# Hullwise API und MCP

Hullwise prüft öffentliche Websites und vibe-gecodete Apps (Lovable, Bolt, Cursor, Claude Code, Codex, v0, Replit) von außen auf offen liegende Schlüssel, Datenlecks und Sicherheitslücken. Ein Check ruft die Seite einmal per GET ab und lädt die JavaScript-Dateien, die die Seite selbst einbindet. Dazu kommen ein TLS-Handschlag und SPF und DMARC aus dem öffentlichen DNS. REST-API unter https://hullwise.co/api/v1, MCP-Server unter https://hullwise.co/mcp. Beide prüfen gleich und nutzen dieselben Fehlercodes. Die REST-API braucht immer einen Schlüssel, der MCP-Server geht auch ohne. Jeder Befund hat eine feste ID.

## Authentifizierung

- Die REST-API braucht einen Schlüssel im Header `Authorization: Bearer sc_live_…`. Echte Schlüssel: `sc_live_` plus 32 Zeichen. Gespeichert wird nur ein SHA-256-Hash.
- Schlüssel anlegen und widerrufen im Konto unter https://hullwise.co/account/keys.
- Test-Schlüssel `sc_test_demo`: ohne Konto, Limit des kostenlosen Zugangs, von allen geteilt.
- Ohne Schlüssel gehen nur der MCP-Server und der Browser-Endpunkt GET /api/scan, je IP 20 Checks pro Stunde. Die REST-API antwortet ohne Schlüssel mit 401.
- Limits pro Stunde: ohne Schlüssel 20, kostenlos 100, Business 2000. Fenster von einer Stunde ab der ersten Anfrage. Gezählt wird nicht auf die Anfrage genau, 429 immer abfangen.
- Antwort-Header der REST-API: `X-RateLimit-Limit`, `X-RateLimit-Remaining`, `X-RateLimit-Reset` (Unix-Zeit in Sekunden).
- Ein ungültiger Schlüssel am MCP-Server ergibt HTTP 401, kein stiller Rückfall auf anonym.

## Gekürzte Berichte

Ohne bezahlten Plan kürzt der Server den Bericht, bevor er ihn sendet: kostenloser Schlüssel, Test-Schlüssel `sc_test_demo`, MCP ohne Schlüssel und GET /api/scan ohne Konto mit Business. Mit einem Schlüssel aus einem Konto mit Business ist der Bericht vollständig und hat kein Feld `locked`.

- Immer vollständig: url, scannedAt, https, score, grade, platforms, scripts, tls, email, disclaimer und die Zahl aller Befunde.
- Vollständig sind die ersten 2 Befunde: offen liegende Schlüssel (critical: true) zuerst, dann Warnungen, dann Hinweise, zuletzt DNS-Hygiene (CAA, DNSSEC, security.txt, MTA-STS). Bei gleicher Stufe gilt die Reihenfolge exposure, versions, https, tls, headers, privacy, email, cookies, dns.
- Alle übrigen Befunde: nur `sev`, `label` leer, `locked: true`. `id`, `why`, `refs` und `source` fehlen. Vor dem Verzweigen auf `id` immer `locked` prüfen.
- `tech[].version` ist im gekürzten Bericht immer null.
- `locked: { hidden, total }`: Zahl der gesperrten und aller Befunde.
- MCP: Die Text-Antwort von scan_website endet mit `N more findings are only included with a Business plan: https://hullwise.co/pricing`.

```json
{
  "data": {
    "findings": {
      "exposure": [{ "id": "code.secret.openai", "sev": "warn", "critical": true, "label": "OpenAI-API-Schlüssel …", "why": "…" }],
      "headers": [
        { "id": "header.csp.missing", "sev": "warn", "label": "Kein Schutz gegen eingeschleuste Skripte (CSP)", "why": "…" },
        { "sev": "info", "label": "", "locked": true },
        { "sev": "info", "label": "", "locked": true }
      ],
      "email": [{ "sev": "warn", "label": "", "locked": true }]
    },
    "locked": { "hidden": 3, "total": 5 }
  }
}
```

## Fehler

Form: `{ "error": { "code": "…", "message": "…" } }`. Auf `code` verzweigen, `message` (Deutsch) Menschen zeigen. MCP liefert bei einem fehlgeschlagenen Check ein Tool-Ergebnis mit `isError: true` und dem Text `code: message`. Der Browser-Endpunkt GET /api/scan liefert `{ "error": "code", "message": "…" }`.

