Code plus Konfiguration
Python-Pfade, Requirements, Dockerfile und Kubernetes-/Konfigurationsdateien werden getrennt analysiert und im Bericht zusammengeführt.
Security-Risiken priorisieren – mit geschwärzten Belegen statt pauschaler Alarmmeldungen.
Der Scanner untersucht Python-Bot-Projekte, Konfiguration, Dependencies und Deployment-Dateien in acht Bereichen. Jeder Befund trennt technischen Nachweis, mögliche Auswirkung, Ursache, Lösung und konkrete Kontrollprüfung.
Lokale statische Analyse, keine Codeausführung, kein Netzwerktest und keine Garantie gegen alle Angriffe.
Abo-Zugang wird geprüft …
Secrets werden geschwärzt
Bekannte Token, URL-Credentials, Key-/Passwortwerte und Kubernetes-Secrets werden nicht im Klartext in den Bericht übernommen.
Nachweis vor Behauptung
Regeln unterscheiden bestätigte Einstellungen, starke Hinweise und Pfade, die wegen externer Schutzschichten manuell geprüft werden müssen.
39 Regelgruppen · acht Bereiche
Was der Security Scanner konkret bewertet.
Sichere Gegenbeispiele und Kontextgrenzen reduzieren Fehlalarme; kritische Regeln bleiben in Standard und Pro enthalten.
Secrets & Zugangsdaten
Hardcodierte Werte, bekannte Token-/Key-Muster, URL-Credentials, unsichere Fallbacks und sensible Logausgaben – im Bericht geschwärzt.
Injection & Ausführung
eval/exec, Shell-Kommandos, dynamisches os.system und interpolierte SQL-Abfragen mit sicheren Gegenbeispielen.
Dateien & Deserialisierung
Pickle/Dill, YAML-Loader, TAR-/ZIP-Extraktion, temporäre Dateien, XML-Entities und Pfadgrenzen.
Netzwerk & Transport
Deaktivierte Zertifikatsprüfung, unsichere TLS-Kontexte, externes HTTP und benutzergesteuerte SSRF-Ziele.
Authentifizierung & Kryptografie
JWT-Verifikation, Passwort-Hashing, Security-Zufall, Session-Cookies, CORS und Framework-Schlüssel.
Validierung & Offenlegung
Sensible Routen, Dateipfade, Exception-Ausgaben und fail-open Sicherheitsentscheidungen.
Dependencies & Supply Chain
Versionen, direkte Quellen, Hashprüfung, Paketindizes und reproduzierbare Containerinstallation.
Konfiguration & Deployment
Debug/TLS/Origins sowie Docker-Root, Basisimages, Secret-COPYs und Kubernetes-Privilegien/Secrets.
Security Scanner
Die serverseitige Kauf- und Lizenzberechtigung wird geprüft.
KI-Befundassistent · privater Scanbericht
Was der KI-Assistent beim Security Scanner macht.
Er erklärt geschwärzte Security-Befunde mit Risiko, Ursache und Gegenmaßnahme, ohne Secrets zu wiederholen oder eine Sicherheitsfreigabe vorzutäuschen.
Erklärung mit Beleg-IDs
Der Assistent erklärt ausgewählte Befunde verständlich. Konkrete Aussagen müssen auf gültige Befund-IDs aus genau diesem Bericht verweisen.
Reparatur- und Kontrollplan
Er erstellt Prioritäten, Entwickler-Aufgaben, Vorher-/Nachher-Schritte und Management-Zusammenfassungen. Ein belegter Plan kann als Markdown exportiert werden.
Nur eigener, geschwärzter Bericht
Der Assistent steht im privaten, berechtigten Scanbericht und im geschützten Abnahmetest bereit. Er erhält keinen Bot-Quellcode, führt nichts aus, ändert nichts automatisch und ersetzt weder Originalbefund noch fachliche Prüfung.
FAQ und Kundenanleitung
So wird der Security-Bericht sicher und korrekt verwendet.
Wird mein Code hochgeladen oder ausgeführt?
Nein. Die Analyse läuft lokal im Browser. Python-Dateien werden strukturell gelesen, aber nicht importiert, gestartet oder an einen Analyse-Server gesendet.
Werden echte .env-Dateien gelesen?
Nein. .env und Varianten werden in ZIP-Projekten absichtlich übersprungen; .env.example darf für sichere Platzhalter geprüft werden. Entfernen Sie echte Zugangsdaten trotzdem vor dem Archivieren.
Was bedeutet bestätigt, starker Hinweis oder manuell prüfen?
Bestätigt beschreibt eine direkt sichtbare unsichere Einstellung oder Operation. Ein starker Hinweis benötigt Nutzungskontext. Manuell prüfen bedeutet, dass externe Middleware, Laufzeitversion oder Infrastruktur das Ergebnis verändern kann.
Findet der Scanner alle Sicherheitslücken?
Nein. Kein statischer Scanner kann das seriös versprechen. Nicht bereitgestellte Infrastruktur, IAM, effektive Laufzeitpfade, Abhängigkeiten und Geschäftslogik müssen zusätzlich getestet werden.
Prüft der Scanner bekannte Dependency-CVEs?
Bei dieser lokalen statischen Prüfung wird keine externe Advisory-Datenbank kontaktiert. Der Bericht prüft stattdessen Pins, Hashes, direkte Quellen, Paketindexschutz und reproduzierbare Installationswege – und behauptet keine CVE-Abdeckung, die nicht vorhanden ist.
Ist das ein Penetrationstest?
Nein. Der Scanner startet keine Exploits und kontaktiert keine Projektziele. Kritische Systeme benötigen weiterhin fachliche Codeprüfung, Integrationstests, Infrastrukturprüfung und bei passendem Risiko einen autorisierten Penetrationstest.
Warum werden manche Befunde nur zur Prüfung markiert?
Weil beispielsweise eine Auth-Middleware, ein globaler TAR-Filter oder eine Kubernetes-Policy außerhalb des Archivs liegen kann. Der Bericht nennt deshalb Beleg und gezielten Kontrolltest, ohne eine Schwachstelle zu erfinden.
Was unterscheidet Standard und Pro?
Beide Stufen behalten alle sicherheitskritischen Regelgruppen. Pro bietet größere Projektgrenzen und einen vertieften Maßnahmen-/Kontrollplan; Sicherheit wird nicht künstlich aus Standard entfernt.
Wie gehe ich mit einem gefundenen Secret um?
Nicht ausprobieren und nicht im Ticket wiederholen. Beim Anbieter sperren oder rotieren, Historie und Logs prüfen, sichere Laufzeitablage einführen und danach erneut scannen.
Wie speichere ich den Bericht?
Sie können einen strukturierten JSON-Bericht speichern oder über die Browser-Druckfunktion eine PDF erzeugen. Fundstellen werden begrenzt und bekannte Zugangswerte geschwärzt.