Deine Admin-Seite ist im Internet erreichbar

Die meisten Websites haben Bereiche, die nur du nutzen solltest, etwa einen Admin-Bereich, ein Dashboard oder die Verbindung, mit der deine App ihre Datenbank liest. Liegen sie unter derselben öffentlichen Adresse wie deine Website, kann sie jeder finden.

Erreichbar zu sein ist für sich genommen kein Problem. Es wird erst gefährlich, wenn etwas Erreichbares antwortet, ohne zu fragen, wer du bist.

Wonach ein Scan sucht

• Eine Datenverbindung, die Datensätze ohne Anmeldung zurückgibt, etwa eine Datenbanktabelle oder eine Liste von Nutzern, die privat sein sollte.
• Eine API, die manche Anfragen mit Anmeldung beantwortet und dieselben Anfragen ohne Anmeldung ebenfalls.
• Werkzeuge für Entwickler, etwa eine öffentliche Liste aller API-Aktionen oder ein Abfrage-Explorer, die auf der Live-Website eingeschaltet geblieben sind.
• Anmelde-Cookies, die für Skripte auf der Seite sichtbar sind.

Das kommt oft bei schnell gebauten Apps auf Diensten wie Supabase oder Firebase vor. Dort starten die Zugriffsregeln während der Entwicklung offen und werden leicht vergessen.

Was du tun kannst

Prüfe die Zugriffsregeln jeder Datenquelle, die deine App nutzt, damit jede nur Personen antwortet, die angemeldet und berechtigt sind. Schalte Entwicklerwerkzeuge auf der Live-Website aus. Wenn du kannst, setze den Admin-Bereich hinter eine zusätzliche Anmeldung oder auf eine Adresse, die nur dein Team nutzt.

Ein Scan zeigt dir, was geantwortet hat, mit der gesendeten Anfrage. So kann dein Entwickler sie wiederholen.