So prüfen wir
Lockpick liest, was jeder im Netz über deine Website sehen kann, innerhalb fester Grenzen, und meldet nur, was es gesehen hat.
Lockpick prüft deine Website von außen, so wie ein Fremder oder Angreifer sie finden würde. Jede Prüfung liest nur, was deine Website der Öffentlichkeit ohnehin zeigt, dazu öffentliche Einträge zu deiner Domain, und nichts darüber hinaus.
Innerhalb fester Grenzen
Jede Scan-Art hat ein festes Budget, das sie nicht überschreiten kann.
| Pulse | Deep | |
|---|---|---|
| Einfach gesagt | Ein schneller Blick von außen, so wie ein Fremder oder ein Bot deine Website sieht | Ein gründlicher Durchgang durch deine Website, so wie ein entschlossener Angreifer vorgehen würde |
| Was wir prüfen | Die Startseite und die Dateien, die sie lädt, E-Mail-Absendereinstellungen (SPF und DMARC), Sicherheitsheader und TLS sowie öffentliche DNS-, Zertifikats- und Subdomain-Einträge, in höchstens 10 Anfragen. | Bis zu 30 lesbare Seiten und 20 Skripte, Dateien, die nicht öffentlich sein sollten, Admin-Bereiche und deine API, falls du eine hast. Baut deine Website ihre Seiten im Browser auf, zeigt der Bericht, wie viel Deep lesen konnte. |
| Dauer | Meist unter 15 Sekunden | 2 bis 8 Minuten |
| Nachweis der Inhaberschaft nötig | Nein, du bestätigst nur, dass du berechtigt bist | Ja, ein DNS-Eintrag, ein Meta-Tag oder eine Datei, dauerhaft veröffentlicht |
- Ein Pulse sendet höchstens 10 Anfragen an deine Website, ein Deep-Scan höchstens 200.
- Anfragen werden verteilt. Ein Scan hält früh an, wenn deine Website langsamer wird, ausfällt oder ablehnt.
- DNS-Einträge, Zertifikatsprotokolle und Domain-Registrierungen zu lesen, berührt deine Website nie.
Nur, was wir gesehen haben
Eine Feststellung wird nur mit dem Nachweis gemeldet, der sie zeigt. Ein Bericht sagt, was jeder Teil des Scans lesen konnte. Alles, was nicht geprüft werden konnte, ist als nicht geprüft markiert, nie als bestanden. So bewerten wir Feststellungen erklärt den Schweregrad, was eine bestätigte Feststellung zeigen muss und was eine erneute Prüfung belegen kann.
Zuerst deine Erlaubnis
Jeder Scan beginnt mit deiner Bestätigung, dass dir die Website gehört oder dass du sie testen darfst. Ein Deep-Scan braucht außerdem den Nachweis des Eigentums und deine Freigabe jedes Mal.
War das hilfreich?
Referenz
Jede Operation der Lockpick-API mit ihrer Berechtigung, ihren Eingaben und ihrer Antwort, direkt aus der API selbst generiert. Version 1, in der Beta.
So bewerten wir Feststellungen
Wie Lockpick den Schweregrad festlegt, was eine bestätigte Feststellung zeigen muss, wie sicher sich jede Feststellung ist, was zuerst zu beheben ist und was eine erneute Prüfung belegen kann.