Betriebsstatus
Kostenloser API Security Check
CORS und Header eines öffentlichen API-Endpunkts prüfen
Öffentlichen Endpunkt prüfen
Untersuchen Sie, wie ein öffentlich erreichbarer HTTP/API-Endpunkt auf die vorgesehenen Anfragen antwortet. Der Check betrachtet CORS, Sicherheitsheader, sichtbare Serverinformationen und eine begrenzte Fehlerprobe. Sie erhalten Befunde mit Erläuterungen für Ihre weitere technische Arbeit.
Geprüft wird der angegebene Endpunkt. Der Check untersucht keine angemeldeten Benutzerrollen, Zugriffsrechte oder Geschäftslogik und ersetzt keinen API-Pentest.
Welche Antworten der Check betrachtet
Umfangsmodell · keine ausgeführte Messung
Vom öffentlichen Endpunkt zur Antwort
- Öffentliche URL einschließlich Pfad
Beispiel:
https://api.example.com/status. Nur berechtigte Ziele prüfen; keine Zugangstokens oder vertraulichen Daten übermitteln. - Festgelegte GET- und OPTIONS-Abfragen
Für die zusätzliche Fehlerprobe wird ein Testpfad angehängt und mit GET abgerufen. Kein PATCH-Aufruf und keine Suche nach sämtlichen Endpunkten. Die Wirkung einer Anfrage hängt auch von der Serverimplementierung ab.
Soweit auswertbare Antworten erreichbar sind:
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| Bereich | Aussage des Checks |
|---|---|
| CORS | Ausgewählte CORS-Header und Antworten auf die festgelegten Anfragen. |
| Sicherheitsheader | Sicherheitsrelevante Header am erreichten Endpunkt. |
| Fehlerantwort | Antwort auf die begrenzte zusätzliche Fehlerprobe und darin sichtbare Fehlermeldungen. |
| Serverinformationen | Von außen erkennbare Server- oder Technologieangaben. |
| Rate-Limit-Header | Sichtbare Hinweise auf Begrenzungen; keine Messung ihrer Wirksamkeit unter Last. |
| HTTP-Methoden | Sichtbare Methodeninformationen und Antworten innerhalb des beschriebenen GET-/OPTIONS-Umfangs. |
Eine Antwort kann von einem Gateway, Proxy oder Schutzsystem stammen. Prüfen Sie, ob sie für die beabsichtigte API-Funktion aussagekräftig ist. Ein blockierter oder fehlgeschlagener Abruf ist keine bestandene Prüfung.
Nicht enthalten: authentifizierte Tests, Rollen- und BOLA-/IDOR-Prüfungen, Injection-Testreihen, Geschäftslogik, Endpointsuche oder eigenständige TLS-Analyse. CORS ersetzt keine Berechtigungsprüfung; Rate-Limit-Header sind kein Lasttest. „API“ bezeichnet das Prüfziel, keinen programmatischen Zugang zu den Wolf-Scannern.
Was Sie zusätzlich prüfen müssen
CORS steuert unter anderem, ob ein Browser eine Antwort für ein Skript eines anderen Origins freigibt. Es ersetzt keine serverseitige Berechtigungsprüfung. Aus einem passenden CORS-Header folgt deshalb nicht, dass geschützte Daten nur berechtigten Nutzern zugänglich sind.
Dieser Check führt keine authentifizierten Tests, BOLA-/IDOR-Prüfungen, Injection-Testreihen, Geschäftslogiktests oder Quellcodeanalyse durch. Er enthält auch keine eigenständige TLS-Analyse. Ein funktionierender HTTPS-Aufruf allein ist keine vollständige Prüfung der Transportabsicherung.
Für einen konkreten CORS-Fehler untersuchen Sie zusätzlich den tatsächlichen Browserablauf mit seinem Origin, seinen Headern und gegebenenfalls Zugangsdaten in Ihrer eigenen Umgebung. Der Wolf-Check ist kein frei konfigurierbarer Debugger für alle Kombinationen. Ein Rate Limit müssen Sie mit einem gesondert geeigneten und berechtigten Test prüfen; vorhandene Header beweisen nicht, dass die Begrenzung greift.
Die API-Bewertung einordnen
A+ ist die höchste Bewertung dieses API-Checks. Seine Notenfolge lautet A+, A, A-, B+, B, B-, C+, C, D und F. Das eigene API-Modell verwendet Abzüge und Begrenzungen für bestimmte Befunde. Die Bewertung verwendet keine gemeinsame Prozentskala mit dem Web- oder E-Mail-Check.
