Zum Hauptinhalt springen

// Domain-Prüfung

Eigene Website prüfen

Der Server ruft deine Startseite ab und liest, welche Software und welche Versionen sie jedem Besucher verrät: Header wie Server und X-Powered-By, das Meta-Tag generator, die Versionen von JavaScript-Bibliotheken in den Adressen ihrer Dateien und bei WordPress, Joomla, Drupal, TYPO3 und Shopware die Versionsangaben des Systems. Die Funde laufen gegen dieselben Daten wie der Selbsttest auf der Radar-Seite.

Die Prüfung ist kostenlos. Danach kannst du die Domain kostenlos beobachten lassen: Der Server prüft sie jeden Monat erneut und schreibt dir, sobald eine neue Lücke deine Versionen betrifft. Bezahlt wird nur, wenn ich etwas für dich behebe, zu festen Preisen.

Damit niemand fremde Seiten ausspähen kann, prüft der Server nur Domains, für die du einen Nachweis hinterlegst: einen DNS-Eintrag oder eine kleine Datei. Wie das geht, steht nach dem nächsten Schritt.

Was der Server abruft

Höchstens 32 normale Seitenabrufe. Zuerst die Startseite über HTTPS und die Nachweis-Datei. Bei WordPress zusätzlich /feed/, bis zu sechs öffentliche Kern-Dateien unter /wp-includes/, deren Prüfsummen die Version verraten, die style.css des Themes und seines Eltern-Themes, der Index der REST-API unter /wp-json/ und die readme.txt von höchstens 15 Plugins, die die Startseite lädt oder die REST-API nennt. Bei Joomla die Manifest-Datei unter /administrator/manifests/ oder die Sprachdatei, bei Drupal und Shopware bis zu sechs öffentliche Dateien des Systems, bei TYPO3 dazu die Anmeldeseite /typo3/. Die Prüfsummen dieser Dateien verraten die Version. Es werden keine Formulare abgeschickt, keine Pfade durchprobiert und keine Angriffe versucht. Weiterleitungen folgt er nur innerhalb deiner Domain.

Was gespeichert wird

Die Domain, das Token, die Zeitpunkte und das Ergebnis. Deine IP-Adresse wird nicht gespeichert. Nach 24 Stunden wird alles gelöscht. Das Ergebnis sieht nur, wer die Prüfadresse kennt, die du im nächsten Schritt bekommst.

Findet die Prüfung keine Versionen, ist das ein gutes Zeichen: Gut eingerichtete Server verraten sie nicht. Ob die Software trotzdem aktuell ist, prüfst du dann mit dem Selbsttest oder bei WordPress mit dem Website-Zustand weiter unten.

WordPress vollständig prüfen: Website-Zustand einfügen

Von außen sieht die Prüfung nur, was deine Seite verrät. Vollständig ist der Bericht, den WordPress selbst erstellt. Er nennt alle Plugins, auch die inaktiven, das Theme und die Versionen von WordPress, PHP und Webserver.

  1. Im WordPress-Dashboard Werkzeuge → Website-Zustand öffnen und auf den Reiter Bericht wechseln.
  2. Website-Informationen in die Zwischenablage kopieren klicken.
  3. Den Text hier einfügen.

Ausgewertet wird in deinem Browser. Der Text geht nicht an den Server und wird nicht gespeichert. Ein Nachweis ist dafür nicht nötig.

In dem Text steht nichts, was die Auswertung lesen kann. Kopiere den Bericht über den Knopf im Reiter Bericht, nicht von Hand.