Kostenlos scannen

So funktioniert Hullwise

Hullwise prüft Websites und Apps von außen, so wie sie jeder Besucher sieht. Dazu gehören die JavaScript-Dateien, in denen bei Apps aus Lovable, Bolt oder Cursor oft offene Schlüssel stehen. Hier lesen Sie, was dabei passiert, was ein Befund für Ihr Unternehmen bedeutet und wie Sie ihn beheben. Wer den Check aus eigenem Code oder einem KI-Assistenten startet, findet alles Technische in der Entwickler-Doku.

Start

Der erste CheckAdresse eingeben, Ergebnis lesen und sehen, womit Sie anfangen.Vibe-Coding-Apps absichernWelche Lücken Apps aus Lovable, Bolt, Cursor, Claude Code, Codex, v0 oder Replit oft haben, was Hullwise davon findet und was Sie bei einem offenen Schlüssel sofort tun.Wie die Note entstehtWofür es Punkte gibt, was abgezogen wird und ab wann es ein A ist.Was wir nicht prüfenWas ein Check von außen liest, was er nie tut, was er deshalb nicht sieht und wann sich ein Audit lohnt.

Befunde verstehen

Schutz-Einstellungen für den BrowserSechs Zeilen, die Ihr Server bei jedem Aufruf mitschickt. Wogegen jede hilft und mit welchem Wert Sie anfangen.HTTPS und ZertifikatOb Ihre Seite verschlüsselt erreichbar ist, wann Ihr Zertifikat abläuft und was bei einer Warnseite hilft.Schutz gegen gefälschte MailsZwei Einträge bei Ihrem Domain-Anbieter legen fest, wer Mails in Ihrem Namen senden darf (SPF und DMARC).Veraltete Software mit bekannten LückenWoran wir Versionen erkennen, woher wir die Lücken kennen und warum der Befund „möglicherweise betroffen“ heißt.Was jeder in Ihrem Code lesen kannZugangsschlüssel für Datenbank, KI-Dienste und Zahlungen, Fehlermeldungen und andere Spuren im HTML und in den JavaScript-Dateien Ihrer App.Cookies absichernWas die Merkmale Secure und HttpOnly bewirken und wie Sie sie setzen.Datenschutz-Check (DSGVO)Google Fonts, Tracking vor der Einwilligung, eingebettete Inhalte und Impressum: was wir erkennen und wie Sie es beheben.Domain und DNSÜbernahme verwaister Adressen, CAA, DNSSEC, security.txt, SPF-Abfragen und MTA-STS.Technik-ErkennungWoran wir sehen, womit und wo Ihre Seite gebaut ist, und wie Sie weniger davon preisgeben.

Beheben

Header setzen nach PlattformVorlagen für Vercel, Netlify, Next.js, Cloudflare, nginx und Apache. Dazu, was bei WordPress, Shopify, Lovable und Bolt geht.Wenn ein Befund nicht stimmtWarum ein Befund manchmal danebenliegt und wie Sie uns das melden.

Konto & Agenten

API und KI-AssistentenDen Check aus eigenem Code, einer Pipeline oder einem KI-Assistenten wie Claude oder Cursor starten.Ihre DatenWas wir speichern, was nie und warum es keine öffentlichen Ergebnisseiten gibt.

Häufige Fragen

Greift Hullwise unsere Seite an?

Nein. Wir rufen Ihre Startseite einmal auf wie ein normaler Besucher und laden die JavaScript-Dateien, die sie selbst einbindet, so wie jeder Browser. Wir probieren keine Pfade aus, senden keine Formulare ab, melden uns nirgends an und benutzen keine gefundenen Schlüssel. Mehr dazu

Findet Hullwise offene Schlüssel in Apps aus Lovable, Bolt oder Cursor?

Ja, wenn sie im HTML oder in den JavaScript-Dateien der App stehen. Dort landen sie bei diesen Apps meist. Wir nennen Art und Fundstelle und zeigen den Wert nur gekürzt, etwa sk_live_…9f2A. Den vollständigen Wert zeigen wir nie. Ob die Datenbank Zugriffsregeln hat, sieht ein Check von außen nicht, das prüft das Audit. Mehr dazu

Dürfen wir jede Seite prüfen?

Der Check liest nur, was öffentlich ist. Prüfen Sie trotzdem nur Seiten, die Ihr Unternehmen betreibt oder für die Sie einen Auftrag haben. Das Audit startet bei uns erst, wenn Sie nachgewiesen haben, dass Ihnen die Domain gehört. Mehr dazu

Die App funktioniert doch. Warum ist die Note schlecht?

Die Note misst, was ein Fremder von außen ausnutzen könnte. Ob die App läuft, spielt dafür keine Rolle. Am meisten kosten offene Schlüssel und fehlende Schutz-Einstellungen. Die Einstellungen tragen Sie auf den meisten Plattformen in einer einzigen Datei nach. Mehr dazu

Wir nutzen Shopify oder Lovable. Können wir das überhaupt beheben?

Zum Teil. Bei Shopify können Sie keine eigenen Header setzen, dort bleiben diese Abzüge stehen. Den Mail-Schutz Ihrer Domain richten Sie aber selbst ein. Bei Lovable und Bolt hängt es vom Hoster ab: Über Netlify oder Vercel geht es mit einer Vorlage. Offene Schlüssel lassen sich überall beheben. Mehr dazu

Ein anderes Tool zeigt ein anderes Ergebnis. Wer hat recht?

Oft beide. Jedes Tool gewichtet anders und prüft andere Dinge. Dazu kann ein vorgeschalteter Dienst wie Cloudflare auf jede Anfrage etwas anders antworten. Mehr dazu

Was tun wir, wenn ein Schlüssel gefunden wurde?

Sperren Sie den Schlüssel sofort beim Anbieter und legen Sie einen neuen an, der nur auf dem Server liegt. Ihn nur aus dem Code zu löschen reicht nicht, denn jemand kann ihn längst kopiert haben. Prüfen Sie danach die Logs und klären Sie, ob eine Meldepflicht greift. Mehr dazu

Wie oft sollten wir prüfen?

Nach jeder Veröffentlichung und sonst regelmäßig, weil sich Apps ändern und für bestehende Software immer wieder neue Lücken bekannt werden. Das Paket Business prüft Ihre Domains jede Woche und schickt eine Mail, sobald sich eine Note verschlechtert. Mehr dazu

Speichern Sie, welche Seiten wir prüfen?

Ohne Konto legen wir zu Ihrem Check keinen Datensatz an. Mit Konto landet jeder Check in Ihrem privaten Verlauf. Gefundene Schlüssel stehen dort nur gekürzt, den vollständigen Wert speichern wir nie. Öffentliche Ergebnisseiten gibt es nicht. Mehr dazu

Ist Ihre App
wasserdicht?

Hullwise findet die Lecks, bevor es andere tun: offene Schlüssel, Datenbank-Zugänge und veraltete Software. Zu jedem Befund gibt es eine Anleitung zur Behebung.

https://

Klicken Sie auf einen Befund, um ihn als behoben zu markieren.

Preise ansehenSo läuft ein Scan ab

Ship fast. Stay hullwise.