- `no_url` (400): Bitte eine URL angeben. Neuer Versuch: hilft nicht.
- `bad_url` (400): Das ist keine gültige Adresse. Neuer Versuch: hilft nicht.
- `bad_scheme` (400): Nur http:// und https:// werden unterstützt. Neuer Versuch: hilft nicht.
- `blocked_host` (400): Interne oder private Adressen werden nicht geprüft. Neuer Versuch: hilft nicht.
- `dns_failed` (400): Die Adresse konnte nicht aufgelöst werden. Neuer Versuch: erst wenn der DNS-Eintrag steht.
- `unauthorized` (401): API-Schlüssel fehlt oder ist ungültig. Neuer Versuch: hilft nicht.
- `rate_limited` (429): Zu viele Anfragen. Bitte kurz warten. Neuer Versuch: ja, nach X-RateLimit-Reset.
- `server_error` (500): Unerwarteter Fehler. Neuer Versuch: ja, einmal.
- `fetch_failed` (502): Die Seite war nicht erreichbar. Neuer Versuch: ja, nach kurzer Pause.
- `tls_invalid` (502): Das HTTPS-Zertifikat der Seite ist ungültig. Browser zeigen eine Warnung. Neuer Versuch: erst wenn das Zertifikat gültig ist.
- `too_many_redirects` (502): Zu viele Weiterleitungen. Neuer Versuch: hilft nicht.
- `not_configured` (503): Diese Funktion ist noch nicht eingerichtet. Neuer Versuch: hilft nicht.
- `timeout` (504): Die Seite hat nicht rechtzeitig geantwortet. Neuer Versuch: ja, nach kurzer Pause.

## MCP

Connector-URL: https://hullwise.co/mcp. Streamable HTTP über POST, zustandslos (kein Mcp-Session-Id), Antworten als JSON, kein OAuth, Schlüssel optional als Bearer-Header. Methoden: initialize, ping, tools/list, tools/call. Protokoll-Versionen: 2025-11-25, 2025-06-18, 2025-03-26, 2024-11-05.

### Claude

claude.ai > Einstellungen > Connectors > Eigenen Connector hinzufügen. Name Hullwise, URL https://hullwise.co/mcp. Keine Anmeldung nötig.

### ChatGPT

Im Entwicklermodus (Einstellungen, Connectors) einen eigenen Connector mit der URL https://hullwise.co/mcp anlegen, Authentifizierung: keine. Menünamen können sich ändern.

### Claude Code

```bash
claude mcp add --transport http hullwise https://hullwise.co/mcp
# mit Schlüssel:
claude mcp add --transport http --scope user hullwise https://hullwise.co/mcp --header "Authorization: Bearer $HULLWISE_API_KEY"
```

### Codex

```toml
# ~/.codex/config.toml
[mcp_servers.hullwise]
url = "https://hullwise.co/mcp"
bearer_token_env_var = "HULLWISE_API_KEY"
```

### Cursor

```json
// ~/.cursor/mcp.json
{ "mcpServers": { "hullwise": { "url": "https://hullwise.co/mcp" } } }
```

Mit Schlüssel: `"headers": { "Authorization": "Bearer ${env:HULLWISE_API_KEY}" }` neben `url`.

### VS Code

```json
// .vscode/mcp.json
{ "servers": { "hullwise": { "type": "http", "url": "https://hullwise.co/mcp" } } }
```

### Tools

- `scan_website` (Website prüfen; nur lesen, wiederholbar, greift nach außen): Prüft eine öffentliche Website oder App samt den JavaScript-Dateien, die sie selbst einbindet. Liefert Note, Punkte, erkannte Plattformen und Befunde als Text und als structuredContent (gleiche Form wie data der API). Nur Seiten prüfen, die der Person gehören oder die sie prüfen darf.
- `list_checks` (Prüfpunkte anzeigen; nur lesen): Zeigt, was der Check prüft und was er bewusst nie tut.

## Endpunkte

### Scan

#### Website prüfen

`GET /api/v1/scan` und `POST /api/v1/scan` · MCP-Tool `scan_website` · Schlüssel nötig · nur lesen, wiederholbar, greift nach außen

Ruft die Seite einmal per GET ab, folgt bis zu fünf Weiterleitungen (jede gegen interne Adressen geprüft), liest höchstens 800 KB HTML, Zeitlimit 8 Sekunden. Lädt danach die JavaScript-Dateien, die die Seite selbst über <script src> oder modulepreload einbindet: nur dieselbe Domain (auch Subdomains), höchstens 10 Dateien, je Datei 2 MB, zusammen 6 MB, Zeitbudget 6 Sekunden, Weiterleitungen bei Skripten werden nicht verfolgt. Darin Suche nach Mustern geheimer Schlüssel und Erkennung von Plattformen. Dazu TLS-Handschlag und DNS-Abfragen für SPF und DMARC, bei Subdomains bis hinauf zur Hauptdomain. Kein Durchprobieren von Pfaden, keine Nutzung gefundener Schlüssel. Werte stehen nur gekürzt im Bericht (Anfang und letzte 4 Zeichen, bei Datenbank-Adressen Benutzer und Host ohne Passwort), der vollständige Wert wird weder zurückgegeben noch gespeichert. Kein Zwischenspeicher.

