Statische API-Pfadprüfung
Er bewertet Client-Aufrufe, Serverrouten, Fehlerpfade, API-Verträge und Konfiguration, ohne Kundencode zu importieren oder auszuführen.
Python-API-Integrationen prüfen, ohne einen Request zu senden.
Der Scanner untersucht ausgehende API-Clients, eingehende Routen, Konfiguration und OpenAPI-Dateien statisch. Jeder Befund erklärt Risiko, Ursache, konkrete Lösung, Fundstelle und eine passende Kontrollprüfung.
Keine Netzwerkverbindung, kein Code-Upload an einen Analyse-Server und keine Sicherheits- oder Produktionsgarantie.
Abo-Zugang wird geprüft …
Python-Integrationen und Bots
Für Entwickler und Betreiber, die Exchange-, Telegram-, Webhook- oder andere HTTP-Integrationen nachvollziehbar prüfen möchten.
Kein Live-Sicherheitstest
Der Bericht ersetzt weder Penetrations-, Last-, Integrations- noch Failover-Tests gegen eine reale Gegenstelle.
Acht Prüfbereiche
Was der API Scanner konkret bewertet.
Gemeinsame Konfigurationsregeln werden wiederverwendet; Security- und Performance-Vertiefungen bleiben eigene Scanner.
Verbindung & Endpunkte
Externes HTTP, benutzergesteuerte Ziele mit SSRF-Risiko sowie dokumentierte OpenAPI-Server.
Authentifizierung
Secrets, URL-/Header-Credentials, JWT/OAuth, sensible Routen, Webhook-Signaturen und OpenAPI-Security.
Konfiguration
JSON, Secrets, TLS-Kontexte, CORS/Origins, Debug und reproduzierbare Abhängigkeiten.
Timeouts
Requests und urllib ohne Timeout, ausdrücklich deaktivierte Grenzen und bibliotheksspezifische Standardwerte.
Retry & Idempotenz
Unbegrenzte Wiederholung, mutierende Methoden, Backoff und sichtbare Idempotency Keys.
Rate-Limits & Ressourcen
HTTP 429, Retry-After, Auth-Endpunkte ohne erkennbare Drosselung sowie Connection Pools.
Antworten & Fehler
Statusprüfung vor Body-Verarbeitung und sichtbar behandelte Netzwerkfehler.
Transport & Async
TLS-Zertifikatsprüfung und blockierende synchrone Calls innerhalb asynchroner Pfade.
API Scanner
Die serverseitige Kauf- und Lizenzberechtigung wird geprüft.
KI-Befundassistent · privater Scanbericht
Was der KI-Assistent beim API Scanner macht.
Er erklärt Auth-, Webhook-, Retry-, Rate-Limit- und Transportbefunde und erzeugt daraus sichere, priorisierte Reparatur- und Testaufgaben.
Erklärung mit Beleg-IDs
Der Assistent erklärt ausgewählte Befunde verständlich. Konkrete Aussagen müssen auf gültige Befund-IDs aus genau diesem Bericht verweisen.
Reparatur- und Kontrollplan
Er erstellt Prioritäten, Entwickler-Aufgaben, Vorher-/Nachher-Schritte und Management-Zusammenfassungen. Ein belegter Plan kann als Markdown exportiert werden.
Nur eigener, geschwärzter Bericht
Der Assistent steht im privaten, berechtigten Scanbericht und im geschützten Abnahmetest bereit. Er erhält keinen Bot-Quellcode, führt nichts aus, ändert nichts automatisch und ersetzt weder Originalbefund noch fachliche Prüfung.
FAQ und Kundenanleitung
So wird der API-Bericht richtig eingeordnet.
Kontaktiert der Scanner meine API?
Nein. Er liest Python-Code und Konfiguration lokal im Browser. Es werden keine Endpunkte aufgerufen, keine Tokens geprüft und keine Requests versendet.
Welche Python-Clients werden erkannt?
Direkte Aufrufe von Requests, HTTPX, aiohttp und urllib sowie klar zugewiesene Session-/Client-Objekte. Nicht bereitgestellte eigene Wrapper bleiben eine ausdrücklich genannte Grenze.
Prüft der Scanner auch eingehende APIs?
Ja. Sichtbare FastAPI-/Flask-ähnliche Routen werden unter anderem auf Auth-Grenzen, Webhook-Signaturen, Rate-Limit-Hinweise und benutzergesteuerte Request-Ziele geprüft. Zentrale Gateway-Regeln außerhalb des Archivs bleiben eine manuelle Kontrolle.
Was wird bei OpenAPI geprüft?
Erkannte OpenAPI-/Swagger-Dateien werden auf externe HTTP-Server, dokumentierte Security-Schemes und ausdrücklich öffentliche sensible Operationen geprüft. Ohne Implementierung wird die Analysequalität bewusst begrenzt.
Warum wird HTTPX ohne timeout nicht beanstandet?
HTTPX erzwingt standardmäßig Timeouts. Ein fehlender Parameter ist dort nicht dasselbe wie bei Requests. timeout=None wird dagegen als deaktivierter Schutz gemeldet.
Ist localhost über HTTP erlaubt?
Ja. Lokale Entwicklungsadressen werden nicht als externer unsicherer Endpunkt gewertet. Externes unverschlüsseltes HTTP wird kritisch gemeldet.
Ist der Bericht ein Penetrationstest?
Nein. Serverseitige Autorisierung, reale Zertifikate, Token-Gültigkeit, Last und Antworten werden nicht live geprüft.
Wie speichere ich das Ergebnis?
Der Bericht kann als JSON gespeichert oder über die Browser-Druckfunktion als PDF ausgegeben werden.