Glossar

Schnellcheck: Ein kostenloser Blick auf eine Startseite, mit einer Punktzahl von 100 und einer Note von A bis D in etwa zehn Sekunden. Kein Konto nötig, und er verbraucht keinen Scan.
Pulse: Der kostenlose Scan für angemeldete Konten. Er dauert meist unter 15 Sekunden und prüft deine Startseite, E-Mail-Einstellungen, Sicherheitseinstellungen und öffentliche Einträge so, wie es ein Fremder oder ein Bot tun würde.
Deep-Scan: Der tiefere Scan. Er durchläuft bis zu 30 Seiten deiner Website so, wie es ein entschlossener Angreifer täte, und verlangt den Nachweis, dass dir die Website gehört.
Master Key: Ein Test, der sich mit zwei Testkonten bei deiner App anmeldet, um zu prüfen, ob ein Nutzer die Daten eines anderen Nutzers sehen kann. Demnächst verfügbar.
Automatische Prüfung: Ein Scan, den Lockpick nach einem Zeitplan für dich ausführt, im Free- und im Deep-Tarif jede Woche, mit dem Ergebnis per E-Mail.
Verbleibende Scans: Was von den Scans dieses Monats in deinem Tarif noch übrig ist. Die CLI und die API nennen sie weiterhin Credits.
Bonus-Scans: Scans, die zusätzlich zu deinem Tarif gutgeschrieben werden, zum Beispiel für eine Einladung an einen Freund oder aus dem frühen Zugang. Sie werden getrennt von den Scans deines Tarifs angezeigt.
Note: Ein Buchstabe von A bis D, der zusammenfasst, wie offen deine Website ist, basierend auf einer Punktzahl von 100.
Zu behebende Stelle: Etwas, das ein Scan gefunden hat und das einen Angriff erleichtert. Entwickler nennen es einen Befund.
Schweregrad: Wie wichtig eine zu behebende Stelle ist, auf einer einheitlichen Skala: Critical, High, Medium, Low oder Info. Pulse und Deep stufen heute bis High ein, und Hinweise aus Monitor können Critical sein.
Wann beheben: Wie bald Sie sich um einen Befund kümmern sollten. Jetzt beheben heißt, Kundendaten, Konten oder Schlüssel sind erreichbar. Diese Woche beheben heißt, jemand könnte es gegen Sie verwenden. Bei Gelegenheit heißt, es erleichtert einen Angriff. Nichts zu tun heißt, es ist nur gut zu wissen. Bei einem Skill, Plugin oder MCP-Server, den Sie installieren möchten, heißen dieselben Stufen Noch nicht installieren, Vor der Installation prüfen, Wissenswert und Nichts zu tun.
Nachweis: Was der Scan tatsächlich gesehen hat und das Problem belegt, etwa ein Header oder ein öffentlicher Eintrag, wobei alles Sensible verborgen wird.
Abdeckung: Was ein Scan prüfen konnte. Alles, was er nicht prüfen konnte, wird nie als bestanden gezählt.
Im Browser erstellt: Eine Website, deren Seiten von Code im Browser des Besuchers zusammengesetzt werden, wie bei vielen React-Apps. Pulse liest, was dein Server ausliefert, und sieht bei solchen Websites deshalb weniger. Der Reiter Umfang im Bericht sagt, was fehlt.
Erneut prüfen: Ein neuer Scan derselben Art auf derselben Website, verglichen mit dem vorherigen. Er verbraucht immer einen Scan. Die CLI nennt das eine Nachprüfung.
Diesen Eintrag neu einlesen: Ein kostenloses, sofortiges Neueinlesen deiner öffentlichen DNS-, Zertifikats- und Registrierungseinträge für ein Problem. Es wird nichts an deine Website gesendet, und es verbraucht keinen Scan.
Eigentum an deiner Website nachweisen: Der einmalige Schritt, den Deep braucht. Du fügst einen DNS-Eintrag, ein Meta-Tag oder eine Datei hinzu, die nur der Eigentümer der Website veröffentlichen kann, und Lockpick prüft vor jedem Deep-Scan, ob sie vorhanden ist.
Bestätigung: Deine Bestätigung, dass dir eine Website gehört oder du sie testen darfst. Lockpick fragt sie vor jedem Scan ab.
Monitor: Lockpick beobachtet veröffentlichte Sicherheitsprobleme in der Software, die deine Websites nutzen, etwa Next.js oder WordPress, und sagt dir, wenn eines davon für dich relevant sein könnte.
Hinweis: Eine öffentliche Mitteilung über ein Sicherheitsproblem in einer Software, meist mit dem Release, das es behebt.
Könnte dich betreffen: Deine Website nutzt die Software, um die es in einem Hinweis geht, aber wir können nicht sehen, welche Version. Wenn deine Website bereits ein behobenes Release einsetzt, muss nichts geändert werden.
Betrifft dich: Die Paketversionen, die du an Lockpick gesendet hast, enthalten ein betroffenes Release. Aktualisiere auf das Release, das der Hinweis nennt.
Aktiv ausgenutzt: Angreifer nutzen dieses Problem bereits gegen echte Websites. Kümmere dich zuerst um diese.
