Scan je site voordat je hem lanceert. Eén controle dekt wat op lanceerdag doorglipt: API-sleutels in je JavaScript, een openbare .env- of .git-map, source maps, zwakke beveiligingsheaders, gemengde inhoud, een vergeten noindex en ontbrekende titels, deeltags en favicon. Het is gratis en niets wat je scant wordt opgeslagen.
Hoe je je site scant, stap voor stap
- Typ het adres van je site in het adresvak.
- Druk op Site scannen en wacht even.
- Lees de resultaten. Gebruik de tabs om Alle controles of één categorie te zien: Bestanden en geheimen, Beveiliging, Zoeken en delen of Basis.
- Herstel wat is gemarkeerd, implementeer en scan opnieuw ter bevestiging.
Waar de scan naar zoekt
Blootgestelde bestanden en geheimen: API-sleutels, tokens en privésleutels in je HTML en scripts; openbare bestanden .env, .git en config.json; en source maps die je oorspronkelijke code publiceren. Beveiliging: HTTPS en de redirect van gewone HTTP, de belangrijkste beveiligingsheaders, cookievlaggen, gemengde inhoud en een security.txt-contact. Zoeken en delen: de titel, beschrijving en Open Graph-tags, robots.txt, sitemap.xml en elke noindex die van staging is overgebleven. Basis: de viewport, paginataal, favicon en links naar een privacyverklaring en voorwaarden.
Wat er gebeurt als je scant
Deze tool doet netwerkverzoeken, dus dit is precies wat hij doet. De server van Snowkit haalt je startpagina, robots.txt, sitemap.xml, security.txt, favicon, tot 5 van je eigen scripts en hun source maps en 4 gangbare lekpaden op. Dat zijn maximaal 30 verzoeken, zonder te crawlen. De sleutels en tags worden in je browser gecontroleerd en er wordt niets opgeslagen. Scan alleen sites die je zelf beheert of waarvoor je toestemming hebt om ze te testen.
Als er een sleutel opduikt
Behandel hem als gelekt, ook als de site nog niet openbaar is. Trek hem eerst bij de aanbieder in of wissel hem, en verplaats hem dan uit front-endcode naar een omgevingsvariabele op de server of een backendfunctie. Sleutels die voor browsers bedoeld zijn, zoals publiceerbare betaalsleutels of beperkte kaartsleutels, mogen worden meegeleverd, maar vergrendel ze in het dashboard van de aanbieder aan je domein.
Wat het niet kan zien
Het controleert de startpagina en de bestanden waar hij naar linkt, niet elke pagina. Inhoud die pas verschijnt nadat JavaScript draait, pagina's achter een login en servercode zijn niet zichtbaar. Een schone scan betekent dat de gangbare lanceringsfouten gedekt zijn, niet dat de site volledig veilig is.
Een eenvoudige lanceringschecklist
- Voer de scan uit op het echte adres, niet op een conceptlink.
- Verwijder elke noindex die van staging is overgebleven.
- Voeg met de metatag-generator een titel, beschrijving en deelafbeelding toe aan elke belangrijke pagina.
- Publiceer een sitemap met de sitemapgenerator en een privacypagina met de privacyverklaring-generator.
- Controleer je eigen code voordat je implementeert met de geheimenscanner.
Vragen
Kan ik elke site scannen?
Scan alleen sites die je zelf beheert of waarvoor je toestemming hebt om ze te testen.
Slaat het mijn resultaten op?
Nee. Niets wat je scant wordt opgeslagen.
Is een schoon resultaat een garantie?
Nee. Het dekt veelvoorkomende lanceringsfouten op de pagina's die het kan zien, niet elke mogelijke zwakke plek.