Sicherheit

Einstellungen > Sicherheit prüft deine Website auf Sicherheitsprobleme und hilft dir, sie zu beheben. Dabei laufen drei Scans: der Paket-Scan, der Code-Scan und die KI-Sicherheitsprüfung. Bei kritischen Problemen erscheint eine rote Zahl neben Sicherheit in der Seitenleiste der Einstellungen.

Oben steht, wie viele Probleme zu beheben sind und wann deine Website zuletzt geprüft wurde. Klicke auf Jetzt prüfen, um sie erneut zu prüfen. Darunter findest du:

• KI-Prüfung: die gründlichere Prüfung durch die KI im Chat. Klicke auf Überprüfung starten. Dabei werden Credits verbraucht.
• Automatische Prüfungen: die kostenlosen Paket- und Code-Scans sowie der Zeitpunkt ihrer letzten Ausführung.
• Probleme in deinem Code: die Ergebnisse des Code-Scans, die schwerwiegendsten zuerst.
• Pakete: jedes Paket mit einem bekannten Problem, die installierte Version, die Version mit der Fehlerbehebung und die Version auf deiner veröffentlichten Website. Liste herunterladen speichert die Liste als Datei.
• Automatische Sicherheitsupdates, Schick mir bei kritischen Problemen eine E-Mail und Veröffentlichen blockieren, solange ein kritisches Problem offen ist.

Paket-Scan

Deine Website basiert auf Open-Source-Paketen, zum Beispiel dem Framework, auf dem sie läuft. Der Paket-Scan gleicht jedes Paket deiner Website mit der npm-Datenbank für bekannte Sicherheitsprobleme ab.

Er läuft automatisch:

• Täglich bei aktiven und veröffentlichten Websites
• Nachdem die KI etwas erstellt hat
• Bei jeder Veröffentlichung, damit er den veröffentlichten Stand widerspiegelt

Code-Scan

Der Code-Scan ist kostenlos und läuft bei jeder Veröffentlichung. Du kannst ihn auch jederzeit im Tab Sicherheit starten. Er sucht nach den Fehlern, durch die Daten einer Website am häufigsten offengelegt werden:

• Geheime Schlüssel im Browser-Code. Alles, was der Browser lädt, kann jeder lesen, der deine Website öffnet.
• Geheime Werte unter öffentlichen Namen. Secrets, deren Namen mit NEXT_PUBLIC_ beginnen, gelangen in den Browser. Verwende für private Schlüssel Namen ohne dieses Präfix. Siehe Öffentliche Werte.
• Service-Schlüssel im Browser-Code. Ein Service-Schlüssel umgeht die Zugriffsregeln deiner Datenbank und gehört deshalb nur in den Server-Code.
• Tabellen ohne Sicherheit auf Zeilenebene. Ohne diesen Schutz könnte jeder die Zeilen dieser Tabelle lesen oder ändern.
• Ungeschützte Job-Routen. Geplante Jobs, deren Routen jeder aufrufen kann, nicht nur die Zeitsteuerung.
• Unsichere HTML-Ausgabe. Die Anzeige von unverarbeitetem HTML kann es anderen ermöglichen, eigene Skripte auf deinen Seiten auszuführen.
• Riskante Bildeinstellungen. Bildeinstellungen, die mehr erlauben, als deine Website benötigt.

KI-Sicherheitsprüfung

Die KI-Sicherheitsprüfung läuft im Chat, wenn du sie mit Überprüfung starten auslöst. Sie verbraucht wie jede Nachricht Credits. Die KI liest den gesamten Code deiner Website und, falls eine Datenbank verbunden ist, deren Zugriffsregeln. Sie sucht nach Problemen, die sich aus der Funktionsweise deiner Website ergeben:

• Wer was lesen oder ändern kann
• Seiten und Aktionen, die prüfen sollten, ob jemand angemeldet ist
• Zahlungen
• Injection, bei der eine Besuchereingabe als Code oder Datenbankabfrage behandelt wird
• Daten, die Personen angezeigt werden, die sie nicht sehen sollten

Sie listet ihre Ergebnisse auf, die schwerwiegendsten zuerst, und fragt nach, bevor sie etwas ändert. Ihre Ergebnisse bleiben im Chat.

Ergebnisse verstehen

Jeder Fund zeigt, was nicht stimmt, wo das Problem liegt und wie schwerwiegend es ist: kritisch, hoch, mittel oder niedrig. Die Ergebnisse sind nach absteigendem Schweregrad sortiert. Fang also oben an.

Bei Paketproblemen werden das Paket, die betroffenen Versionen und die Sicherheitsmeldung genannt. Du kannst die Meldung öffnen, um sie vollständig zu lesen. Ergebnisse des Code-Scans nennen die Datei und die Zeile. Mit KI beheben nimmt die Änderung vor. Alle mit KI beheben behebt alle Probleme in deinem Code auf einmal.

Um ein Problem zurückzustellen, klicke auf Ausblenden und wähle einen Grund: Auf dieser Website ist das beabsichtigt, Ich akzeptiere das Risiko, Das ist falsch oder Bis eine Lösung verfügbar ist. Du kannst auch eine Notiz hinzufügen. Ausgeblendete Probleme verschwinden aus der Liste. Ausgeblendete anzeigen zeigt sie wieder an, und Wiederherstellen nimmt ein Problem wieder in die Liste auf.

