So prüft Lockpick eine Website
Was Pulse und Deep prüfen, was sie unberührt lassen und wie Sie ein Ergebnis lesen.
Die Einführung ansehen
Vier Minuten mit Pick, vom Hinzufügen Ihrer Website bis zur Übergabe der Behebung an Ihre KI. Untertitel laufen im Bild mit, das Video funktioniert also auch ohne Ton.
Transkript lesen
- 0:00 Lockpick kennenlernen
- Pick stellt Lockpick vor. Es liest Ihre live Website von außen, so wie ein Fremder es täte, und braucht nie Ihren Code.
- 0:44 Website hinzufügen
- Fügen Sie Ihre Website mit ihrer Adresse hinzu und bestätigen Sie, dass sie Ihnen gehört oder Sie sie testen dürfen.
- 1:26 Ihr erster Scan
- Starten Sie Ihren ersten Pulse-Scan. Er liest Ihre Startseite und öffentliche Einträge meist in unter 15 Sekunden und verändert nichts auf Ihrer Website.
- 2:19 Bericht lesen
- Lesen Sie die Bewertung und dann jeden Befund in einfachen Worten, mit dem Nachweis dahinter und dem, was jemand damit anstellen könnte.
- 3:10 Mit Ihrer KI beheben
- Kopieren Sie den Fix-Prompt eines Befunds in Ihren Coding-Assistenten, prüfen und testen Sie die Änderung und klicken Sie dann auf Erneut prüfen, um die Behebung zu bestätigen.
Pulse und Deep
Zwei Tiefen desselben Blicks von außen. Pulse ist in jedem Tarif kostenlos. Deep gehört zum Deep-Tarif und geht viel weiter, auf Websites, deren Eigentum Sie nachgewiesen haben.
Pulse
Ein schneller Blick von außen, so wie ein Fremder oder ein Bot deine Website sieht
- Was wir prüfen
- Die Startseite und die Dateien, die sie lädt, E-Mail-Absendereinstellungen (SPF und DMARC), Sicherheitsheader und TLS sowie öffentliche DNS-, Zertifikats- und Subdomain-Einträge, in höchstens 10 Anfragen.
- Dauer
- Meist unter 15 Sekunden
- Nachweis der Inhaberschaft nötig
- Nein, du bestätigst nur, dass du berechtigt bist
Deep
Ein gründlicher Durchgang durch deine Website, so wie ein entschlossener Angreifer vorgehen würde
- Was wir prüfen
- Bis zu 30 lesbare Seiten und 20 Skripte, Dateien, die nicht öffentlich sein sollten, Admin-Bereiche und deine API, falls du eine hast. Baut deine Website ihre Seiten im Browser auf, zeigt der Bericht, wie viel Deep lesen konnte.
- Dauer
- 2 bis 8 Minuten
- Nachweis der Inhaberschaft nötig
- Ja, ein DNS-Eintrag, ein Meta-Tag oder eine Datei, dauerhaft veröffentlicht
Keine der beiden Varianten verändert etwas auf deiner Website.
Vom Befund zur Behebung
Jeder Scan endet im selben Ablauf, damit Sie wissen, wann ein Problem wirklich behoben ist.
Scannen
Starten Sie einen Pulse- oder Deep-Scan oder lassen Sie eine wöchentliche automatische Prüfung einen für Sie ausführen.
Befund lesen
Jeder Befund sagt in einfachen Worten, was offen ist, was jemand damit anstellen könnte und welchen Nachweis wir gesehen haben.
Die Behebung an Ihre KI geben
Kopieren Sie den Fix-Prompt in Lovable, Bolt, Replit, Cursor oder Claude Code. Prüfen und testen Sie die Änderung, bevor Sie sie einspielen.
Erneut prüfen
Erneut prüfen führt denselben Scan aus, um die Behebung zu bestätigen. Dafür wird ein Scan aus dem Monatskontingent verwendet.
Bei einem DNS-Befund liest Diesen Eintrag erneut den öffentlichen Eintrag kostenlos neu, ohne einen neuen Scan.
Wöchentliche automatische Prüfungen
Schalten Sie eine automatische Prüfung ein, und Lockpick scannt Ihre Website einmal pro Woche und schickt Ihnen per E-Mail die Bewertung, was behoben wurde, was neu ist und die eine Sache, die Sie zuerst beheben sollten. Der Kostenlos-Tarif prüft wöchentlich mit Pulse. Der Deep-Tarif prüft wöchentlich mit Pulse oder Deep.
