# Codex-Security-Korrekturen auf deiner Live-Website prüfen Nachdem ein Coding-Assistent deinen Code gepatcht hat, frag Lockpick, ob die bereitgestellte Website das Problem noch zeigt, und erhalte behoben, noch offen oder nicht eindeutig zurück. Lockpick arbeitet mit Codex Security zusammen. Beide betrachten unterschiedliche Hälften desselben Problems. Codex Security liest deinen Quellcode und patcht ihn. Lockpick prüft, was tatsächlich unter deiner URL bereitgestellt ist. Nach einem Patch bleibt eine Frage offen: Zeigt die Live-Website das Problem noch? Lockpick beantwortet sie. Lockpick ist weder mit OpenAI verbunden noch von OpenAI empfohlen. Codex Security wird hier nur genannt, um zu sagen, dass Lockpick mit ihm zusammenarbeitet. ## Der Ablauf 1. Codex Security findet ein Problem in deinem Code und schlägt nach `codex-security patch` eine Korrektur vor oder wendet sie an. 2. Du stellst die Korrektur auf der Website bereit. 3. Lockpick prüft die bereitgestellte URL erneut und gibt einen von drei Zuständen zurück. ## Was eine erneute Prüfung belegen kann Ein neuer Scan wird mit dem früheren verglichen. Jede frühere Feststellung kommt als eine dieser Angaben zurück. * **Behoben.** Lockpick hat dieselbe Ressource erneut gelesen und die Feststellung nicht beobachtet. Das ist eine Aussage über diese eine Ressource, kein Zertifikat für die ganze Website und kein Nachweis, dass ein Zugangsdatum rotiert wurde. * **Noch offen.** Die Feststellung wird weiterhin beobachtet. Wenn du eine Korrektur erwartet hast, prüfe, ob der Patch unter der URL, die Lockpick getestet hat, tatsächlich live ist. * **Nicht eindeutig.** Lockpick konnte diesmal nicht prüfen, weil die Website den Scan blockiert, ihn gedrosselt hat oder die Tiefe ihn nicht erreichte. Nicht eindeutig gilt nie als behoben. Lockpick markiert nie etwas als behoben, weil ein Patch zusammengeführt oder ein Ticket geschlossen wurde. Es meldet nur, was es auf der bereitgestellten Website beobachtet hat. ## Mach es über deinen Coding-Agenten Verbinde Lockpick mit deinem Assistenten (siehe [Codex](/de/docs/ai/codex) und [Berechtigungen](/de/docs/mcp/permissions)) und bitte ihn dann, die Korrektur zu prüfen. Das Skill `lockpick-fix` aus dem Skills-Paket führt ihn durch die Korrektur und die erneute Prüfung. ```text title="Prompt" I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive. ``` ## Über die CLI erledigen Für eine erneute Prüfung brauchst du die Berechtigung, Scans auf der Website zu starten, und einen CLI-Schlüssel mit Pulse-Zugriff. Deep-Scans brauchen außerdem den Eigentumsnachweis und deine Freigabe. Eine unterstützte Feststellung aus öffentlichen Einträgen (DNS) kann kostenlos erneut gelesen werden. Die Note bleibt dabei unverändert. ```bash title="DNS-Erneutprüfung" lockpick recheck --dns ``` Alles, was über HTTP erreichbar ist, braucht einen neuen Scan in der Tiefe der Feststellung. Dieser verbraucht einen Scan aus deinem monatlichen Kontingent. Lies die Kosten vorher. ```bash title="Eine bereitgestellte HTTP-Feststellung erneut prüfen" lockpick status lockpick pulse lockpick compare ``` `lockpick compare` gibt für jede frühere Feststellung dieselben drei Zustände aus. ## Code-Feststellungen einbinden Um die Code-Feststellungen von Codex Security neben den Live-Feststellungen von Lockpick zu sehen, gleiche sie auf deinem Rechner ab. ```bash title="Abgleich, nichts verlässt deinen Rechner" lockpick import findings.json --run ``` Der Befehl liest eine `findings.json` von Codex Security oder eine SARIF-2.1.0-Datei. Er ordnet jede Code-Feststellung den Live-Feststellungen auf derselben Route zu und erhöht die Sicherheit, wenn Lockpick gesehen hat, dass diese Route ohne Anmeldung antwortet. Standardmäßig verlässt nichts über die Code-Feststellungen deinen Rechner. Nur ein ausdrückliches `--upload` erstellt einen minimalen Satz an Abgleichsschlüsseln, also Routenpfade, Regel-IDs und Schweregrade. Vorher zeigt es dir genau, was geteilt würde.