Die Note bezieht sich auf die auswertbaren Beobachtungen zum Messzeitpunkt. Bei einer unzureichenden Messbasis kann die Gesamtnote im Report entfallen. „Nicht erhoben“ darf nicht als „bestanden“ gelesen werden. Auch A+ beweist weder die vollständige Sicherheit der API noch korrekte Zugriffsrechte hinter einem Login oder SSO.
Mit dem Ergebnis weiterarbeiten
- Wählen Sie einen berechtigten öffentlichen Endpunkt und starten Sie den Check.
- Ordnen Sie die erreichten Antworten Ihrem beabsichtigten Anwendungsfall zu. Lesen Sie Befunde und Messlücken zusammen.
- Klären Sie auffällige Einstellungen im zuständigen Gateway, Server oder Anwendungscode. Die Prüfung selbst ändert Ihre Konfiguration nicht.
- Starten Sie nach einer Änderung bei Bedarf einen neuen Check für dieselbe URL. Vergleichen Sie Befunde, Messzeit und Umfang der beiden Stände manuell.
Den Endpunktbefund festhalten
Die auf der Ergebnisseite angebotenen PDF-, DOCX- und CSV-Dateien beruhen auf demselben Scanstand. PDF eignet sich zum Lesen und Ablegen, DOCX für eigene Ergänzungen und CSV für die Arbeit mit der Befundtabelle. DOCX ist bearbeitbar; halten Sie eigene Änderungen erkennbar.
Die angebotenen Dateien sind in der kostenlosen Beta ohne E-Mail-Adresse erhältlich. Ein Download löst keinen neuen Scan aus. Speichern Sie benötigte Dateien lokal; ein Wiederdownload setzt voraus, dass das Ergebnis noch verfügbar ist. Der Betaweg ist kein dauerhaftes Kaufarchiv.
Die freiwillige Zusendung eines Ergebnislinks ist keine zusätzliche Prüfung und schaltet keine weiteren Inhalte frei. Die Report-Lesehilfe zeigt, wie Sie einen Befund mit seiner Grenze weitergeben. Ein automatisch berechneter Differenzreport und eine persönliche fachliche Bewertung Ihres Endpunkts sind nicht enthalten.
API prüfen oder Scanner per API nutzen?
„API Security Check“ bezeichnet hier das Ziel Ihrer Prüfung: einen öffentlichen HTTP/API-Endpunkt. Ein programmatischer Zugang zu den Wolf-Agents-Scannern wäre ein anderer Dienst. Eine öffentlich nutzbare Kunden-API zur Einbindung dieser Scanner wird hier derzeit nicht angeboten.
Wenn Sie eine Website oder die Mailkonfiguration einer Domain untersuchen möchten, wählen Sie den passenden Weg in der Checkübersicht.
Häufige Fragen
Ist das ein vollständiger API Security Scanner?
Nein. Ein umfassendes API-Testangebot kann zusätzlich Berechtigungen, Objekte, Eingaben und Geschäftslogik untersuchen. Der hier beschriebene Check beschränkt sich auf ausgewählte Konfigurations- und Antwortmerkmale eines öffentlichen Endpunkts.
Werden BOLA, IDOR oder Injection geprüft?
Nein. Es werden keine Benutzerrollen durchgespielt, keine geschützten Objekte auf fremde Zugriffe getestet und keine Injection-Testreihen ausgeführt.
Verändert der Check Daten in meiner API?
Er verwendet GET und OPTIONS, einschließlich GET für den zusätzlichen Fehlerpfad. Er sendet dafür kein PATCH. Prüfen Sie trotzdem nur berechtigte Ziele: Welche Nebenwirkungen eine Anfrage hat, hängt auch von der Serverimplementierung ab.
Beweist ein fehlender Rate-Limit-Header, dass keine Begrenzung existiert?
Nein. Der Check sieht bestimmte Antwortsignale und führt keinen Lasttest durch. Eine Begrenzung kann anders umgesetzt sein; umgekehrt beweist ein Header allein keine wirksame Durchsetzung.
Kann ich mich auf A+ als Freigabe zum Launch verlassen?
A+ ist die Bestnote im begrenzten Prüfumfang, keine Launch- oder Sicherheitsfreigabe. Nicht untersuchte Bereiche und Messlücken bleiben offen. Der Report bestätigt keine rechtliche Konformität und ist kein anerkannter Audit- oder Versicherungsnachweis.
Fachliche Grundlagen
CORS im Fetch Standard · HTTP-Methoden: RFC 9110 · Hinweise zur KI-Nutzung
Die Standards erklären das Protokollverhalten. Der tatsächlich implementierte Prüfweg ist enger und oben beschrieben.