Zum Inhalt springen
RedcheckStartseite
Funktionen

Was Redcheck prüft und was im Bericht steht.

Die Sicherheitsprüfung hat zwei Stufen: passiv ohne Freigabe, aktiv nur mit verifizierter Domain. Datenschutz und Barrierefreiheit sind eigene Prüfbereiche und laufen immer passiv.

Prüfstufen und Prüfbereiche

  • Passiv

    ohne Freigabe

    Zugriffe von außen ohne Anmeldung, ohne Formulare und ohne Ausprobieren von Zugangsdaten. Es wird nichts angelegt oder geändert.

    • DNS: SPF, DMARC, CAA
    • Software- & Versionserkennung
    • Sicherheits-Header, HTTPS-Redirect
    • TLS-Konfiguration
    • CORS, HTTP-Methoden
    • Offene Pfade (.git, .env, Backups)
    • Admin- & Framework-Pfade
    • CVE- & End-of-Life-Abgleich

  • Aktiv

    verifizierte Domain

    Gezielte Tests gegen Ihre eigene Infrastruktur.

    • Portscan
    • TLS-Tiefenprüfung
    • Schwachstellen-Templates (technik-gescopt)
    • Login-Rate-Limit
    • WAF-Erkennung
    • XSS-Reflexion
    • SQL-Injection-Tests

  • Datenschutz

    ohne Freigabe

    Ein echter Browser besucht die Seiten, wie ein Besucher es täte.

    • Cookies vor der Einwilligung
    • Tracker und Drittanbieter-Verbindungen
    • Erkennung des Einwilligungsdialogs
    • Drittlandtransfer, kuratierte Dienste-Liste
    • Externe Schriften und Karten
    • Datenschutzerklärung und Impressum erreichbar
    • Rechtsgrundlage je Befund (DSGVO, TDDDG)

  • Barrierefreiheit

    ohne Freigabe

    Gemessen an WCAG 2.2 AA. BFSG und BITV 2.0 verweisen über die Norm EN 301 549 derzeit auf WCAG 2.1 AA, die in 2.2 enthalten ist.

    • Kontraste, Alternativtexte, Beschriftungen
    • Struktur, Überschriften, Bereichsauszeichnung
    • Tastaturbedienung und sichtbarer Fokus
    • Umfluss bei 320 Pixel, Textabstände
    • Sprachauszeichnung, Zielgrößen
    • Ein Befund je Erfolgskriterium, mit Fundstellen
    • Alle 55 Kriterien mit Stand: auch die manuell zu prüfenden

Die Karten nennen die Schwerpunkte. Der vollständige Leistungsumfang listet jeden Sachverhalt einzeln auf, nach Paket geordnet.

Wiederkehrende Läufe

Einmal einstellen, dann läuft es von selbst.

Eine Website ändert sich, und ihre Angriffsfläche ändert sich mit: ein neues Plugin, ein abgelaufenes Zertifikat, ein Tracker, den jemand eingebaut hat. Ein Zeitplan prüft in festen Abständen nach und stellt das Ergebnis gegen den letzten Lauf.

Takt
täglich, wöchentlich oder monatlich, je Domain einer
Umfang
dieselben Prüfbereiche und dieselbe Stufe wie ein Lauf von Hand; aktive Prüfungen weiterhin nur mit verifizierter Domain
Uhrzeit
über den Tag verteilt, damit nicht alle Prüfungen gleichzeitig starten; dieselbe Domain bekommt immer dieselbe Minute
Kontingent
ein geplanter Lauf zählt wie ein gestarteter; ist es erschöpft, setzt der Zeitplan aus und meldet sich per E-Mail, statt abgeschaltet zu werden
Vergleich
jeder Lauf lässt sich gegen den vorherigen derselben Domain stellen: neu, behoben, Schweregrad geändert, unverändert
Verfügbar
ab dem Plan Pro
Der Bericht

Jeder Befund mit Beschreibung, Auswirkung, Behebung und Evidenz.

Der Schweregrad wird nach Kontext eskaliert: Ein fehlender Header wiegt im Shop schwerer als auf einer Broschürenseite. Die Reihenfolge ist deterministisch, ein erneutes Rendern erzeugt ein identisches PDF.

Konfidenz
„bestätigt“ nur bei exakter Version; „möglich“ separat, standardmäßig ausgeblendet
CVE-Quellen
NVD 2.0, OSV.dev, Wordfence Intelligence
End of Life
464 Produkte, Abgleich gegen endoflife.date
Datenschutz
Cookies und Tracker vor Einwilligung, Drittlandtransfer, externe Schriften
Barrierefreiheit
WCAG 2.2 Stufe A und AA, mit Stand je Erfolgskriterium und benannter Liste dessen, was nur ein Mensch beurteilen kann
Prüfumfang
Unterseiten werden über Sitemap und Verweise gefunden, nicht geraten; der Bericht nennt gefundene und geprüfte Seiten getrennt
Positives
Was gut gelöst ist, steht ebenfalls im Bericht
Artefakte
report.pdf in jedem Plan · findings.json ab Pro

Sehen, wie ein Bericht aussieht.

Anonymisierte Domain, reale Befunde, 23 Seiten.
Demo-Bericht ansehen