So prüfen wir
Wir rufen Websites auf wie ein neuer Besucher – höflich, sparsam und nachvollziehbar. Hier steht genau, was dabei passiert.
Was Webröntgen macht
Webröntgen ruft eine Website so auf, wie es ein Erstbesucher mit einem aktuellen Browser tut, und bedient dabei keinen Cookie-Banner. Alles, was in diesem Moment geladen oder gespeichert wird, passiert also vor einer Einwilligung.
Geprüft werden nur Merkmale, die öffentlich sichtbar sind: die Startseite, die Verschlüsselung, das Zertifikat, öffentliche DNS-Einträge (SPF, DMARC) und die Antwort-Header. Es werden keine Passwörter ausprobiert, keine Formulare abgeschickt und keine Sicherheitslücken ausgenutzt.
Woran Sie unseren Prüfbrowser erkennen
Der Prüfbrowser meldet sich mit einem User-Agent, der Webroentgen/0.1 (+https://webroentgen.de/crawler.html) enthält. Eine Prüfung wird immer von einer Person ausgelöst, die die Adresse auf webroentgen.de eingegeben hat, und ruft nur wenige Dateien ab.
Unsere Prüfungen kommen von eigenen Servern mit Namen nach dem Muster scanner1.webroentgen.de, scanner2.webroentgen.de und so weiter. Ihre Adressen lassen sich in beide Richtungen prüfen: Die Rückwärtsauflösung der IP-Adresse (Reverse-DNS) ergibt einen solchen Namen, und dieser Name zeigt wieder auf dieselbe Adresse. So erkennen Sie in Ihren Server-Protokollen zuverlässig, ob eine Anfrage wirklich von Webröntgen stammt.
Eine Ausnahme gibt es in der Premium-Prüfung: Manche Cookie-Banner-Werkzeuge blenden ihren Banner für Prüfprogramme gar nicht erst ein. Erkennen wir ein solches Werkzeug, ohne dass ein Banner erscheint, wiederholen wir den Test des Banners einmal auf der Startseite mit dem User-Agent eines üblichen Browsers. Der Bericht weist darauf ausdrücklich hin.
Nach einer Premium-Prüfung ruft unser Wächter die Startseite zwölf Monate lang einmal pro Woche ab, ohne Browser und ohne weitere Unterseiten. Er meldet sich mit dem User-Agent Webroentgen-Waechter/1.0.
Prüfungen für Ihre Domain sperren
Sie möchten nicht, dass Ihre Website mit Webröntgen geprüft wird? Schreiben Sie uns von einer Adresse Ihrer Domain an [email protected], dann nehmen wir die Domain in unsere Sperrliste auf.
Aktive Sicherheitschecks nur nach Eigentumsnachweis
Die Premium-Prüfung schaltet zusätzliche, aktive Sicherheitschecks frei – etwa die Suche nach öffentlich erreichbaren Konfigurationsdateien oder offenen Datenbank-Ports. Diese Prüfungen führen wir ausschließlich durch, nachdem der Betreiber das Eigentum an der Domain nachgewiesen hat, per DNS-Eintrag oder Datei im Webroot. Ohne Nachweis bleibt es bei der passiven Prüfung.
Prüf-User-Agent in Firewall oder Bot-Schutz freischalten
Läuft Ihre Website hinter einer Firewall, einer Web Application Firewall oder einem Bot-Schutz (zum Beispiel Cloudflare Bot Fight Mode), kann unser Prüfbrowser blockiert werden. In diesem Fall meldet Webröntgen „Prüfung durch Schutzsystem blockiert“ statt falscher Ergebnisse.
Nach dem Eigentumsnachweis können Sie unseren Zugriff gezielt freischalten. Legen Sie dazu eine Ausnahme für unseren User-Agent an, der Webroentgen/0.1 enthält, oder für die IP-Adressen, von denen unsere Prüfungen ausgehen (auf Anfrage). Bei Cloudflare genügt meist eine WAF-Ausnahmeregel, die Anfragen mit diesem User-Agent von Challenges und Bot-Schutz ausnimmt. So laufen die aktiven Checks vollständig und liefern verlässliche Ergebnisse.
Keine Rechtsberatung
Die Ergebnisse beschreiben technische Merkmale. Sie sind keine Rechtsberatung und keine rechtliche Bewertung einer Website.