Sicherheit (23 Regeln)
Dieser Prüfbereich betrachtet, wie eine Website Verbindungen und Besucherdaten schützt. Dazu gehören Zertifikate, TLS und Sicherheitsköpfe. Der Bericht nennt außerdem erreichbare Sicherungen oder Konfigurationsdateien, wenn der Scan sie findet. Jeder Fund erhält eine Kennung und einen beschriebenen Soll-Zustand. Betreiber erkennen so, welche Stelle betroffen ist und welchen Arbeitsschritt sie mit ihrem Hoster oder Entwickler besprechen können. Die Einordnung ersetzt keine individuelle Sicherheitsberatung.
| Kennung | Fund, wenn … | Soll-Zustand | Schwere | Behebung |
|---|---|---|---|---|
TLS-01 | Zertifikat und TLS | Zertifikat gültig, Host passend, TLS 1.2/1.3 und mindestens 21 Tage gültig | Schwer | ca. 45 min |
SEC-08 | Vertrauliche Pfade erreichbar | Geschützte Pfade geben keine vertraulichen Inhalte preis | Schwer | ca. 45 min |
PRIV-01 | Cookies/Fremdanfragen | Cookies beim ersten Laden mit Secure/SameSite; Fremdanfragen nur beobachtet | Mittel | ca. 15 min |
SEC-01 | Keine strikte Script-CSP | Erzwingende sichere Script-CSP | Mittel | ca. 120 min |
SEC-02 | Einbettungs-/Base-Schutz fehlt | Object/Base/Framing-Schutz | Mittel | ca. 15 min |
SEC-03 | nosniff oder Referrer-Policy fehlt | nosniff und Referrer-Policy | Mittel | ca. 15 min |
SEC-04 | HSTS zu kurz oder fehlt | HSTS mindestens ein Jahr | Mittel | ca. 15 min |
SEC-05 | Zeichensatz fehlt | HTML-MIME und Charset | Mittel | ca. 15 min |
SEC-06 | Versionspreisgabe | Keine Versionspreisgabe | Leicht | ca. 15 min |
SEC-07 | security.txt fehlt | RFC9116 security.txt | Mittel | ca. 15 min |
SEC-09 | Permissions-Policy oder COOP fehlt | Permissions-Policy und Cross-Origin-Opener-Policy gesetzt | Leicht | ca. 15 min |
SEC-10 | CORS zu offen | CORS nicht mit Wildcard plus Credentials oder reflektiertem Origin | Schwer | ca. 15 min |
SEC-11 | Fremde Skripte ohne Integritätsschutz | Fremde Skripte und Styles mit Subresource Integrity | Mittel | ca. 45 min |
SEC-17 | Backup oder Datenbank-Dump erreichbar | Keine erreichbaren Backups, Dumps oder Archive | Schwer | ca. 45 min |
SEC-18 | Cookies zu lang oder fremd | Cookies: Laufzeit unter 13 Monaten, keine Fremd-Cookies vor Einwilligung | Mittel | ca. 45 min |
SEC-19 | Geheimnis im Quelltext | Keine Geheimnisse (API-Schlüssel, Tokens, private Schlüssel) im ausgelieferten HTML und JavaScript | Schwer | ca. 15 min |
PRIV-02 | Personenbezogene Daten in Adressen | Keine personenbezogenen Daten in Linkadressen | Leicht | ca. 45 min |
TLS-02 | Veraltete TLS-Versionen aktiv | TLS 1.0 und 1.1 abgeschaltet | Mittel | ca. 15 min |
TLS-05 | Zertifikatskette unvollständig | Zertifikatskette vollständig | Mittel | ca. 15 min |
TLS-06 | Zertifikat schwach oder zu lange gültig | Schlüssel mindestens 2048 Bit RSA oder 256 Bit EC, SHA-2-Signatur, Laufzeit höchstens 398 Tage | Mittel | ca. 45 min |
TLS-08 | Kein TLS 1.3 | TLS 1.3 verfügbar | Leicht | ca. 15 min |
SEC-13 | Kein CAA-Eintrag | CAA-Eintrag beschränkt die Zertifikatsausstellung | Leicht | ca. 15 min |
SEC-14 | SPF oder DMARC fehlt | SPF und DMARC schützen die Absenderdomain | Mittel | ca. 45 min |