- `url` (query bei GET, JSON-Body bei POST, string, Pflicht): Domain oder Adresse. Ohne Schema wird https:// angenommen.

```bash
curl "https://hullwise.co/api/v1/scan?url=example.com" -H "Authorization: Bearer $HULLWISE_API_KEY"
curl -X POST "https://hullwise.co/api/v1/scan" -H "Authorization: Bearer $HULLWISE_API_KEY" -H "Content-Type: application/json" -d '{"url":"example.com"}'
```

Beispiel-Antwort mit Business (Texte verkürzt):

```json
{
  "data": {
    "url": "kunden.example.com",
    "scannedAt": "2026-10-25T09:14:03.512Z",
    "https": true,
    "score": 5,
    "grade": "F",
    "tech": [],
    "platforms": ["Lovable", "Vite", "Supabase"],
    "scripts": 3,
    "tls": { "issuer": "Let's Encrypt", "validTo": "2026-12-30T08:11:52.000Z", "daysLeft": 66, "protocol": "TLSv1.3", "valid": true },
    "email": { "domain": "example.com", "spf": true, "dmarc": null },
    "findings": {
      "https": [],
      "tls": [],
      "exposure": [{ "id": "code.secret.openai", "sev": "warn", "critical": true, "label": "OpenAI-API-Schlüssel in den JavaScript-Dateien der App (1×)", "why": "Jeder Besucher kann diesen Schlüssel aus index-B7xQ2.js auslesen und auf Ihre Kosten nutzen. … Den vollen Wert zeigen wir nicht an, nur Anfang und Ende zum Zuordnen." }],
      "versions": [],
      "headers": [
        { "id": "header.csp.missing", "sev": "warn", "label": "Kein Schutz gegen eingeschleuste Skripte (CSP)", "why": "…" },
        { "id": "header.frame.missing", "sev": "info", "label": "Fremde Seiten dürfen Ihre Seite einbetten", "why": "…" },
        { "id": "header.permissions.missing", "sev": "info", "label": "Kamera, Mikrofon und Standort nicht gesperrt", "why": "…" }
      ],
      "email": [{ "id": "email.dmarc.missing", "sev": "warn", "label": "Keine Regel für gefälschte Mails (DMARC)", "why": "…" }],
      "cookies": [],
      "privacy": [{ "id": "privacy.google_fonts", "sev": "warn", "label": "Google Fonts werden von Google-Servern geladen", "why": "…" }],
      "dns": [{ "id": "dns.securitytxt.missing", "sev": "info", "label": "Kein Kontakt für Sicherheitsmeldungen (security.txt)", "why": "…" }]
    },
    "disclaimer": "Check von außen, ohne Besitznachweis. …"
  }
}
```

Felder in `data`:

- `url` (string): geprüfter Hostname nach allen Weiterleitungen, ohne Schema und Pfad.
- `scannedAt` (string): ISO 8601, UTC.
- `https` (boolean): ob die Seite am Ende über HTTPS kam.
- `score` (number): 0 bis 100.
- `grade` (string): A ab 90, B ab 75, C ab 60, D ab 40, E ab 20, sonst F. Ohne HTTPS immer F.
- `tech[]` (object): name, version (oder null), source.
- `platforms` (string[]): erkannte Plattformen und Hoster, etwa Lovable, Bolt, v0, Replit, Base44, Vercel, Netlify, Next.js, Vite, Supabase, Firebase. Werkzeuge wie Cursor, Claude Code oder Codex hinterlassen keine eigene Spur. Damit gebaute Apps erscheinen etwa als Vite oder Next.js.
- `scripts` (number): Zahl der geladenen und durchsuchten JavaScript-Dateien, höchstens 10.
- `tls` (object oder null): issuer, validTo, daysLeft, protocol, valid. null ohne HTTPS.
- `email` (object): domain, spf (boolean), dmarc (Richtlinie wie reject, quarantine, none, oder null).
- `findings` (object): Listen https, tls, headers, versions, email, exposure, cookies, privacy und dns (privacy und dns fehlen in Berichten vor Oktober 2026). Jeder Befund: id, sev (warn oder info), label, why, bei Versionen zusätzlich refs und source, bei offen liegenden Schlüsseln in JavaScript-Dateien critical: true. Gesperrte Befunde: nur sev, label leer, locked: true.
- `locked` (object, nur im gekürzten Bericht): hidden, total.
- `disclaimer` (string): was gelesen wurde und was ein Befund bedeutet.

