Was deinen Rechner verlässt, und was nicht
Ein Projektarchiv enthält alles: Zugangsdaten, Kundendaten in Migrationen, private Notizen in Kommentaren. Deshalb ist die Zusage „dein Quelltext verlässt deinen Rechner nicht" bei uns keine Hausregel, sondern eine Typgrenze im Programm.
Das Archiv wird im Browser verarbeitet
Entpacken und Lesen laufen in deinem Tab
Die ZIP-Datei wird von einem Web Worker in deinem Browser entpackt und gelesen, nicht hochgeladen. Grenzen: höchstens 3000 Dateien, 24 MB je Datei, 200 MB entpackt insgesamt: darüber bricht der Vorgang ab, statt stillschweigend weniger zu prüfen.
Über die Grenze gehen nur Signale
Was den Browser verlässt, ist ein Signalstapel: Katalogkennung, gefunden ja/nein, Konfidenz, Fundstelle als Pfad mit Zeilennummer, und ein Rohwert, dessen Form im Typ festgelegt ist. Ein Feld für Inhalt, Ausschnitt oder Klartextwert gibt es nicht: wer eines befüllen wollte, müsste erst den Typ ändern.
Ein gefundener Schlüssel wird als Form übertragen, nicht als Wert
Finden wir etwas, das wie ein Zugangsschlüssel aussieht, überträgt der Browser nur Typ, Form und Länge, zum Beispiel „Stripe-Geheimschlüssel · sk_live_… · 107 Zeichen“. Der Schlüssel selbst wird nicht übertragen und nicht gespeichert: Ein Prüfwerkzeug, das gefundene Geheimnisse einsammelt, ist der attraktivste Einbruchsort im ganzen Aufbau.
Ein öffentlicher Schlüssel bleibt dabei öffentlich: Ein Supabase-Schlüssel mit der Rolle anon erzeugt bei uns ausdrücklich keinen Geheimnisbefund, nur service_role tut das.
Die Adressprüfung läuft auf unserem Server
Gibst du eine Adresse an, rufen wir die Seite auf, von unserem Server aus, mit erkennbarer Kennung. Neben dem begrenzten Rohabruf startet bei der Eigenprüfung ein frisches, nicht dauerhaftes Chromium-Profil. Cookie- und Speicherwerte werden nicht übernommen; URLs werden ohne Abfrageparameter gespeichert. Wie beide Wege arbeiten, welche Grenzen sie einhalten und wie du sie aussperrst, steht unter Unser Abrufer. Der Rohweg erlaubt höchstens 4Weiterleitungen, 512 KB je Antwort,25 Sekunden Gesamtbudget und nur Port 80 und 443. Der Browser hängt hinter einem eigenen Proxy, der dieselbe DNS-/SSRF-Prüfung erzwingt und sein Gesamtvolumen begrenzt.
Er kann nicht in fremde Netze zeigen, auch nicht in unsere
Jede Adresse wird vor dem Verbindungsaufbau in Bytes zerlegt, nicht als Zeichenkette gefiltert, und alle Formen, die eine IPv4- in einer IPv6-Adresse transportieren (IPv4-mapped, IPv4-compatible, NAT64, 6to4, Teredo), werden vorher ausgepackt. Erlaubt ist am Ende nur, was nachweislich global erreichbarer Unicast ist: die geprüfte Adresse wird an den Verbindungsaufbau gebunden, und jede Weiterleitung wird neu geprüft.
Cookies, Schriften, Dritte
| Sache | Zustand | Warum |
|---|---|---|
| Zustimmungspflichtige Cookies | keine | Deshalb gibt es hier kein Einwilligungsfenster. Alle gesetzten Cookies sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG); keines trägt eine Kennung im Klartext, eine Adresse oder einen Tarif. |
| Analyse und Tracking | keines | Kein Zählpixel, kein Werbenetz, keine Sitzungsaufzeichnung. |
| Schriften | von unserer Domain | Sie werden zur Bauzeit heruntergeladen und selbst ausgeliefert. Eine Einbindung über fonts.googleapis.com wäre ein Drittabruf beim Seitenaufruf, genau der Befund, den wir bei geprüften Seiten melden. |
| Einbettungen (Karten, Videos, Chat) | keine | Keine iframes von Dritten; die Inhaltsrichtlinie verbietet sie ausdrücklich (frame-src 'none'). |
| Inhaltsrichtlinie | je Anfrage mit Nonce | Skripte laufen nur mit einem Einmalwert, den der Server je Anfrage vergibt. Fremde Skripte können damit nicht nachgeladen werden. |
Was wir nicht zusichern
- Dass ein Schlüssel aus dem Speicher gelöscht wird. Zeichenketten sind in JavaScript unveränderlich, und wann der Speicherbereiniger läuft, entscheidet der Browser. Was gilt: Der Arbeitsspeicher des Workers endet, wenn du den Vorgang verlässt.
- Dass ein Fund vollständig ist. Was wir nicht sehen konnten, steht im Bericht als „Hinweis“, mit Grund. Es wird nie stillschweigend zu „erfüllt“.
- Dass ein sauberer Bericht ein sicheres Projekt bedeutet. Wir prüfen die Regeln, die unter Was wir prüfen stehen. Alles andere haben wir nicht angesehen, und der Bericht sagt das.
- Dass wir selbst fehlerfrei sind. Was unsere eigene Prüfung an uns findet, steht offen unter Unsere eigene Prüfung, samt der Punkte, die noch offen sind.