Wie die Note entsteht
Wofür es Punkte gibt, was abgezogen wird und ab wann es ein A ist.
Punkte für die Schutz-Einstellungen
Jede Seite startet mit 10 Punkten. Für jede Schutz-Einstellung, die Ihr Server dem Browser mitschickt, kommen Punkte dazu. Diese Einstellungen heißen Header. Sind alle sechs da, ergibt das 100.
Für die Punkte zählt nur, ob ein Header da ist. Wie streng sein Wert ist, bewerten wir derzeit nicht. Schützen kann er Sie trotzdem nur mit einem sinnvollen Wert.
Was abgezogen wird
Für andere Befunde ziehen wir Punkte ab. Am meisten kostet ein offener Schlüssel, weil ihn jeder sofort benutzen kann. Ein einziger Generalschlüssel drückt auch eine Seite mit allen Headern auf C, zwei davon auf E.
| Befund | Abzug |
|---|---|
| Geheimer Schlüssel im HTML oder in den JavaScript-Dateien, etwa ein Supabase-Generalschlüssel oder ein OpenAI-Schlüssel | 40 Punkte je Schlüsselart |
| Wert unter einem Namen wie client_secret oder access_token im HTML der Startseite | 25 Punkte je Art |
| Kein HTTPS | 20 Punkte, und die Note ist immer F |
| Veraltete Software mit bekannten Lücken | 8 Punkte je Fund, zusammen höchstens 20 |
| KI-Aufruf direkt aus dem Browser, geheim benannte Variable, unverschlüsselt geladene Teile, sichtbare Fehlermeldung | je 10 Punkte |
| Datenbank (Supabase, Firebase) direkt aus dem Browser erreichbar, Source Maps, fremde Skripte ohne Fingerabdruck, Verweise auf heikle Dateien, Google-Schlüssel | je 3 Punkte |
| Mail-Schutz, Zertifikat oder Verschlüsselung, als Warnung, etwa keine Weiterleitung von http auf https | je 5 Punkte |
| Mail-Schutz, Zertifikat oder Verschlüsselung, als Hinweis | je 2 Punkte |
Cookies, eine sichtbare Server-Version und der Header X-Powered-By kosten nichts. Sie stehen nur als Hinweise im Ergebnis. Die Punktzahl bleibt immer zwischen 0 und 100.
Ab wann welche Note
| Note | Punktzahl |
|---|---|
| A | ab 90 Punkten |
| B | ab 75 Punkten |
| C | ab 60 Punkten |
| D | ab 40 Punkten |
| E | ab 20 Punkten |
| F | unter 20 Punkten oder ohne HTTPS |
Ein Beispiel
Ihre Seite läuft über HTTPS und schickt alle Header außer Content-Security-Policy und Permissions-Policy mit. Das sind 10 plus 20, 15, 10 und 10, also 65 Punkte. Dazu fehlt der DMARC-Eintrag gegen gefälschte Mails, eine Warnung. Nach 5 Punkten Abzug stehen 60 Punkte da, ein C. Eine erste Content-Security-Policy ohne Regeln für Skripte bringt 10 Punkte, die Seite bleibt bei C. Erlaubt sie Skripte nur von der eigenen Domain, kommen 25 Punkte dazu, und die Seite hätte ein B.
Liegt in derselben App zusätzlich ein OpenAI-Schlüssel in den JavaScript-Dateien, gehen 40 Punkte ab. Aus dem C wird ein E. Ist der Schlüssel gesperrt und aus dem Code entfernt, steht beim nächsten Check wieder das C da.
Was die Note aussagt
Ein A heißt: Von außen sind die üblichen Schutz-Einstellungen da, und wir haben nichts Auffälliges gefunden. Dass Ihre App sicher ist, beweist es nicht. Anmeldung, Datenbank und Zugriffsregeln sehen wir von außen nicht, siehe Was wir nicht prüfen.
Eine schlechte Note heißt umgekehrt nicht, dass jemand eingebrochen ist. Oft fehlen ein paar Header, und die tragen Sie auf den meisten Plattformen in einer Datei nach. Die Vorlagen stehen in Header setzen nach Plattform. Bei Shopify geht das nicht, dort bleiben diese Abzüge stehen. Steht ein offener Schlüssel im Ergebnis, gehen Sie zuerst diesen an.
Noch Fragen? Schreiben Sie uns.