### Startseite

#### Website prüfen ohne Schlüssel

`GET /api/scan` · kein Schlüssel · für den Browser

Zählt je IP (20 pro Stunde) oder je angemeldetem Konto. Antwort ist der Bericht direkt, ohne `data`-Hülle, vollständig nur für Konten mit Business. Fehler als `{ "error": "code", "message": "…" }`, ohne Rate-Limit-Header. Für Skripte und Agenten /api/v1/scan oder MCP nutzen.

- `url` (query, string, Pflicht): wie oben.

```bash
curl "https://hullwise.co/api/scan?url=example.com"
```

## Prüfpunkte

Auf `id` verzweigen. `warn` = sollte behoben werden, `info` = Hinweis ohne Eile. Jeder Befund bedeutet „möglicherweise betroffen“, kein Beweis.

### Verschlüsselung und Zertifikat

Ob Ihre Seite verschlüsselt erreichbar ist und das Zertifikat gilt, also das Schloss im Browser. Fehlt eines davon, können Dritte mitlesen oder Besucher sehen eine Warnseite. Feld im Report: findings.https, findings.tls.

- `https.missing` (warn): Kein HTTPS. Die Seite landet am Ende unverschlüsselt auf http. Eingaben wie Passwörter gehen lesbar durchs Netz, die Note ist immer F. Hilfe: https://hullwise.co/help/https#https
- `https.no_redirect` (warn): Keine Weiterleitung von http auf https. Die Startseite antwortet über http:// mit Inhalt statt auf https:// umzuleiten. Wer die Adresse so aufruft, surft unverschlüsselt. Mit HSTS nur ein Hinweis, weil wiederkehrende Besucher geschützt sind. Hilfe: https://hullwise.co/help/https#weiterleitung
- `tls.invalid` (warn): Zertifikat ungültig. Browser zeigen eine Warnseite statt Ihrer Seite, etwa weil das Zertifikat nicht zur Adresse passt. Hilfe: https://hullwise.co/help/https#zertifikat
- `tls.expired` (warn): Zertifikat abgelaufen. Das Ablaufdatum ist vorbei. Browser zeigen eine Warnseite statt Ihrer Seite. Hilfe: https://hullwise.co/help/https#zertifikat
- `tls.expiring` (warn): Zertifikat läuft bald ab. Unter 14 Tagen eine Warnung, unter 30 Tagen ein Hinweis. Danach sehen Besucher eine Warnseite. Hilfe: https://hullwise.co/help/https#zertifikat
- `tls.old_protocol` (warn): Veraltete Verschlüsselung. Unsere Verbindung lief über TLS 1.0 oder 1.1. Beide gelten als unsicher, das BSI setzt mindestens TLS 1.2 voraus. Hilfe: https://hullwise.co/help/https#protokoll

### Schutz-Einstellungen für den Browser

Hausregeln, die Ihr Server dem Browser bei jedem Aufruf mitgibt, etwa: keine fremden Skripte ausführen. Fehlen sie, führt der Browser auch eingeschleusten Code aus. Feld im Report: findings.headers.

