Diese Seite richtet sich an Website-Betreiber, die Anfragen von Apexly-SecurityScanner (oder einen Aufruf mit HeadlessChrome von unserer Adresse) in ihren Server-Logs sehen.
Kurz gesagt: Apexly prüft Websites auf Sicherheits- und Datenschutzmängel — im Auftrag der jeweiligen Betreiber oder ihrer Agentur. Der Scanner verändert nichts und versucht nie, Schutzmaßnahmen zu umgehen. Fast alle seine Anfragen tragen den Namen Apexly; die eine Ausnahme, ein Kontrollaufruf bei der Cookie-Prüfung, erklären wir weiter unten.
Die meisten Anfragen tragen diese Kennung:
Apexly-SecurityScanner/1.0 (+https://apexly.de/scanner.html)Einige Prüfungen laden Ihre Startseite in einem echten Browser (Chrome ohne Bildschirm), weil sich nur so messen lässt, was Besucher erleben. Auch diese Aufrufe nennen unseren Namen:
Mozilla/5.0 (compatible; Apexly-SecurityScanner/1.0; +https://apexly.de/scanner.html)Apexly/1.0 endetDazu kommt der Kontrollaufruf der Cookie-Prüfung, der bewusst ohne unseren Namen auskommt. Warum, steht im nächsten Abschnitt.
Wir geben uns nicht als Mensch aus und verstellen uns nicht, um an Schutzmaßnahmen vorbeizukommen. Ein Sicherheitswerkzeug, das sich so verhielte, täte genau das, wovor es eigentlich warnen soll.
Die Cookie-Prüfung ruft Ihre Startseite in einem Browser auf und sieht nach, welche Cookies und Tracker gesetzt werden, bevor jemand zugestimmt hat. Manche Einwilligungs-Werkzeuge und Tag-Manager erkennen Roboter und liefern ihnen etwas anderes aus als Besuchern. Deshalb folgt ein zweiter, gleicher Aufruf, bei dem sich der Browser mit der Kennung meldet, die Chrome von sich aus mitbringt:
Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/149.0.0.0 Safari/537.36Die Versionsnummer ändert sich mit unserem Browser. Das Wort HeadlessChrome nennt ihn offen als automatisierten Browser ohne Bildschirm; er gibt sich nicht als Mensch aus. In Ihren Server-Logs kommt er von derselben IP-Adresse wie alle übrigen Anfragen des Scanners.
Wozu das gut ist. Ohne den zweiten Aufruf würde der Bericht Ihnen unter Umständen Cookies vorwerfen, die nur ein Roboter bekommt, oder andere übersehen, die nur ein Browser bekommt. Sehen beide Aufrufe dasselbe, gilt das Ergebnis. Unterscheiden sie sich, steht im Bericht „nicht sicher“ mit beiden Beobachtungen, und es gibt dafür keinen Punktabzug. Eine Grenze bleibt: Erkennt eine Seite Roboter an anderen Merkmalen als der Kennung, etwa an der Art der Verbindung, zeigt sie auch dem Kontrollaufruf nur, was sie Robotern zeigt.
Was er nicht tut. Er liest nur die Startseite, wie jeder Besucher, klickt nichts an und füllt nichts aus. Wird der erste Aufruf abgewiesen oder mit einer Warteseite beantwortet, gibt es keinen zweiten Versuch: Der Scanner geht um keine Sperre herum. Wird der Kontrollaufruf selbst abgewiesen, gilt allein der erste Aufruf, und der Bericht vermerkt das.
Ein Teil der Prüfung besteht darin, nachzusehen, ob typische sensible Dateien versehentlich öffentlich erreichbar sind. Deshalb erscheinen in Ihrem Log Anfragen auf Pfade wie:
/.env, /.git/config/backup.sql, /backup.zip/phpinfo.php, /wp-config.php.bakDas sind Lesezugriffe, sonst nichts. Wir versuchen keine Anmeldungen, verschicken keine Formulare, laden nichts hoch und verändern keine Inhalte. Findet der Scanner eine solche Datei, wird das ausschließlich der Person gemeldet, die den Scan angefordert hat — und ihr Inhalt wird weder gespeichert noch ausgewertet.
Wenn Sie einen Scan Ihrer eigenen Seite beauftragt haben und Ihre Firewall ihn blockiert, können Sie die Kennung freischalten. Beispiel für fail2ban:
ignoreregex = Apexly(-SecurityScanner)?/1\.0Hinweis: Eine Freigabe anhand des User-Agents lässt sich fälschen. Für den Kontrollaufruf der Cookie-Prüfung gibt es außerdem keine Kennung, die sich freischalten ließe. Für dauerhaft zuverlässige Scans ist eine Freigabe der Quell-IP-Adresse die bessere Wahl, sie deckt alle Aufrufe ab — die Adresse nennen wir Ihnen auf Anfrage.
Sie müssen nichts tun: Blockiert Ihr Server die Anfragen, akzeptieren wir das. Der Bericht weist die betroffenen Prüfungen dann ausdrücklich als „nicht prüfbar" aus, statt fälschlich Entwarnung zu geben. Das gilt auch für den Kontrollaufruf.
Möchten Sie Ihre Domain dauerhaft von Scans ausschließen oder haben Sie den Verdacht, dass jemand ohne Ihre Zustimmung einen Scan Ihrer Seite veranlasst hat, schreiben Sie uns kurz — wir sperren die Domain dann für weitere Scans:
Patrick Neumann (pepelabs) — vollständige Angaben im Impressum. Kommt die Freischaltung nicht zustande: schreib uns.
Wie wir mit Daten umgehen, steht in der Datenschutzerklärung · Vertrag widerrufen · Verträge hier kündigen · Barrierefreiheit · Sicherheitslücke melden.