HTTP-Sicherheitsprüfer

Die meisten Web-Sicherheitsfehler sind keine cleveren Angriffe. Dabei handelt es sich um einen Header, der nie festgelegt wurde, oder um eine Versionsnummer, die der Server jedem, der danach fragt, freiwillig mitteilt. Richten Sie den Scanner auf eine Site, die Sie kontrollieren, und erhalten Sie die Header und die dahinter stehenden Technologien – bewertet, aufbewahrt und für den Tag, an dem sich etwas daran ändert, beobachtet.

Sechs Gründe, Ihre eigene HTTP-Schicht zu überprüfen

Header sind die günstigste SicherheitArbeit gibt es. Es handelt sich um Konfigurationen, nicht um Code, und die meisten davon bestehen aus einer Zeile.

Finden Sie die Header, die nie gesetzt wurden

Sicherheitsheader sind die Anweisungen, die eine Website dem Browser gibt, wie sie damit umgehen soll. Ohne sie wendet der Browser seine Standardeinstellungen an, die von Natur aus freizügig sind, da das Web für Websites, die vor zwanzig Jahren geschrieben wurden, weiterhin funktionieren muss. Wenn ein Header fehlt, geht nichts kaputt, und genau deshalb bleibt er bestehenfehlen.

Verhindern Sie, dass sich der Server vorstellt

Eine Standardinstallation gibt häufig in jeder Antwort ihre Software und Version bekannt. Das allein stellt keine Schwachstelle dar, und es ist auch das Erste, was ein Angreifer liest – es verwandelt „einen Weg hinein finden“ in „nach den bekannten Schwachstellen in genau dieser Version suchen“. Das Abschalten des Banners kostet nichts.

Überprüfen Sie die Überschriften, die nur auf der rechten Seite gelten

Strict-Transport-Security auf der Marketing-Homepage und nicht auf der Anmeldeseite ist ein häufiger und leiser Fehler. Die Cookie-Flags sind die gleichen: Secure und HttpOnly werden auf einem Cookie gesetzt und auf dem Sitzungscookie vergessen. Wenn Sie eine URL testen, erfahren Sie mehr über eine URL.

Sehen Sie, welche Technologien Sie tatsächlich nutzen

Die Antwort verrät meist das Framework, den Server und oft auch das CMS. Zu wissen, was von außen erkennbar ist, ist der AnfangEs ist wichtig zu wissen, ob etwas davon veraltet ist – und es handelt sich häufig nicht um die Version, von der das Team glaubt, dass sie bereitgestellt wird.

Fangen Sie an, was für eine Bereitstellung stillschweigend entfernt wurde

Header leben in einer Konfiguration, die ersetzt wird: ein neuer Reverse-Proxy, ein vorab hinzugefügtes CDN, ein Framework-Upgrade, das die Standardeinstellungen zurücksetzt. Die Seite sieht danach identisch aus. Die Kopfzeilen sind verschwunden und niemand schaut sich die Kopfzeilen an, es sei denn, etwas stimmt nicht.

Beweise für a vorlegenSicherheitsüberprüfung

Im Sicherheitsfragebogen eines Kunden wird gefragt, ob Sie eine Content-Security-Policy festlegen. Ein datierter Bericht, der zeigt, welche Header jeder Host zurückgibt, ist eine bessere Antwort als ein Häkchen in einem Kästchen und es ist ein Beweis, den Sie behalten können.

Erkennen Sie den Tag, an dem sich Ihre Konfiguration ändert

Eine HTTP-Konfiguration driftet nicht allmählich ab. Es ändert sich in einer Bereitstellung und die Änderung ist im Browser unsichtbar.

Geplante Scans machen darausEin Unterschied, von dem Ihnen erzählt wird: Dieser Header ist verschwunden, diese Technologieversion ist zurückgegangen, diese Note ist gesunken. Benachrichtigungen kommen in der App, per E-Mail oder über Slack, Teams, Jira oder einen Webhook.

Schritt 01 · Benennen Sie das Ziel

Ein von Ihnen kontrollierter Hostname oder eine Domäne, die Ihrem AYAsec-Konto hinzugefügt wird. Der Besitz wird überprüft, bevor etwas versendet wird – AYAsec plant keine Scans für die Infrastruktur, über die Sie nicht nachgewiesen haben, dass Sie die Kontrolle darüber haben, und beweist, dass dafür ein DNS-Eintrag benötigt wird. Bei der obigen Schnellprüfung wird dies übersprungen: kein Konto, keine Verifizierung, nur IP-Ratenbegrenzung und die Regel, dass das Ziel öffentlich sein mussAdresse.

Schritt 02 · Wählen Sie das Profil

Drei Tiefen. Passiv liest, was die Site zurückgibt, ohne es zu prüfen. Aktiv sendet Testanfragen, um Schwachstellen zu finden, die nur darunter auftauchen. Extended geht noch einmal weiter. Passiv ist gegen alles sicher; Bei den tieferen Profilen handelt es sich um echten Verkehr und sie sollten auf das zeigen, was Sie damit berühren sollen.