- `header.csp.missing` (warn): Kein Schutz gegen eingeschleuste Skripte. Weder der Header Content-Security-Policy noch ein gleichwertiges meta-Tag mit script-src oder default-src ist gesetzt. Gelangt fremder Code in die Seite, führt der Browser ihn aus. Hilfe: https://hullwise.co/help/security-headers#csp
- `header.csp.weak` (info): CSP hält eingeschleuste Skripte kaum auf. Die Content-Security-Policy ist gesetzt, regelt aber keine Skripte, erlaubt 'unsafe-inline' ohne Nonce oder Hash oder lässt Skripte von beliebigen Adressen zu. Bewertet wie beim CSP Evaluator von Google. Statt 25 gibt es dann 10 Punkte. Hilfe: https://hullwise.co/help/security-headers#csp
- `header.hsts.missing` (warn): Verschlüsselung nicht dauerhaft festgelegt. Der Header Strict-Transport-Security (HSTS) fehlt oder steht auf max-age=0. In offenen Netzen lassen sich Besucher dann auf eine unverschlüsselte Fassung umlenken. Hilfe: https://hullwise.co/help/security-headers#hsts
- `header.frame.missing` (info): Fremde Seiten dürfen Ihre Seite einbetten. Weder X-Frame-Options noch frame-ancestors in der CSP ist gesetzt. Nutzer können so zu unsichtbaren Klicks verleitet werden. Hilfe: https://hullwise.co/help/security-headers#x-frame-options
- `header.xcto.missing` (info): Browser dürfen Dateitypen raten. Der Header X-Content-Type-Options fehlt. Eine hochgeladene Datei kann dann als Skript laufen. Hilfe: https://hullwise.co/help/security-headers#x-content-type-options
- `header.referrer.missing` (info): Volle Adressen gehen an fremde Seiten. Der Header Referrer-Policy fehlt. Beim Klick auf einen Link kann die ganze Adresse mitgehen, samt Kennungen darin. Hilfe: https://hullwise.co/help/security-headers#referrer-policy
- `header.permissions.missing` (info): Kamera, Mikrofon und Standort nicht gesperrt. Der Header Permissions-Policy fehlt. Eingebettete fremde Inhalte dürfen nach diesen Funktionen fragen. Hilfe: https://hullwise.co/help/security-headers#permissions-policy
- `header.server.version` (info): Server nennt seine Version. Der Server-Header enthält eine Versionsnummer. Wer eine Lücke darin kennt, findet die Seite schneller. Hilfe: https://hullwise.co/help/technik-erkennung#verstecken
- `header.poweredby` (info): Seite nennt ihre Technik. Der Header X-Powered-By ist gesetzt. Gebraucht wird er nicht. Hilfe: https://hullwise.co/help/technik-erkennung#verstecken

### Schutz gegen gefälschte Mails

Ob ein Eintrag bei Ihrem Domain-Anbieter festlegt, wer Mails in Ihrem Namen senden darf. Ohne ihn kommen gefälschte Rechnungen mit Ihrer Absenderadresse leichter durch. Feld im Report: findings.email.

- `email.spf.missing` (warn): Absender nicht festgelegt (SPF). Auf der Domain steht kein TXT-Eintrag mit v=spf1. Fälschungen mit Ihrer Absenderadresse fallen Postfächern schwerer auf. Hilfe: https://hullwise.co/help/e-mail-schutz#spf
- `email.spf.allow_all` (warn): SPF erlaubt jeden Absender. Der SPF-Eintrag endet auf +all. Jeder Server darf damit in Ihrem Namen senden. Hilfe: https://hullwise.co/help/e-mail-schutz#spf
- `email.dmarc.missing` (warn): Keine Regel für gefälschte Mails (DMARC). Unter _dmarc steht kein TXT-Eintrag mit v=DMARC1. Gefälschte Mails in Ihrem Namen werden zugestellt. Hilfe: https://hullwise.co/help/e-mail-schutz#dmarc
- `email.dmarc.none` (info): DMARC meldet nur. Die Regel p=none meldet Fälschungen, weist aber keine ab. Hilfe: https://hullwise.co/help/e-mail-schutz#dmarc
- `email.spf.too_many_lookups` (warn): SPF mit zu vielen DNS-Abfragen. Der SPF-Eintrag löst samt eingebundener Einträge mehr als 10 DNS-Abfragen aus (RFC 7208). Viele Postfächer werten ihn dann als Fehler. Hilfe: https://hullwise.co/help/domain-dns#spf-abfragen
- `email.transport.unprotected` (info): Kein MTA-STS und kein DANE. Die Domain empfängt Mails, legt aber nicht fest, dass sie nur verschlüsselt zugestellt werden. Ein Angreifer im Netz kann die Verschlüsselung zwischen Mailservern unterdrücken. Hilfe: https://hullwise.co/help/domain-dns#mta-sts

### Domain und DNS

Öffentliche Einträge Ihrer Domain: ob eine verwaiste Weiterleitung Fremden Ihre Adresse überlässt, wer Zertifikate ausstellen darf, ob DNSSEC aktiv ist und wohin Sicherheitsforscher Lücken melden. Feld im Report: findings.dns.

