Wenn ein Befund nicht stimmt
Warum ein Befund manchmal danebenliegt und wie Sie uns das melden.
Ein Check von außen arbeitet mit Mustern. Die treffen meistens, aber nicht immer. Passt ein Befund nicht zu Ihrer Seite, liegt es oft an einem dieser Gründe. Einen offenen Schlüssel sollten Sie trotzdem erst sperren und dann prüfen, ob der Befund stimmt.
CDN und Firewall
Viele Seiten laufen hinter einem vorgeschalteten Dienst wie Cloudflare, der Inhalte zwischenspeichert (CDN) oder Angriffe abwehrt (Web Application Firewall, kurz WAF). Dieser Dienst antwortet manchmal statt Ihrer Seite, etwa mit einer Prüfseite gegen Bots, einer zwischengespeicherten Fassung oder eigenen Headern. Dann bewerten wir diese Antwort.
Typisch sind fehlende Header, obwohl Sie sie gesetzt haben, oder ein Server-Header, der den Dienst statt Ihres Servers nennt. Sehen Sie nach, ob der Dienst Ihre Header weiterreicht, leeren Sie seinen Zwischenspeicher und prüfen Sie neu. Unser Abruf meldet sich als HullwiseScanner/1.0. Blockiert Ihre Firewall diese Kennung, bewerten wir die Sperrseite oder bekommen gar keine Antwort. Sperrt sie nur die JavaScript-Dateien, fehlen im Ergebnis die Funde daraus.
Versionsnummer nur im Dateinamen
Versionen lesen wir aus Namen und Adressen eingebundener Dateien. Das kann danebenliegen:
- WordPress hängt an viele Dateien ?ver= an. Das ist oft die Version des Plugins oder von WordPress, nicht die der Bibliothek.
- Nach einem Update behält ein Ordner oder eine Datei manchmal die alte Nummer im Namen.
- Kurze Namen wie d3 oder chart können in Adressen vorkommen, die mit der Bibliothek nichts zu tun haben.
- Manche Anbieter flicken alte Versionen, ohne die Nummer zu ändern.
So prüfen Sie es: Öffnen Sie die Datei im Browser. Oben steht meist ein Kommentar mit der echten Version. Mehr in Wie der Abgleich funktioniert.
Muster ohne Gefahr
- Ein Download-Link auf eine Datei mit .sql oder .bak löst den Hinweis auf sensible Pfade aus, auch wenn die Datei harmlos ist.
- Ein Blogartikel über „fatal error“ sieht für uns aus wie eine Fehlerausgabe.
- Ein Wert unter einem Namen wie api_key kann auch ein öffentlicher Schlüssel sein, der in den Browser gehört.
- Eine mitgelieferte Bibliothek kann Beispielwerte enthalten, die wie ein Schlüssel aussehen. Prüfen Sie beim Anbieter, ob es den Schlüssel gibt.
- Eine Variable wie VITE_SECRET_SANTA_AKTIV heißt nur geheim. Benennen Sie sie um, dann verschwindet der Befund.
- Beim Mail-Schutz suchen wir SPF und DMARC zuerst auf der Domain, auf der Ihre Seite landet, und gehen dann bis zur Hauptdomain hoch. Bei ungewöhnlichen Endungen kann die Hauptdomain falsch erkannt werden.
Andere Tools, andere Ergebnisse
Jedes Tool gewichtet anders. Manche bewerten den Inhalt der Header, etwa wie streng die CSP ist. Wir prüfen derzeit nur, ob sie da sind. Andere sehen sich mehr Unterseiten an, lesen keine JavaScript-Dateien oder testen die Verschlüsselung genauer. Dazu kommt der Zeitpunkt: Zwischen zwei Checks kann sich der Zwischenspeicher eines CDN geändert haben. Unsere Rechnung steht vollständig in Wie die Note entsteht.
Fehlalarm melden
Schreiben Sie uns an cem@cdcapital-group.com. Am meisten hilft uns:
- die geprüfte Adresse
- der Befund, als Text oder mit seiner Kennung wie code.secret_pattern
- warum Sie ihn für falsch halten
Schicken Sie uns bitte keine Schlüssel oder Passwörter mit. Liegt es an unserem Muster, passen wir die Prüfung an.
Noch Fragen? Schreiben Sie uns.