Jede automatische Prüfung verbraucht einen Scan aus dem Monatskontingent, genauso wie ein Scan, den Sie selbst starten. Sind die Scans aufgebraucht, warten automatische Prüfungen auf die Zurücksetzung und schreiben Ihnen dann per E-Mail.
Fragen
Welche Websites darf ich prüfen?
Nur Websites, die dir gehören oder für die du eine Testberechtigung hast. Prüfe vor dem Start die genaue HTTPS-Origin. Die Erlaubnis für eine Website umfasst keine anderen Domains, gemeinsam genutzte Hosting-Infrastruktur oder Dienste Dritter.
Muss ich mich mit Sicherheit auskennen?
Beginne mit der Erklärung in einfacher Sprache und öffne bei Bedarf die Belege. Dein Programmieragent kann bei der Reparatur helfen. Du solltest die vorgeschlagene Änderung trotzdem prüfen und testen.
Führt mein Coding-Agent den Scan aus?
Lockpick führt den Scan auf eigener Infrastruktur aus. Ihr Coding-Agent kann helfen, den Fix-Prompt in Ihrem Repository anzuwenden. Ihre Ergebnisse zeigen die Nachweise und nächsten Schritte. Private Workflows und interne Logs sind nicht Teil des Berichts.
Was prüft Pulse?
Die Startseite und die Dateien, die sie lädt, E-Mail-Absendereinstellungen (SPF und DMARC), Sicherheitsheader und TLS sowie öffentliche DNS-, Zertifikats- und Subdomain-Einträge, in höchstens 10 Anfragen. Es meldet sich nicht an, sendet keine Formulare ab, greift nicht auf Ihre Datenbank zu und beweist nicht, dass Benutzerrollen voneinander getrennt sind. Deep geht weiter, bis zu 30 lesbaren Seiten und 20 Skripten sowie Ihre API, sobald Sie nachgewiesen haben, dass Ihnen die Website gehört. Wenn eine Website ihre Seiten im Browser aufbaut, zeigt der Bericht, wie viel Deep lesen konnte.
Hält sich Lockpick an robots.txt?
Pulse liest eine Seite, die Startseite, die ein Besucher öffnet, und die Dateien, die sie lädt, so wie es der Browser eines Besuchers tut. Außerdem liest es robots.txt, Ihre Sitemap und security.txt und crawlt nie eine andere Seite. Deep liest robots.txt nur zur Erkennung. Die Sitemap-Angabe und die darin genannten Pfade bestimmen, was Deep prüft, doch Deep ruft auch Pfade auf, die die Datei untersagt, denn robots.txt ist eine Bitte an gesittete Crawler und keine Zugriffskontrolle. Deep läuft nur auf Websites, deren Eigentum Sie nachgewiesen haben.
Bedeutet ein unauffälliges Ergebnis, dass meine App sicher ist?
Nein. Es bedeutet, dass die abgeschlossenen Prüfungen in der untersuchten Antwort kein Problem festgestellt haben. Unklare Prüfungen und ungeprüfte Bereiche bleiben sichtbar. Eine Prüfung der öffentlichen Startseite kann nicht die Sicherheit der gesamten Anwendung bestätigen.
Ändert Lockpick meinen Code?
Es werden keine Änderungen automatisch vorgenommen. Prüfen Sie den Fix-Prompt mit Ihrem Coding-Agenten, testen Sie die vorgeschlagene Behebung und entscheiden Sie, ob Sie sie einspielen. Das Kopieren eines Prompts löst keinen Befund. Erneut prüfen vergleicht neue Nachweise.
Was passiert, wenn der Scan vorzeitig abbricht?
Bricht ein Scan vorzeitig ab, markiert der Bericht, welche Prüfungen abgeschlossen wurden und welche nicht. Ein unvollständiges Ergebnis wird nie als sauber angezeigt.
Kann ich die Ergebnisse dauerhaft behalten?
Berichte bleiben in Ihrem Arbeitsbereich, bis Sie sie löschen oder Ihr Konto schließen. Legen Sie niemals Passwörter, Zugriffstoken oder Kundendaten in einer Ziel-URL oder einem Reparatur-Brief ab.
Quellen
Der Live-Zähler der Schwachstellen auf der Startseite beginnt mit Zero Day Clock, das 57.871 von Januar bis August 2026 veröffentlichte CVEs zählte. Wir schreiben ihn mit derselben täglichen Rate fort.
Sehen Sie, was Ihre Website zeigt
Beginnen Sie mit einem kostenlosen Blick auf Ihre Startseite und entscheiden Sie dann, wie weit Sie gehen möchten.