- `dns.takeover` (warn): Adresse kann übernommen werden. Die Adresse zeigt per CNAME auf einen Dienst wie GitHub Pages, Heroku, Amazon S3 oder Shopify, dessen Ziel nicht mehr existiert (erkannt an der Fehlerseite des Dienstes). Wer es dort anlegt, liefert unter Ihrer Adresse eigene Inhalte aus. Hilfe: https://hullwise.co/help/domain-dns#uebernahme
- `dns.caa.missing` (info): Kein CAA-Eintrag. Jede Zertifizierungsstelle darf ein Zertifikat für die Domain ausstellen. Hilfe: https://hullwise.co/help/domain-dns#caa
- `dns.dnssec.missing` (info): Kein DNSSEC. Die Domain ist nicht signiert, DNS-Antworten lassen sich unterwegs fälschen. Abgefragt über DNS-over-HTTPS bei Cloudflare. Hilfe: https://hullwise.co/help/domain-dns#dnssec
- `dns.securitytxt.missing` (info): Keine security.txt. Unter /.well-known/security.txt steht keine Kontaktadresse für Sicherheitsmeldungen (RFC 9116). Hilfe: https://hullwise.co/help/domain-dns#security-txt
- `dns.securitytxt.expired` (info): security.txt abgelaufen. Das Datum unter Expires liegt in der Vergangenheit. Hilfe: https://hullwise.co/help/domain-dns#security-txt

### Veraltete Software

Bausteine Ihrer Seite in Versionen, für die Sicherheitslücken öffentlich bekannt sind. Feld im Report: findings.versions.

- `version.eol` (warn): Software ohne Sicherheits-Updates. Für diese Version liefert der Hersteller keine Updates mehr (Quelle: endoflife.date). Neue Lücken bleiben offen. Hilfe: https://hullwise.co/help/versionen#osv
- `version.vulnerable` (warn): Software mit bekannten Lücken. Für die erkannte Version gibt es Einträge bei OSV.dev oder in unserer eigenen Liste. Wir melden sie als „möglicherweise betroffen“. Hilfe: https://hullwise.co/help/versionen#osv

### Quelltext und JavaScript-Dateien

Was jeder Besucher im Quelltext und in den JavaScript-Dateien Ihrer App lesen kann, zum Beispiel Schlüssel für Datenbank, KI-Dienste oder Zahlungen. Feld im Report: findings.exposure.

