Login
Beispiel/account/login
- Passwort
- Checkbox
Kein Bot-Schutz erkannt
Nur ein CSRF-Token. Das hält fremde Seiten ab, keine Bots.
EinschätzungHoch75/100
Gib deine Website ein. Wir lesen öffentliche Seiten und sammeln die angreifbaren Punkte darauf. Für jeden prüfen wir, ob ein Bot-Schutz davor sitzt, den man von außen erkennen kann.
Ein Scan läuft höchstens 90 Sekunden - plus Wartezeit, wenn gerade gleichzeitig andere laufen. Jede Schwachstelle erscheint unten, sobald sie entdeckt wurde.
Drei Beispiele. Nach deinem Scan stehen hier die Schwachstellen, die wir gefunden haben. Inklusive Einschätzung über dein Risiko.
/account/login
Kein Bot-Schutz erkannt
Nur ein CSRF-Token. Das hält fremde Seiten ab, keine Bots.
EinschätzungHoch75/100
/contact
Kein Bot-Schutz erkannt
Nur ein Honeypot-Feld. Einfache Bots fallen darauf rein, gezielte nicht.
EinschätzungNiedrig28/100
Fußbereichauf allen Seiten (24)
Schutz erkannt: Google reCAPTCHA (v2 / v3 / Enterprise)
reCAPTCHA schickt Daten deiner Besucher an Google in den USA. In der EU brauchst du dafür in der Regel eine Einwilligung.
EinschätzungHinweis13/100
Der Check ist passiv: Er liest Seiten und Formulare und schickt nichts ab. Rate-Limits und Bot-Logik auf deinem Server hinterlassen im Browser keine Spur, also sehen wir sie nicht. Stark geschützte Websites lassen unseren Browser manchmal gar nicht rein - dann steht genau das im Ergebnis. „Kein Bot-Schutz erkannt“ heißt deshalb: von außen nicht sichtbar.
Wir speichern deine Anfrage: Name, Firma, E-Mail und die geprüfte Adresse. Das Ergebnis - Urteil und gefundene Formulare - speichern wir mit ihr. Unser Team bekommt eine Zusammenfassung. Die Ergebnisseite ist 30 Tage abrufbar. Anfrage und Ergebnis löschen wir nach vier Jahren, deine IP-Adresse schon nach 12 Monaten. An der Anfrage bleibt nur ein Hash davon. Mit dem zweiten Häkchen willigst du ein, dass wir dir schreiben dürfen: zu deinem Ergebnis, zu Bot-Schutz und Betrugsabwehr sowie zu unseren Produkten und Angeboten. Das ist die Gegenleistung für den kostenlosen Scan. Widerrufen kannst du jederzeit - per Abmeldelink in jeder E-Mail oder formlos an info@vinishu.io.
Nur, wenn du darfst - als Betreiber, als Agentur im Auftrag oder mit Erlaubnis. Das bestätigst du mit dem ersten Häkchen. Der Check ist passiv und liest nur, was jeder Besucher auch sieht. Die Erlaubnis brauchst du trotzdem.
Nein. Unser Browser lädt Seiten und liest die Formulare. Er füllt nichts aus, drückt keinen Absenden-Button und probiert keine Passwörter. In deinen Logs sieht der Scan aus wie ein Besucher, der sich zügig durch deine Seiten klickt.
Jeder Scan startet eigene Browser auf unseren Servern. Deine Gegenleistung ist für uns die Möglichkeit, dich zu deinem Ergebnis zu kontaktieren. Dafür ist der Scan kostenlos.
Sie ist unsere Einschätzung, kein Standard. Jede Formularart hat bei uns ein Grundgewicht - ein Login wiegt mehr als eine Suche. Das multiplizieren wir mit einem Faktor für den Schutz, den wir erkennen. Daraus werden fünf Stufen: 0–14 Hinweis, 15–34 Niedrig, 35–59 Mittel, 60–79 Hoch, ab 80 Kritisch. Die Gesamtzahl folgt dem riskantesten Formular. Jedes weitere ab 60 legt 4 Punkte drauf. Blockt die Website automatisierte Browser, ziehen wir ein Fünftel ab. Ohne Formular setzen wir einen festen Wert: 12, oder 8, wenn die Website automatisierte Browser blockt.
Mit dem Vinishu-SDK prüft dein Backend jede Formular-Anfrage, bevor es sie verarbeitet. Eine WAF ersetzt das nicht. Schreib uns - wir gehen dein Ergebnis mit dir durch und sagen dir ehrlich, ob das SDK dazu passt.