziet wat er nieuw is en wat is opgelost. Elk rapport wordt met datum vastgelegd.

Ook de passieve scan stuurt geen enkel pakket naar je systemen. Daarom is er geen verificatie nodig, en werkt hij behalve voor een domein ook voor een subdomein of een openbaar IP-adres. Om dezelfde reden kun je zo naar een leverancier kijken, onder de voorwaarden in het beleid voor veilig gebruik: het doel is een organisatie, je hebt er een zakelijk belang bij en je gebruikt het rapport voor je eigen risicobeoordeling en het gesprek met die leverancier.

De actieve scan: zelf aankloppen, met toestemming

Een actieve scan kijkt niet in archieven, maar stelt zelf vast wat er nu bereikbaar is. Daarom start hij pas als aan drie voorwaarden is voldaan:

1. Je toont aan dat het domein van jou is. Met een TXT-record op _externalscan.jouwdomein.nl of met een verificatiebestand op je website. Domeinbeheer laat precies zien wat je moet invullen.
2. Je bevestigt dat je gemachtigd bent om het domein te laten onderzoeken.
3. Jij kiest de scan-scope. Ontdekken is niet hetzelfde als scannen: een gevonden subdomein doet pas mee als jij het aanzet.

Daarna loopt de scan, vanaf één vast IP-adres dat in het scanscherm staat, langs deze stappen:

• Open poorten zoeken.
• Herkennen welke dienst en welke versie erachter draait.
• De versleuteling controleren.
• Je webpagina's in kaart brengen en bekende paden nalopen.
• Controleren op bekende zwakke plekken en herkende software koppelen aan bekende lekken.
• Schermafbeeldingen maken als bewijs, vanaf het Pro-abonnement.

Hoe diep de scan gaat, hangt af van het profiel. Elk profiel heeft een harde snelheidslimiet en een maximale looptijd:

Wat een actieve scan nooit doet: exploits uitvoeren, wachtwoorden raden of je systemen overbelasten. Eén ding zeggen we er eerlijk bij: Standard en Deep controleren of een apparaat of beheerpagina nog met het standaardwachtwoord van de fabrikant werkt, met een handvol gedocumenteerde combinaties per product en zonder herhaalde pogingen. Safe doet geen inlogcontroles.

Naast elkaar

Welke past bij jou?

Begin met een gastscan of een passieve scan. Die geven snel een beeld van wat een buitenstaander van je ziet, en je kunt ze ook gebruiken om je leveranciers te bekijken. Wil je weten wat er op je eigen domein echt open staat en hoe het daarachter is ingericht, verifieer dan je domein en zet de actieve scan erachter. Kondig hem vooraf aan bij je beheerders, dan weet iedereen waar het verkeer vandaan komt.

Verder lezen

• Veilig en verantwoord gebruik
• Pentest of kwetsbaarhedenscan: het verschil
• Subdomein-overname
• Wat gebeurt er met je gegevens? De uitleg in gewone taal