- `code.secret_pattern` (warn): Möglicher Schlüssel unter verräterischem Namen. Im HTML steht ein Wert unter einem Namen wie client_secret, api_secret oder access_token. Jeder Besucher kann ihn kopieren. Wir nennen den Namen und zeigen den Wert nur gekürzt, nie vollständig. Schlüssel mit bekanntem Präfix (Stripe, AWS, OpenAI …) melden wir unter ihrer eigenen ID. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.supabase_service_role` (warn): Supabase-Generalschlüssel öffentlich. service_role-Schlüssel im Quelltext oder in den JavaScript-Dateien. Damit kann jeder die ganze Datenbank lesen, ändern und löschen, an allen Zugriffsregeln vorbei. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.supabase_secret_key` (warn): Geheimer Supabase-Schlüssel öffentlich. sb_secret-Schlüssel im Quelltext oder in den JavaScript-Dateien. Damit kann jeder auf die ganze Datenbank zugreifen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.llm_key` (warn): KI-Schlüssel öffentlich. Schlüssel für OpenRouter, Groq, xAI, Hugging Face, Replicate, Perplexity oder ElevenLabs im Quelltext oder in den JavaScript-Dateien. Jeder kann damit auf Ihre Rechnung Anfragen stellen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.webhook_url` (warn): Webhook-Adresse öffentlich. Slack-, Discord-, Teams- oder Zapier-Webhook im Quelltext oder in den JavaScript-Dateien. Jeder kann darüber Nachrichten in Ihre Kanäle schicken, auch gefälschte Anweisungen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.llm.browser_direct` (warn): KI-Aufruf direkt aus dem Browser. Die App spricht OpenAI oder Anthropic ohne eigenen Server an. Der Schlüssel liegt dafür im Browser und lässt sich auslesen. Hilfe: https://hullwise.co/help/code-pruefung#ki-schluessel
- `code.env.public_secret_name` (warn): Geheime Variable im öffentlichen Code. VITE_-, NEXT_PUBLIC_- oder REACT_APP_-Variable mit SECRET, PRIVATE oder PASSWORD im Namen. Ihr Wert landet in jedem Browser. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.openai` (warn): OpenAI-Schlüssel öffentlich. API-Schlüssel für OpenAI im Quelltext oder in den JavaScript-Dateien. Jeder kann damit auf Ihre Rechnung Anfragen stellen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.anthropic` (warn): Anthropic-Schlüssel öffentlich. API-Schlüssel für Claude im Quelltext oder in den JavaScript-Dateien. Jeder kann damit auf Ihre Rechnung Anfragen stellen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.stripe` (warn): Geheimer Stripe-Schlüssel öffentlich. sk_live- oder rk_live-Schlüssel im Quelltext oder in den JavaScript-Dateien. Je nach Rechten lassen sich damit Zahlungen erstatten und Kundendaten abrufen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.aws` (warn): AWS-Zugangsschlüssel öffentlich. AKIA- oder ASIA-Schlüssel im Quelltext oder in den JavaScript-Dateien. Je nach Rechten erreicht man damit Speicher, Server und Rechnung Ihres AWS-Kontos. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.github` (warn): GitHub-Token öffentlich. Zugangstoken für GitHub im Quelltext oder in den JavaScript-Dateien. Je nach Rechten lässt sich damit Ihr Quellcode lesen oder ändern. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.slack` (warn): Slack-Token öffentlich. Slack-Token im Quelltext oder in den JavaScript-Dateien. Je nach Rechten lassen sich damit Nachrichten lesen oder senden. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.sendgrid` (warn): SendGrid-Schlüssel öffentlich. Schlüssel für den Mailversand im Quelltext oder in den JavaScript-Dateien. Jeder kann damit Mails über Ihr Konto verschicken. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.mail_api` (warn): Schlüssel für den Mailversand öffentlich. Schlüssel für Resend, Brevo oder Mailchimp im Quelltext oder in den JavaScript-Dateien. Jeder kann damit Mails über Ihr Konto verschicken, etwa Phishing mit Ihrer Absenderadresse, oder Ihre Kontaktlisten abrufen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.service_token` (warn): Zugangstoken für einen Online-Dienst öffentlich. Token mit eindeutigem Präfix oder unter eindeutigem Namen, etwa für das Supabase-Konto, Shopify-Admin, Google OAuth, Notion, Airtable, Telegram, GitLab, npm, Webhook-Signaturen (whsec_) und über 100 weitere Dienste aus dem Regelwerk von gitleaks, darunter Atlassian, Cloudflare, Datadog, Doppler, Heroku, Mailgun, Pulumi und Square. Je nach Dienst lassen sich damit Daten lesen, ändern oder Aktionen in Ihrem Namen auslösen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.twilio` (warn): Twilio-Schlüssel öffentlich. Schlüssel für SMS und Telefonie im Quelltext oder in den JavaScript-Dateien. Jeder kann damit auf Ihre Kosten SMS senden. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.database_url` (warn): Datenbank-Zugang mit Passwort öffentlich. Verbindungsadresse mit Benutzer und Passwort im Quelltext oder in den JavaScript-Dateien. Wer sie hat, kann sich direkt an der Datenbank anmelden. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.secret.private_key` (warn): Privater Schlüssel öffentlich. Privater Schlüssel (PEM) im Quelltext oder in den JavaScript-Dateien. Wer ihn hat, kann sich als Ihr Dienst ausgeben. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.supabase.rls_check` (info): Datenbank direkt aus dem Browser erreichbar. Supabase mit öffentlichem Schlüssel (anon oder sb_publishable). Geschützt sind die Daten nur mit Zugriffsregeln (RLS) auf jeder Tabelle. Ob sie aktiv sind, sehen wir von außen nicht. Hilfe: https://hullwise.co/help/vibe-coding#supabase-selbstcheck
- `code.firebase.rules_check` (info): Firebase direkt aus dem Browser erreichbar. Die Firebase-Konfiguration steht im Quelltext. Das ist so vorgesehen, geschützt sind die Daten aber nur durch Security Rules in Firestore, Realtime Database und Storage. Ob sie greifen, sehen wir von außen nicht. Hilfe: https://hullwise.co/help/vibe-coding#firebase-rules
- `code.sourcemap_bundle` (info): Quellcode-Karten in den JavaScript-Dateien. Öffentlich abrufbare .map-Dateien, über die sich der Original-Quellcode samt Kommentaren wiederherstellen lässt. Wir melden sie nur, wenn die Datei wirklich ausgeliefert wird. Hilfe: https://hullwise.co/help/code-pruefung#sourcemaps
- `code.public_key` (info): Google-Schlüssel im Quelltext. Im HTML oder in den JavaScript-Dateien, oft gewollt, etwa für Maps. Firebase-Konfigurationen melden wir gesondert. Ohne Beschränkung auf Ihre Domain kann ihn jeder auf Ihre Kosten nutzen. Hilfe: https://hullwise.co/help/code-pruefung#geheimnisse
- `code.mixed_content` (warn): Unverschlüsselte Teile auf einer HTTPS-Seite. Bilder, Skripte oder Stylesheets werden über http geladen. Im selben Netz lassen sie sich austauschen. Hilfe: https://hullwise.co/help/code-pruefung#mixed-content
- `code.debug_output` (warn): Fehlermeldung sichtbar. Text, der wie eine technische Fehlermeldung aussieht, etwa ein Stack Trace oder eine PHP-Warnung. Er verrät oft Pfade und Versionen. Hilfe: https://hullwise.co/help/code-pruefung#debug
- `code.sri.missing` (info): Fremde Skripte ohne Fingerabdruck (SRI). Skripte mit fester Version (etwa von einem CDN) ohne das Attribut integrity. Wird der Server manipuliert, läuft der veränderte Code mit. Dienste, deren Skript sich laufend ändert, zählen nicht, dort geht SRI nicht. Hilfe: https://hullwise.co/help/code-pruefung#sri
- `code.sourcemap` (info): Quellcode möglicherweise lesbar (Source Map). Das HTML verweist auf eine .map-Datei. Hilfe: https://hullwise.co/help/code-pruefung#sourcemaps
- `code.sensitive_paths` (info): Verweise auf heikle Dateien. Pfade wie .env, .git oder Sicherungsdateien stehen im HTML. Wir rufen sie nicht ab. Hilfe: https://hullwise.co/help/code-pruefung#pfade

