Demnächst verfügbar · Option pro Domain
Das passive Audit liest, was Ihre Domain der Welt zeigt. Der aktive Scan geht einen Schritt weiter: Mit Ihrer unterzeichneten Ermächtigung sendet unser eigener Scanner echte Testanfragen an die Webanwendungen Ihrer Wahl, auf Wunsch mit einem Testkonto angemeldet, und sagt Ihnen, welche Vermutungen sich bestätigen, welche sich nicht reproduzieren lassen und was er sonst gefunden hat.
49 € pro Monat und Domain zzgl. MwSt. · 490 € pro JahrAb dem Tarif Solo · 1 Domain bei Agency enthalten, 3 bei Agency Plus
Sie beantworten verschiedene Fragen. Das Audit überwacht alle Domains ständig, ohne etwas anzufassen; der aktive Scan testet einige Anwendungen zu den Terminen, die Sie festlegen, um Gewissheit zu haben.
| Passives Audit (jeder Tarif) | Verifizierter aktiver Scan (Option) | |
|---|---|---|
| Was gesendet wird | Gewöhnliche Anfragen wie von einem Besucher: DNS-Abfragen, eine Startseite, ein TLS-Handshake | Testanfragen, die Schwachstellen auslösen sollen, mit der Rate, die Sie erlauben |
| Erlaubnis | Nichts zu unterzeichnen: Es liest nur Öffentliches | Eine in der Anwendung unterzeichnete Ermächtigung für eine nachgewiesene Domain |
| Wie oft | Jede Woche oder jeden Tag, für jede Domain | Wenn Sie ihn starten, in Ihrem Zeitfenster: 4 vollständige Scans pro Monat und Domain |
| Was gefunden wird | Konfiguration von DNS, E-Mail, Zertifikaten, Headern, Exposition aus öffentlichen Quellen | Bekannte Schwachstellen, offene Admin-Oberflächen und Dateien, Injection- und Cross-Site-Scripting-Lücken, auch hinter der Anmeldung |
| Was Sie erhalten | Befunde, eine Punktzahl und die Korrektur zu jedem | Jede Vermutung des Audits bestätigt oder nicht reproduziert, mit kurzem Nachweis |
Der aktive Scan läuft nur für eine Domain, deren Inhaberschaft Sie mit einem TXT-Eintrag nachgewiesen haben, demselben Nachweis wie für das Audit.
Eine Inhaberin oder ein Administrator des Arbeitsbereichs wählt die Hosts (bis zu 20, die Domain und ihre Subdomains, nie eine IP-Adresse oder eine andere Domain), die Pfade, die nie abgefragt werden dürfen, die Engines, die Rate (1 bis 20 Anfragen pro Sekunde), das Zeitfenster (Tage, Uhrzeiten, Zeitzone, höchstens 90 Tage) und auf Wunsch ein Testkonto. Jeder Host wird mit den Adressen angezeigt, auf die er zeigt; wer unterzeichnet, bestätigt auch diese. Die Unterzeichnung verlangt erneut Ihr Passwort oder einen Passkey, und der genaue unterzeichnete Text wird mit seinem Fingerabdruck aufbewahrt.
Unser eigener Scanner, auf einem eigenen Server mit einer veröffentlichten Adresse, führt Nuclei und dann OWASP ZAP aus. Er verbindet sich nur mit den Hosts und Adressen, die Sie unterzeichnet haben, mit der Rate, die Sie festlegen, und stoppt am Ende des Zeitfensters.
Jeder Befund kommt mit seinem Schweregrad, der betroffenen Adresse und einem kurzen Nachweis, aus dem Cookies, Tokens, Passwörter und E-Mail-Adressen entfernt sind. Die Befunde des passiven Audits werden als bestätigt, nicht reproduziert oder nicht getestet markiert, damit Sie zuerst beheben, was echt ist.
Vorlagen für bekannte Schwachstellen (CVE), Fehlkonfigurationen, offene Dateien und Admin-Oberflächen sowie die eingesetzten Technologien, ausgewählt nach dem, was das passive Audit gefunden hat. Vorlagen, die Passwörter raten, Standardzugänge ausprobieren, fuzzen oder einen Dienst stören könnten, bleiben außen vor.
ZAP erkundet die Anwendung, analysiert jede gesehene Seite und führt dann seinen aktiven Scan mit mittlerer Stärke aus: Injection (SQL, Befehle), Cross-Site-Scripting, Path Traversal, Fehlkonfigurationen des Servers und mehr. Regeln, die einen Dienst zum Absturz bringen könnten, sind abgeschaltet.
Geben Sie ein Testkonto an, als Header (Bearer-Token oder Sitzungscookie) oder als Anmeldeformular, und der Scan deckt die Seiten ab, die nur angemeldete Nutzer sehen. ZAP nutzt das Formular, Nuclei den Header.
Ein aktiver Scan darf nie zu einem Vorfall werden. Diese Schutzmaßnahmen stecken im Scanner selbst und hängen nicht von guten Absichten ab.
Eine Option pro Domain, mit öffentlichem Preis, in Euro, ohne Angebot.
49 € pro Monat und Domain zzgl. MwSt.
oder 490 € pro Jahr
| Free | Nicht verfügbar |
|---|---|
| Solo | Als Option, 49 € pro Domain |
| Agency | 1 Domain enthalten, danach 49 € pro Domain |
| Agency Plus | 3 Domains enthalten, danach 49 € pro Domain |
Noch nicht im Verkauf: Er wird Arbeitsbereich für Arbeitsbereich geöffnet. Fragen Sie den frühen Zugang mit Ihrer Domain und Ihrem Tarif an; wir antworten innerhalb von zwei Werktagen.
Frühen Zugang anfragenEin Mensch, der Ihr Geschäft versteht, findet Lücken, die kein Scanner sieht: Zugriffsregeln, Zahlungslogik, Ketten kleiner Schwächen. Behalten Sie einen jährlichen Test durch eine qualifizierte Firma, wenn Sie sensible Daten verarbeiten.
Dienste Dritter, andere Domains und IP-Adressen außerhalb des unterzeichneten Umfangs werden nie getestet. Ein Host, der nach der Unterzeichnung anderswohin zeigt, wird abgelehnt.
Ein Scan dauert höchstens 4 Stunden und folgt den Links, die er findet. Seiten, die einen bestimmten Weg durch die Anwendung erfordern, werden womöglich nicht erreicht.
Fragen Sie den frühen Zugang an, oder beginnen Sie heute mit dem kostenlosen passiven Audit.