Scanne deine Website, bevor du sie veröffentlichst. Ein Check deckt ab, was am Launch-Tag gern durchrutscht: API-Schlüssel in deinem JavaScript, ein öffentlicher .env- oder .git-Ordner, Source Maps, schwache Security-Header, gemischte Inhalte, ein vergessenes noindex sowie fehlende Titel, Share-Tags und Favicon. Kostenlos, und nichts, was du scannst, wird gespeichert.
So scannst du deine Website, Schritt für Schritt
- Gib die Adresse deiner Website in das Adressfeld ein.
- Drück „Website scannen“ und warte einen Moment.
- Lies die Ergebnisse. Über die Tabs siehst du alle Prüfungen oder eine Kategorie: Dateien und Secrets, Sicherheit, Suche und Teilen oder Grundlagen.
- Behebe, was markiert ist, deploye und scanne zur Bestätigung erneut.
Wonach der Scan sucht
Offengelegte Dateien und Secrets: API-Schlüssel, Tokens und private Schlüssel in deinem HTML und deinen Skripten; öffentliche .env-, .git- und config.json-Dateien; und Source Maps, die deinen Originalcode veröffentlichen. Sicherheit: HTTPS und die Weiterleitung von einfachem HTTP, die wichtigsten Security-Header, Cookie-Flags, gemischte Inhalte und ein security.txt-Kontakt. Suche und Teilen: Titel, Beschreibung und Open-Graph-Tags, robots.txt, sitemap.xml und jedes vom Staging übrig gebliebene noindex. Grundlagen: Viewport, Seitensprache, Favicon und Links zu Datenschutzerklärung und Nutzungsbedingungen.
Was beim Scan passiert
Dieses Tool stellt Netzwerkanfragen, deshalb hier genau, was es tut. Der Server von Snowkit ruft deine Startseite, robots.txt, sitemap.xml, security.txt, das Favicon, bis zu 5 deiner eigenen Skripte samt Source Maps und 4 typische Leak-Pfade ab. Das sind höchstens 30 Anfragen, ohne Crawling. Die Schlüssel und Tags werden in deinem Browser geprüft, und nichts wird gespeichert. Bitte scanne nur Websites, die du betreibst oder testen darfst.
Wenn ein Schlüssel gefunden wird
Behandle ihn als geleakt, auch wenn die Website noch nicht öffentlich ist. Widerrufe oder erneuere ihn zuerst beim Anbieter und verschiebe ihn dann aus dem Frontend-Code in eine serverseitige Umgebungsvariable oder eine Backend-Funktion. Schlüssel, die für Browser gedacht sind, etwa öffentliche Zahlungsschlüssel oder eingeschränkte Karten-Schlüssel, dürfen ausgeliefert werden, aber beschränke sie im Dashboard des Anbieters auf deine Domain.
Was er nicht sehen kann
Er prüft die Startseite und die Dateien, auf die sie verlinkt, nicht jede Seite. Inhalte, die erst nach dem Ausführen von JavaScript erscheinen, Seiten hinter einem Login und serverseitiger Code sind für ihn nicht sichtbar. Ein sauberer Scan bedeutet, dass die typischen Launch-Fehler abgedeckt sind, nicht dass die Website vollständig sicher ist.
Eine einfache Launch-Checkliste
- Führe den Scan auf der echten Adresse aus, nicht auf einem Vorschau-Link.
- Entferne jedes noindex, das vom Staging übrig ist.
- Gib jeder wichtigen Seite mit dem Meta-Tag-Generator einen Titel, eine Beschreibung und ein Vorschaubild.
- Veröffentliche eine Sitemap mit dem Sitemap-Generator und eine Datenschutzseite mit dem Datenschutzerklärung-Generator.
- Prüfe deinen eigenen Code vor dem Deployment mit dem Secret-Scanner.
Fragen
Kann ich jede Website scannen?
Scanne nur Websites, die du selbst betreibst oder testen darfst.
Werden meine Ergebnisse gespeichert?
Nein. Nichts, was du scannst, wird gespeichert.
Ist ein sauberes Ergebnis eine Garantie?
Nein. Es deckt häufige Fehler beim Launch auf den Seiten ab, die es sehen kann, aber nicht jede mögliche Schwachstelle.