# So prüfen wir

Lockpick liest, was jeder im Netz über deine Website sehen kann, innerhalb fester Grenzen, und meldet nur, was es gesehen hat.

Lockpick prüft deine Website von außen, so wie ein Fremder oder Angreifer sie finden würde. Jede Prüfung liest nur, was deine Website der Öffentlichkeit ohnehin zeigt, dazu öffentliche Einträge zu deiner Domain, und nichts darüber hinaus.

## Innerhalb fester Grenzen

Jede Scan-Art hat ein festes Budget, das sie nicht überschreiten kann.

|  | Pulse | Deep |
| --- | --- | --- |
| In plain words | A quick outside look, the way a stranger or a bot sees your site | A careful walk through your site, the way a determined attacker would |
| What we look at | The homepage and the files it loads, email sender settings (SPF and DMARC), security headers and TLS, and public DNS, certificate and subdomain records, in at most 10 requests. | Up to 30 readable pages and 20 scripts, files that should not be public, admin areas, and your API if you have one. If your site builds its pages in the browser, the report says how much Deep could read. |
| How long | Usually under 15 seconds | 2 to 8 minutes |
| Needs proof you own it | No, just confirm you're allowed | Yes, a DNS record, a meta tag or a file, kept published |

* Ein Pulse sendet höchstens 10 Anfragen an deine Website, ein Deep-Scan höchstens 200.
* Anfragen werden verteilt. Ein Scan hält früh an, wenn deine Website langsamer wird, ausfällt oder ablehnt.
* DNS-Einträge, Zertifikatsprotokolle und Domain-Registrierungen zu lesen, berührt deine Website nie.

## Nur, was wir gesehen haben

Eine Feststellung wird nur mit dem Nachweis gemeldet, der sie zeigt. Ein Bericht sagt, was jeder Teil des Scans lesen konnte. Alles, was nicht geprüft werden konnte, ist als nicht geprüft markiert, nie als bestanden. [So bewerten wir Feststellungen](/de/docs/security/how-we-rate-findings) erklärt den Schweregrad, was eine bestätigte Feststellung zeigen muss und was eine erneute Prüfung belegen kann.

## Zuerst deine Erlaubnis

Jeder Scan beginnt mit deiner Bestätigung, dass dir die Website gehört oder dass du sie testen darfst. Ein Deep-Scan braucht außerdem den [Nachweis des Eigentums](/de/docs/protect/prove-you-own-your-site) und deine Freigabe jedes Mal.