### Datenschutz (DSGVO)

Typische Datenschutz-Fehler, die sich von außen belegen lassen und in Deutschland oft abgemahnt werden: Google Fonts von Google-Servern, Tracking vor der Einwilligung, eingebettete Inhalte und fehlende Pflichtlinks. Keine Rechtsberatung. Feld im Report: findings.privacy.

- `privacy.google_fonts` (warn): Google Fonts von Google-Servern. Schriften von fonts.googleapis.com oder fonts.gstatic.com, gefunden im HTML, in den Stylesheets oder in den JavaScript-Dateien. Bei deutschsprachigen Seiten eine Warnung, sonst und wenn die Adresse nur im JavaScript steht ein Hinweis. Hilfe: https://hullwise.co/help/datenschutz#google-fonts
- `privacy.tracking_cookies` (warn): Tracking-Cookies vor der Einwilligung. Der Server setzt schon in der ersten Antwort Cookies zum Messen oder für Werbung, etwa _ga, _fbp oder _gcl_au. Hilfe: https://hullwise.co/help/datenschutz#tracking
- `privacy.tracking_no_consent` (warn): Tracking ohne erkennbares Einwilligungs-Tool. Die Seite lädt Tracker wie Google Analytics, Meta Pixel oder Hotjar, ein Einwilligungs-Tool finden wir nicht. Nur der Google Tag Manager ist ein Hinweis, weil er die Einwilligung selbst steuern kann. Hilfe: https://hullwise.co/help/datenschutz#tracking
- `privacy.third_party_embeds` (info): Eingebettete Inhalte ohne Einwilligung. YouTube, Google Maps oder Vimeo stehen direkt als iframe in der Seite und laden beim Aufruf. Hilfe: https://hullwise.co/help/datenschutz#einbettungen
- `privacy.legal_links` (info): Impressum oder Datenschutzerklärung nicht verlinkt. Auf der Startseite einer deutschsprachigen Seite fehlt der Link. Nur geprüft, wenn das HTML selbst Links enthält. Hilfe: https://hullwise.co/help/datenschutz#impressum

### Cookies

Ob die Cookies Ihrer Seite vor Mitlesen und fremden Skripten geschützt sind. Feld im Report: findings.cookies.

- `cookie.secure.missing` (info): Cookie ohne Secure. Ein Cookie, dessen Name nach Sitzung oder Anmeldung aussieht, darf auch unverschlüsselt mitgeschickt werden. Hilfe: https://hullwise.co/help/cookies#secure
- `cookie.httponly.missing` (info): Cookie ohne HttpOnly. Ein Cookie, dessen Name nach Sitzung oder Anmeldung aussieht, ist für Skripte lesbar. Fremder Code könnte damit das Konto übernehmen. Hilfe: https://hullwise.co/help/cookies#httponly

### Was der Check nie tut

- Versteckte Pfade ausprobieren oder Dateien wie .env abrufen
- Dateien laden, die Ihre Seite nicht selbst einbindet oder abruft (außer der öffentlichen Datei /.well-known/security.txt), oder Skripte von fremden Domains lesen
- Offene Ports suchen (Port-Scan)
- Formulare absenden oder Angriffs-Code schicken
- Uns anmelden oder gefundene Schlüssel benutzen
- Vollständige Werte gefundener Schlüssel anzeigen oder speichern
- Interne oder private Adressen prüfen