Schritt 03 · Lesen Sie das Ergebnis

Die Ergebnisse werden nach Schweregrad geordnet und mit den Werten A+ bis F bewertet. HTTPhat mit 30 % das größte Gewicht in der Verbundwerkstoffklasse, mehr als jede andere Schicht, da sich dort das meiste, was erreichbar ist, tatsächlich befindet.

Was der Scan prüft

Sicherheitsheader

Welche vorhanden sind, welche fehlen und ob die Werte das tun, was sie scheinbar tun. Ein Content-Security-Policy, der alles zulässt, ist vorhanden und nutzlos.

Technologieerkennung

Der Server, das Framework undBibliotheken, die die Antworten offenbaren, mit Versionen, in denen sie offengelegt werden.

Bekannte Web-Schwachstellen

Sobald Sie sich für das aktive oder erweiterte Profil anmelden, wird der Scan von OWASP ZAP unterstützt, dem Open-Source-Webanwendungsscanner, der vom Open Worldwide Application Security Project verwaltet wird und an dem diese Kategorie gemessen wird. Die obige Schnellprüfung bleibt passiv: kein ZAP, keine Prüfung, nur die eine Anfrage, die zum Lesen erforderlich istKopfzeilen. HTTP ist eine von fünf bewerteten Ebenen. Die anderen sind TLS und Ports und DNS mit jeweils 20 % und die Domain-Glaubwürdigkeit mit 10 %.

Fragen vor dem Scannen

Was darf ich scannen?

Infrastruktur, die Sie besitzen oder mit deren Testen Sie beauftragt wurden. Der obige Schnellcheck bestätigt das nicht für Sie – er schränkt die Rate nur nach IP ein und weigert sich, auf irgendetwas anderes als eine öffentliche Adresse abzuzielen. Fügen Sie das Ziel zu einem hinzuStattdessen wird ein AYAsec-Konto erstellt, und die Kontrolle wird überprüft, bevor irgendetwas geplantes ausgeführt wird: eine sowohl rechtliche als auch praktische Grenze, da ein ungeprüfter Scan für Sie auch als Beweismittel nicht von Nutzen ist.

Wird der Scan die Website stören?

Das passive Profil tut dies nicht – es liest Antworten auf normale Anfragen. Die aktiven und erweiterten Profile senden Testanfragen von Natur aus und finden so Dinge, die bei passiven Prüfungen nicht möglich sind. Richten Sie diese auf Ihre Umgebungsind bereit, sondiert zu haben.

Ist das ein Penetrationstest?

Nein, und es ersetzt keines. Ein automatisierter Scan findet die Problemklassen, die automatisch gefunden werden können. Bei einem Penetrationstest sucht eine Person nach denjenigen, die dies nicht können.

Wir verwenden ein CDN. Teste ich meine oder ihre Website?

Beides, und das ist wissenswert. Die Header, die ein Besucher erhält, sind diejenigen, die das CDN sendet, unabhängig davon, wer sie festgelegt hat. Wenn Ihr Ursprung einen Header für die CDN-Streifen festlegt, wird derDer Besucher bekommt es nicht – und der Scan zeigt Ihnen, was der Besucher bekommt.

Sind fehlende Header wirklich wichtig?

Einzeln oft nicht viel. Zusammengenommen machen sie den Unterschied zwischen einem Browser, der Ihre Benutzer verteidigt, und einem Browser aus, der tut, was ihm gesagt wird. Sie sind außerdem die kostengünstigste Lösung für alle Sicherheitsrückstände, weshalb es schlecht ist, sie noch offen zu haben.

Behalten Sie die Ergebnisse?

Nicht die kurze Überprüfung oben – sie verbleibt etwa fünfzehn Minuten lang im Speicher, sodass Sie sie einmal lesen können, dann ist sie verschwunden. Das ist eine bewusste Datenschutzentscheidung und keine Einschränkung: Niemand außer Ihnen sieht jemals diesen Scan, und Sie können das vollständige Ergebnis herunterladen, bevor es abläuft. Fügen Sie das Ziel stattdessen einem AYAsec-Konto hinzu, und jeder Scan wird gespeichert – eine Reihe, die Ihnen sagt, welche Bereitstellung den Header entfernt hat. Die Aufbewahrung hängt von Ihrem Plan ab.

Behalten Sie die Geschichte, nicht nurdas Ergebnis

Führen Sie den vollständigen Scanner nach einem Zeitplan für Ihren eigenen Bestand aus, wobei jedes Ergebnis gespeichert und jede Änderung markiert wird.

Kostenlos scannen Pläne vergleichen

Weitere kostenlose Sicherheitsscanner für TLS, Ports und DNS

HTTP ist eine von fünf bewerteten Ebenen. Die anderen beantworten jeweils eine andere Frage:

View all free security scanners

Online-Port-Scanner – womit ist dieses Anwesen bereit, mit einem zu sprechen?Fremder?

SSL/TLS-Prüfer – Funktioniert die Verschlüsselung und wann läuft das Zertifikat ab?

DNS-Sicherheitsprüfer – Kann jemand E-Mails senden, die aussehen, als kämen sie von Ihnen?

Alle fünf zusammengenommen bedeuten Angriffsflächenmanagement in der Praxis.

Strukturierte Daten zum Einbetten

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Fügen Sie kein FAQPage- oder HowTo-Markup hinzu – Google hat beide Ergebnistypen zurückgezogen.