Du hast deine App an einem Wochenende mit einer KI rausgebracht und sie funktioniert. Super. Jetzt die unbequeme Frage: ist sie sicher? Die gute Nachricht: die grundlegenden Checks brauchen weder einen Experten noch das Anfassen des Codes. In fünf Minuten kannst du die häufigsten Schwachstellen ausschließen. Hier ist der Weg.
1. Bestätige, dass HTTPS funktioniert
Öffne deine Website und sieh dir das Schloss an. Versuch dann, sie mit http:// (ohne s) aufzurufen: sie sollte dich von selbst auf https:// weiterleiten. Lässt sie dich auf HTTP bleiben, hast du eine offene Tür. Prüfe auch, dass das Zertifikat nicht kurz vor dem Ablauf steht.
2. Sieh dir die Sicherheits-Header an
Das sind unsichtbare Einstellungen, die dem Browser sagen, wie er dich schützen soll. Die wichtigsten: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options und X-Content-Type-Options. Fast kein Template liefert sie. Ihr Fehlen ist keine sofortige Sicherheitslücke, aber es ist leichte Beute für einen Angreifer.
3. Jage Secrets in deinem JavaScript
Das ist der Star-Fehler des Vibe Coding: einen API-Schlüssel, ein Token oder eine Zugangsdaten im Code zu lassen, der an den Browser geschickt wird. Alles, was im Browser ankommt, ist öffentlich. Öffne die Entwicklertools, sieh dir die JS-Dateien an und suche nach allem, was wie ein Schlüssel aussieht. Findest du einen, rotiere ihn jetzt und verschiebe ihn auf den Server.
4. Prüfe CORS und Cookies
Wenn deine App ein Login hat, prüfe, dass Session-Cookies HttpOnly und Secure nutzen und dass deine API keine Anfragen von beliebigen Origins mit Credentials akzeptiert. Das ist die Art stiller Schwachstelle, die keinen Fehler wirft, aber Daten preisgibt.
5. Prüfe auf Dateien, die nicht öffentlich sein sollten
Versuch, Pfade wie /.env, /.git/config oder vergessene Backups zu öffnen. Zeigt der Browser sie, kann jeder sie herunterladen. Sie sollten einen Fehler zurückgeben oder auf dem Server nicht existieren.
Mit der Liste in der Hand keine Panik: priorisiere. Zuerst die exponierten Secrets und erreichbaren Dateien (sofortige Wirkung), dann HTTPS und Cookies und zuletzt die Header. Jeder Fix ist meist eine Konfigurationszeile oder eine kleine Änderung.
Mach alles auf einmal mit Scanaris
Die fünf Schritte oben plus rund 45 Checks sind genau das, was Scanaris in etwa 30 Sekunden macht: rein lesend über öffentliche Informationen, kein Pentesting und kein Ausnutzen von irgendwas. Für jeden Fund reicht es dir einen fix prompt, fertig zum Einfügen in deine KI, um ihn zu lösen, ohne dich mit Sicherheit auszukennen. Scanne deine Website und beseitige den Zweifel noch heute.