Kein Scan erkennt jedes Risiko. Ein unauffälliger Bericht bedeutet, dass keine dieser Prüfungen ein Problem gefunden hat, nicht, dass deine Website keines haben kann. Teste alles, was Anmeldungen, Zahlungen oder die Daten deiner Nutzer verarbeitet, bevor du dich darauf verlässt.

Probleme beheben

• Paketupdates. Wenn eine fehlerbereinigte Version eines Pakets verfügbar ist, klicke auf Aktualisieren, um deinen Entwurf darauf umzustellen. Veröffentliche ihn anschließend, damit die Änderung live geht. Fehlerbehebungen innerhalb derselben Hauptversion ändern nicht, wie deine Website funktioniert.
• Mit KI beheben. Klicke bei einem Fund auf Mit KI beheben, und die KI wendet die vorgeschlagene Lösung an. Die Änderung wird im Versionsverlauf gespeichert, damit du sie rückgängig machen kannst.

Änderungen, die mehr als ein einfaches Versionsupdate erfordern, etwa eine neue Hauptversion oder eine Anpassung deines Codes, werden nie automatisch vorgenommen. Sie werden mit einer Lösung markiert, die du per Klick anwenden kannst. Du entscheidest, wann.

Automatische Sicherheitsupdates

Wenn ein Paket deiner Website eine kritische Sicherheitslücke hat und die Lösung innerhalb derselben Hauptversion verfügbar ist, aktualisiert WebTwizz deine veröffentlichte Website für dich:

1. Nur die Paketversionen ändern sich. Der eigene Code deiner Website bleibt unberührt.
2. WebTwizz erstellt die veröffentlichte Version deiner Website neu. Unfertige Entwürfe werden nie veröffentlicht.
3. Schlägt die Neuerstellung fehl, bleibt deine aktuelle Version online.
4. Im Versionsverlauf wird ein Wiederherstellungspunkt gespeichert. Um das Update rückgängig zu machen, stelle die Version vor dem Update wieder her.
5. Wenn dein Projekt mit GitHub synchronisiert wird, wird das Update dort als Commit übertragen.
6. Du erhältst eine E-Mail mit den Änderungen.

WebTwizz erstellt veröffentlichte Websites auch dann neu, wenn Node.js, auf dem sie laufen, ein Sicherheitsupdate erhält. An deiner Website ändert sich nichts. Das Update erscheint unter Wird für dich erledigt.

Automatische Updates sind für neue Websites standardmäßig aktiviert. Bei Websites, die vor der Einführung automatischer Updates erstellt wurden, sind sie deaktiviert. Um das für eine Website zu ändern, öffne Einstellungen > Sicherheit und schalte Automatische Sicherheitsupdates ein oder aus. Wird eine Sicherheitslücke aktiv ausgenutzt, kann WebTwizz das Update trotzdem anwenden und die Website bis zur Behebung offline nehmen.

E-Mail-Benachrichtigungen

• Kritische Probleme. Wenn auf einer veröffentlichten Website ein neues kritisches Problem auftritt, erhältst du eine E-Mail an die Adresse deines Kontos. Das ist standardmäßig aktiviert. Um diese E-Mails abzubestellen, deaktiviere Schick mir bei kritischen Problemen eine E-Mail unter Einstellungen > Sicherheit.
• Probleme mit hohem Schweregrad. Diese erhältst du in einer wöchentlichen E-Mail.

Prüfungen beim Veröffentlichen

Bei jeder Veröffentlichung laufen der Paket-Scan und der Code-Scan. Offene kritische Probleme erscheinen in der Zeile Sicherheit im Veröffentlichungsbereich.

Damit eine Website nie mit einem bekannten kritischen Problem online geht, aktiviere Veröffentlichen blockieren, solange ein kritisches Problem offen ist unter Einstellungen > Sicherheit. Die Veröffentlichung wartet dann, bis jedes kritische Problem behoben oder ausgeblendet wurde. Diese Option ist standardmäßig deaktiviert.

Was WebTwizz übernimmt

Diese Bereiche werden für dich sicher und aktuell gehalten, ohne dass du etwas einrichten musst:

• Grundgerüst und Vorlagen. Das Grundgerüst, auf dem jede neue Website basiert, und jede Vorlage in der Galerie.
• Deine Vorschau. Die Vorschau jeder Website läuft in einer eigenen, isolierten virtuellen Maschine.
• Hosting. Websites auf webtwizz.app-Adressen und auf eigenen Domains, mit HTTPS.
• Secrets. Sie werden verschlüsselt gespeichert. Du gibst sie nur auf WebTwizz ein, nie in einem Chat mit einem KI-Assistenten. Siehe Secrets.
• Passwortgeschützte und private Websites. Der Zugriff wird geprüft, bevor die Website geladen wird. Siehe Sichtbarkeit.

Sicherheitsproblem melden

Wenn du ein Sicherheitsproblem in WebTwizz oder auf einer dort gehosteten Website findest, schreibe an security@webtwizz.com. Unter webtwizz.com/security erfährst du, welche Angaben du mitschicken solltest, und findest bisherige Sicherheitsmeldungen.