Befund-Katalog
Jeder Befund verweist auf einen Katalogeintrag. Der Katalog legt Titel, Kategorie, Ausgangs-Schweregrad und die Behebungstexte fest, nicht der einzelne Lauf.
Die vollständige Liste holen Sie über GET /v1/catalog.
Aufbau einer Kennung
HEADER-HSTS-MISSING
TLS-WEAK-CIPHERS
EOL-COMPONENT
COMPONENT-CVE
PRIVACY-COOKIES-BEFORE-CONSENT
EXPOSED-SENSITIVE-FILE
A11Y-1-4-3Kennungen sind Großbuchstaben mit Bindestrichen, ohne Version und ohne Datum.
Ein festes Schema haben sie nicht: die meisten nennen Bereich und Sachverhalt
(HEADER-HSTS-MISSING), einige nur den Sachverhalt (SQLI-DETECTED), und die
Barrierefreiheit nummeriert nach Erfolgskriterium (A11Y-1-4-3). Werten Sie
die Kennung als Ganzes aus und nicht ihre Bestandteile.
Sie sind Teil der Schnittstelle: einmal vergeben, wird eine Kennung nicht umbenannt.
Kategorien
| Kategorie | Was hineinfällt |
|---|---|
| Härtung | Sicherheits-Header, HTTP-Methoden, CORS, ausführbare Framework-Pfade |
| Sitzungen | Attribute des Sitzungs-Cookies: SameSite, Secure, HttpOnly |
| SPF und DMARC der Absenderdomain | |
| DNS | CAA-Eintrag |
| Informationslecks | Versionsbanner, offene Verzeichnisse, Quelldateien, Plugin-Listen |
| Software-Stand | End of Life und veraltete Versionen der erkannten Produkte |
| Komponenten | bekannte Schwachstellen (CVE) einer erkannten Komponente |
| Zugang | Admin-Bereiche, Anmelde-Rate-Limit, Benutzer-Aufzählung, offene API-Pfade |
| Verschlüsselung | TLS-Protokolle und Cipher, Zertifikat, HTTPS-Weiterleitung |
| Infrastruktur | offene Dienste neben der Website: Datenbanken, Verwaltungsoberflächen, unverschlüsselte Ports |
| Eingabevalidierung | XSS und SQL-Injection |
| Anwendungslogik | fehlender CSRF-Schutz |
| Organisation | security.txt |
| Datenschutz | Cookies und Tracker vor der Einwilligung, Drittlandtransfer, externe Schriften, Pflichtseiten |
| Barrierefreiheit | WCAG 2.2 A/AA: Kontraste, Struktur, Tastatur, Sprache; ein Eintrag je Erfolgskriterium (A11Y-1-4-3) |
GET /v1/catalog liefert diese Liste im Feld categories; sie ist aus den
Einträgen abgeleitet und wächst mit ihnen. Dieselben Kategorien filtern die
Befundtabelle der Web-App.
Kontext-Eskalation
Der Schweregrad im Katalog ist der Ausgangswert. Je Katalogeintrag kann eine Verschiebung für einen Kontext hinterlegt sein: genau eine Stufe nach oben oder nach unten, über „Kritisch“ hinaus und unter „Hinweis“ nicht. Die meisten Einträge tragen für die meisten Kontexte keine Verschiebung; dann gilt der Ausgangswert.
| Kontext | Etikett | Wirkung |
|---|---|---|
shop | Shop | hebt breit an: Zugang, Header, CVE, Sitzungen und jeden Barrierefreiheitsbefund |
brochure | Broschüre | greift kaum: fehlende Datenschutzerklärung und fehlendes Impressum höher, CSRF und offenes CORS tiefer |
saas | Anwendung | Sitzungen, Zugang, Header und jeden Barrierefreiheitsbefund höher |
internal | Intern | offene Zugänge, offene Dienste und schwacher Transport höher, Datenschutz und Barrierefreiheit tiefer |
Ein fehlender HSTS-Header wiegt im Shop schwerer als auf einer Broschürenseite: dieselbe Kennung, anderer Schweregrad.
Stabilität
- Kennungen werden nicht umbenannt. Fällt eine Prüfung weg, verschwindet die Kennung aus neuen Läufen. Alte Berichte bleiben lesbar.
- Titel und Behebungstexte dürfen sich ändern. Werten Sie sie nicht aus.
- Der Ausgangs-Schweregrad kann sich mit einem Scanner-Release ändern. Wenn Ihnen das wichtig ist, vergleichen Sie den Wert aus dem Bericht, nicht den aus dem Katalog.