KEV: Die Liste der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA. Die CISA ist die Cybersicherheitsbehörde der US-Regierung, und ihre Liste nennt Probleme, die Angreifer gerade nutzen.
CVE und GHSA: Öffentliche IDs für ein bekanntes Sicherheitsproblem, etwa CVE-2025-55182. Eine GHSA-ID ist GitHubs ID für dieselbe Art von Mitteilung. Du brauchst sie nur, um ein Problem nachzuschlagen.
RCE: Remote Code Execution. Ein Problem, mit dem ein Angreifer eigenen Code auf deinem Server ausführen kann, eine der schwerwiegendsten Arten.
Öffentliche Einträge: Fakten über deine Domain, die jeder nachschlagen kann, etwa ihre DNS-Einträge, Zertifikatslogs und Registrierungsdaten. Sie haben nichts mit Gerichts- oder Behördenakten zu tun.
DNS: Das Adressbuch des Internets. Es sagt, wo deine Website und deine E-Mails liegen, und jeder kann es lesen.
Subdomain: Eine Adresse unter deiner Domain, etwa shop.example.com unter example.com. Zertifikatslogs listen sie auf, sodass jeder sie finden kann.
TXT-Eintrag: Ein DNS-Eintrag, der eine Textzeile enthält. E-Mail-Sicherheitseinstellungen und Eigentumsnachweise nutzen sie.
SPF: Ein DNS-Eintrag, der festlegt, welche Server E-Mails im Namen deiner Domain senden dürfen.
DKIM: Eine Signatur auf deinen E-Mails, die belegt, dass sie wirklich von deiner Domain stammen.
DMARC: Ein DNS-Eintrag, der E-Mail-Anbietern sagt, was sie mit E-Mails tun sollen, die SPF oder DKIM nicht bestehen, etwa sie abzulehnen.
HTTPS-Zertifikat: Es ermöglicht Browsern, sich privat mit deiner Website zu verbinden, und prüft, dass sie wirklich dir gehört. Jedes Zertifikat steht in öffentlichen Logs.
Sicherheits-Header: Anweisungen, die deine Website mit jeder Seite sendet und die Browser anweisen, gängige Angriffe zu blockieren.
Content Security Policy: Ein Sicherheits-Header, der Browsern sagt, welche Skripte auf deiner Seite laufen dürfen.
HSTS: Ein Sicherheits-Header, der Browsern sagt, dass sie für deine Website ausschließlich HTTPS verwenden sollen.
CORS: Die Regeln, die festlegen, welche anderen Websites Daten deiner Website im Browser eines Besuchers lesen dürfen.
Source-Map: Eine Datei, die den komprimierten Code deiner Website wieder in lesbaren Quellcode umwandelt. Öffentlich zugänglich kann sie zeigen, wie deine App funktioniert.
Offengelegte Datei: Eine Datei, die nie öffentlich sein sollte, etwa eine Einstellungsdatei oder ein Backup, und die jeder herunterladen kann.
Subdomain-Übernahme: Wenn eine Subdomain noch auf einen Dienst zeigt, den Sie nicht mehr nutzen, kann ein Fremder sie übernehmen und dort eine eigene Seite anzeigen.
robots.txt: Eine Datei auf Ihrer Website, die automatischen Besuchern sagt, welche Seiten sie auslassen sollen. Lockpick hält sich für jede gefundene Seite daran, liest aber trotzdem die Seite, die ein Besucher öffnet, und die Dateien, die sie lädt.
User-Agent: Der Name, den ein Programm beim Besuch Ihrer Website angibt. Die Scans von Lockpick senden den eines gewöhnlichen Browsers und weisen sich stattdessen mit einem signierten Signature-Agent-Header als Lockpick aus.
Reparaturbericht: Alle Korrekturen eines Scans in einem Dokument, geschrieben für eine Entwicklerin, einen Entwickler oder einen Coding-Assistenten.
Fix-Prompt: Anweisungen für eine einzelne Korrektur, die Sie in einen Coding-Assistenten wie Claude Code oder Cursor einfügen. Jedes Problem hat seinen eigenen, und Sie können ihn vor dem Kopieren bearbeiten.
MCP: Das Model Context Protocol, der Standard, über den KI-Assistenten sich mit Werkzeugen wie Lockpick verbinden.
OAuth: Der Standard, mit dem eine App in Ihrem Auftrag handeln darf, ohne Ihr Passwort zu erhalten. Assistenten melden sich damit bei Lockpick an.
CLI: Lockpick für Ihr Terminal, der Befehl lockpick, installiert aus npm als lockpicks.
API-Schlüssel: Ein geheimer Schlüssel, vergleichbar mit einem Passwort für ein Programm, der es erlaubt, bei einem anderen Dienst ein Konto zu nutzen. Der API-Schlüssel von Lockpick erlaubt der CLI oder Ihren Release-Scans, Ihr Lockpick-Konto zu nutzen. Die CLI erhält einen, wenn Sie sich anmelden.
Projekte und Läufe: Die CLI, die API und einige Web-Adressen verwenden noch project für eine Website und run für einen Scan. Die Begriffe bedeuten dasselbe.