Technik-Erkennung

Was wir erkennen

Im Ergebnis steht eine Liste der Technik, die wir auf Ihrer Seite gefunden haben, jeweils mit der Quelle. Dazu gehören der Webserver wie nginx oder Apache, die Programmiersprache wie PHP, das System wie WordPress und verbreitete JavaScript-Bibliotheken wie jQuery oder React. Wo eine Versionsnummer sichtbar ist, steht sie dabei.

Ein Eintrag sieht etwa so aus: nginx 1.18.0, gefunden im Server-Header. Oder: jQuery 3.4.1, gefunden in einem eingebundenen Skript. Die Liste ist keine Bewertung. Sie zeigt, was jeder neugierige Besucher auch sehen kann.

Woran wir das sehen

• Im Server-Header nennen sich viele Server selbst, oft samt Version.
• Im Header X-Powered-By stellen sich etwa PHP oder Express vor.
• Den generator-Eintrag im HTML setzen Systeme wie WordPress.
• Adressen eingebundener Dateien wie bootstrap-4.3.1.min.js verraten Bibliothek und Version.

Dafür reicht, was die Startseite mitschickt. Wie wir erkannte Versionen mit bekannten Lücken abgleichen, steht in Software mit bekannten Lücken.

Plattformen und Hoster

Getrennt davon zeigt das Ergebnis, womit und wo eine App gebaut wurde. So sehen Sie schnell, welche Anleitung passt.

• Lovable, Bolt, v0, Replit und Base44 erkennen wir an der Adresse der App, etwa name.lovable.app, oder an Skripten der Plattform im HTML.
• Vercel und Netlify erkennen wir an ihren Antwort-Headern.
• Next.js und Vite erkennen wir an den Pfaden ihrer JavaScript-Dateien.
• Supabase und Firebase erkennen wir an deren Adressen in den JavaScript-Dateien.

Mit Cursor, Claude Code oder Codex gebaute Apps tragen keine Spur des Werkzeugs. Dort sehen Sie nur Hoster und Framework. Wie Sie solche Apps absichern, steht in Vibe-Coding-Apps absichern.

Ist das ein Problem?

Dass jemand sieht, womit Ihre Seite gebaut ist, schadet nicht. Bei der genauen Version sieht es anders aus: Wer eine Lücke in einer bestimmten Version kennt, sucht gezielt nach Seiten, die diese Version nennen.

Verstecken macht Ihre Seite weniger auffällig, aber nicht sicherer. Schützen kann Sie nur das Update. Deshalb sind eine sichtbare Server-Version und X-Powered-By bei uns nur Hinweise und kosten keine Punkte.

Versionen verstecken

So schalten Sie die Angaben an den häufigsten Stellen ab:

server_tokens off;

ServerTokens Prod
ServerSignature Off

expose_php = Off

Header unset X-Powered-By

app.disable("x-powered-by");

const nextConfig = { poweredByHeader: false };

remove_action('wp_head', 'wp_generator');

Bei Apache wirken ServerTokens und ServerSignature nur in der Hauptkonfiguration, nicht in der .htaccess. Manche Hoster setzen diese Header selbst. Dann hilft nur ihr Panel oder der Support.

Prüfen Sie danach neu. Die Hinweise verschwinden, und die Technik-Liste wird kürzer. Was dann noch dasteht, kommt meist aus den Adressen eingebundener Dateien. Die Liste selbst kostet keine Punkte.

Noch Fragen? Schreiben Sie uns.