1Worum es geht
Hullwise liest nur, was eine Website jedem Besucher ausliefert: die Seite selbst und die JavaScript-Dateien, die sie einbindet. Trotzdem ist ein Sicherheits-Check etwas anderes als ein Besuch. Er sucht gezielt nach Schwächen und offen liegenden Schlüsseln. Darum gelten diese Regeln für jede Nutzung, über die Website, die API und den MCP-Server.
Was der Check selbst nie tut:
- Versteckte Pfade ausprobieren oder Dateien wie .env abrufen
- Dateien laden, die Ihre Seite nicht selbst einbindet oder abruft (außer der öffentlichen Datei /.well-known/security.txt), oder Skripte von fremden Domains lesen
- Offene Ports suchen (Port-Scan)
- Formulare absenden oder Angriffs-Code schicken
- Uns anmelden oder gefundene Schlüssel benutzen
- Vollständige Werte gefundener Schlüssel anzeigen oder speichern
- Interne oder private Adressen prüfen
2Nur eigene oder erlaubte Seiten
Prüfen Sie nur Seiten, die Ihnen oder Ihrem Unternehmen gehören oder für die Sie die ausdrückliche Erlaubnis des Betreibers haben. Bei Kunden heißt das: Lassen Sie sich die Erlaubnis geben, bevor Sie prüfen.
Ein Security Audit beginnt ohnehin erst, wenn der Besitz der Domain nachgewiesen ist.
3Keine Massen-Scans fremder Seiten
Nutzen Sie Hullwise nicht, um Listen fremder Seiten abzuarbeiten, etwa um verwundbare Seiten oder offen liegende Schlüssel zu finden, Daten zu sammeln oder Ranglisten über andere zu veröffentlichen. Das gilt auch, wenn jede einzelne Anfrage im Limit bleibt.
4Limits nicht umgehen
Im Browser und über den MCP-Server gehen ohne Anmeldung und ohne Schlüssel 20 Checks pro Stunde. Mit kostenlosem Konto oder Schlüssel sind es 100, mit Business 2.000. Die REST-API braucht immer einen Schlüssel. Umgehen Sie diese Limits nicht, etwa mit mehreren Konten, vielen Schlüsseln oder wechselnden IP-Adressen. Dasselbe gilt für die Kürzung der Berichte ohne bezahlten Plan.
Brauchen Sie mehr, schreiben Sie uns an cem@cdcapital-group.com.
5Befunde verantwortungsvoll nutzen
Nutzen Sie Befunde, um Seiten sicherer zu machen. Nutzen Sie sie nicht, um eine Seite anzugreifen, gefundene Schlüssel auszuprobieren oder Betreiber unter Druck zu setzen. Finden Sie etwas auf der Seite eines anderen, sagen Sie es dem Betreiber vertraulich.
6KI-Agenten
Prüft ein KI-Agent über unseren MCP-Server oder die API, gelten dieselben Regeln. Sie sind verantwortlich für das, was Ihr Agent in Ihrem Auftrag prüft. Geben Sie ihm nur Seiten, die Sie prüfen dürfen.
7Was bei Verstößen passiert
Wir können Schlüssel, Konten und IP-Adressen sperren, bei schweren Verstößen auch ohne Vorwarnung. Bezahlte Leistungen können wir in diesem Fall beenden. Mehr dazu in den AGB.
8Missbrauch melden
Vermuten Sie, dass jemand Ihre Seite mit Hullwise ohne Erlaubnis prüft, schreiben Sie uns an cem@cdcapital-group.com. Nennen Sie uns die Domain und, wenn möglich, den Zeitpunkt.
Unsere Anfragen an die Seite und an ihre JavaScript-Dateien erkennen Sie an dieser Kennung im User-Agent:
HullwiseScanner/1.0 (+surface check; read-only)
9Sicherheitslücken bei Hullwise
Haben Sie eine Lücke in Hullwise selbst gefunden, lesen Sie bitte Sicherheitslücke melden.
10Änderungen
Wir passen diese Regeln an, wenn sich der Dienst ändert. Das Datum oben zeigt den Stand.