Fügen Sie Ihre OpenAPI- oder Swagger-Spezifikation ein und erhalten Sie sofort zwei Noten, jeden belegten Befund mit Fundstelle im Dokument, die Prüfaufträge für einen Live-Test und die ehrliche Liste dessen, was ein Dokument nicht zeigen kann. Ohne Anmeldung, ohne einen einzigen Request an Ihre Schnittstelle.
Kein Request an Ihre API
Nichts wird gespeichert
Keine Anmeldung, keine E-Mail
Quellcode offen (Apache-2.0), selbst betreibbar
0 KB VON 2 048 KB
Spezifikation hier einfügen oder eine Datei auf das Formular ziehen. Es wird kein einziger Request an Ihre API gesendet.
Ihre Spezifikation wird ausschließlich im Arbeitsspeicher verarbeitet und nie gespeichert. Es wird kein einziger Request an Ihre API gesendet. Im Bericht erscheinen nur Feldnamen, nie Beispielwerte. Der Dienst ist Open Source (Apache-2.0); wer nichts hochladen darf, betreibt ihn intern.
Drei Zustände
Ein Befund aus einem Dokument ist keine Messung.
Deshalb sagt der Check bei jedem Befund, wie belastbar er ist — und behauptet nie mehr, als das Dokument hergibt.
1Belegt
Direkt aus der Spezifikation ablesbar, mit JSON-Pointer auf die Fundstelle. Nur diese Befunde fließen in die Noten ein — etwa eine schreibende Operation ohne security-Requirement oder IBAN-Felder in einer Antwort ohne Authentifizierung.
2Wahrscheinlich
Starke Indizien im Dokument, aber nicht abschließend entscheidbar. Aus ihnen entsteht die Liste dessen, was ein Live-Test prüfen müsste: Objektberechtigung, Rollenprüfung, Mass Assignment.
3Nur zur Laufzeit prüfbar
Zwölf Risikoklassen, die kein Dokument zeigen kann: Token-Signatur, CORS, Security-Header, Rate-Limits. Sie werden namentlich ausgewiesen und gezählt — nie bewertet.
Was der Check sieht
Rund 30 Regeln, bewusst nicht mehr.
Fehlende oder schwache AuthentifizierungOperationen ohne security-Requirement, Basic Auth, OAuth2 Implicit Flow, API-Keys im Query-String.
ODER statt UNDMehrere alternative Security-Schemes an einer Operation — hinter API-Gateways die häufigste Ursache für Auth-Bypässe, direkt ablesbar.
Sensible Daten in AntwortenFinanz-, Identitäts- und Zugangsdaten in Antwort-Schemata, erkannt über Feldnamen. Beispielwerte werden nie gelesen.
Admin- und Diagnose-Pfade/admin, /internal, /actuator, /debug — dokumentiert, aber ohne Rollenangabe oder ganz ohne Authentifizierung.
Inventar-ProblemeMehrere API-Versionen nebeneinander, Deprecated ohne Sunset, Server-URLs auf Staging oder localhost, Klartext-Transport.
Ressourcen und SchemataListen ohne Paginierung, Uploads ohne Größenlimit, Schemata ohne Längenbegrenzung — als Aggregat, nicht als Rauschen je Endpunkt.
Was er nicht sieht
Und was er ehrlich ausweist.
Eine gute Note bedeutet, dass die Spezifikation testreif ist — nicht, dass die Schnittstelle sicher ist. Gegen eine Referenz-API mit 22 dokumentierten Schwachstellen sind statisch 12 sichtbar. Die anderen 10 stehen im Bericht mit Namen.
Ob ein Token wirklich geprüft wirdDie Spezifikation nennt „bearer“, nicht die Prüflogik dahinter. Ein alg:none-Token akzeptiert oder nicht — das zeigt nur ein Aufruf.
Ob ein Nutzer fremde Objekte erreichtObjektberechtigung liegt im Backend und braucht zwei Identitäten. Die häufigste API-Schwachstelle ist statisch prinzipiell unsichtbar.
Ob das Dokument der Wahrheit entsprichtEin Schema mit additionalProperties: false ist ein Versprechen. Ob das Backend es hält, ist eine andere Frage.
Was gar nicht dokumentiert istSwagger-UI, Debug-Routen, alte Versionen ohne Eintrag. Was nicht im Dokument steht, kann kein Dokument zeigen.
Einordnung
Ein dokumentierter Prüfansatz — kein Konformitätsnachweis.
Der Bericht enthält je Befund die Zuordnung zu den OWASP API Security Top 10 (2023) und benennt die Prüfaufträge mit erwartetem Sollverhalten. Das unterstützt die Dokumentationspflichten, die sich für viele Unternehmen aus ISO/IEC 27001 (Maßnahme 8.29, Sicherheitstests in Entwicklung und Abnahme) und § 30 Abs. 2 Nr. 5 BSIG (Sicherheit in der Entwicklung, Beschaffung und Wartung) ergeben.
Der Check ersetzt weder einen Penetrationstest noch ein Audit und stellt keine Konformität mit NIS2, DORA oder anderen Regelwerken fest. Er ist eine statische Analyse eines Dokuments — nicht mehr, aber auch nicht weniger.
FAQ
Häufige Fragen
Nein. Sie wird nur im Arbeitsspeicher des Servers verarbeitet, das Ergebnis geht signiert an Ihren Browser zurück, und danach ist nichts mehr da. Es gibt kein Access-Log, IP-Adressen werden nur als täglich wechselnder Hash für die Ratenbegrenzung gehalten. Der Quellcode des Dienstes ist offen (github.com/cehlert9999/sectestx-api-scanner) — Sie können es nachlesen oder den Dienst intern selbst betreiben.
Nein, keinen einzigen. Der Dienst hat keine Funktion, um URLs abzurufen, und der Isolationstest im Quellcode verhindert, dass je eine dazukommt. Alles, was der Bericht sagt, folgt aus dem Dokument.
Weil ein heuristisches Urteil aus einem Dokument keine Prozentpunkt-Genauigkeit behaupten darf. Zwei Noten — Sicherheitsdesign und Spezifikationshygiene — bleiben getrennt, damit saubere Schemata eine fehlende Authentifizierung nicht wegmitteln. Jeder Deckel steht mit Begründung im Bericht.
OpenAPI 3.0 und 3.1 sowie Swagger 2.0 als JSON oder YAML, bis 2 MB. Konstrukte aus OpenAPI 3.2 wie additionalOperations oder die QUERY-Methode werden nicht ausgewertet, aber im Bericht als Blindstellen namentlich ausgewiesen — der Check meldet nie „geprüft“ für etwas, das er nicht gelesen hat.
Der Check erkennt typische Merkmale und weist darauf hin, dass die tatsächlich wirksamen Policies nicht in der Spezifikation stehen, sondern im Gateway-Export. Für den Export gibt es wm-audit, ein separates Werkzeug, das lokal läuft — ein Export enthält Zugangsdaten und gehört auf keine Website. Mehr dazu unter leanofy.de/wm-audit.
Der Check sagt, was zu testen wäre. sectestx testet es: aus derselben Spezifikation entstehen ausführbare OWASP-Tests, die in Ihrem eigenen Netz laufen und je Befund Evidence liefern — für die zwölf Risikoklassen, die ein Dokument nicht zeigen kann.
sectestx
Das war die Spezifikation. Der Rest ist Laufzeit.
sectestx erzeugt aus Ihrer Spezifikation ausführbare Sicherheitstests, führt sie datensouverän in Ihrem Netz aus und belegt jeden Befund. Für Teams, die nicht nur wissen wollen, was zu testen wäre.
