API-Sicherheit prüfen — ohne Zugriff auf die API.
Fügen Sie Ihre OpenAPI- oder Swagger-Spezifikation ein und erhalten Sie sofort zwei Noten, jeden belegten Befund mit Fundstelle im Dokument, die Prüfaufträge für einen Live-Test und die ehrliche Liste dessen, was ein Dokument nicht zeigen kann. Ohne Anmeldung, ohne einen einzigen Request an Ihre Schnittstelle.
- Kein Request an Ihre API
- Nichts wird gespeichert
- Keine Anmeldung, keine E-Mail
- Quellcode wird veröffentlicht, selbst betreibbar
Ihre Spezifikation wird ausschließlich im Arbeitsspeicher verarbeitet und nie gespeichert. Es wird kein einziger Request an Ihre API gesendet. Im Bericht erscheinen nur Feldnamen, nie Beispielwerte. Der Dienst wird als Open Source veröffentlicht; wer nichts hochladen darf, betreibt ihn dann intern.
Ein Befund aus einem Dokument ist keine Messung.
Deshalb sagt der Check bei jedem Befund, wie belastbar er ist — und behauptet nie mehr, als das Dokument hergibt.
Belegt
Direkt aus der Spezifikation ablesbar, mit JSON-Pointer auf die Fundstelle. Nur diese Befunde fließen in die Noten ein — etwa eine schreibende Operation ohne security-Requirement oder IBAN-Felder in einer Antwort ohne Authentifizierung.
Wahrscheinlich
Starke Indizien im Dokument, aber nicht abschließend entscheidbar. Aus ihnen entsteht die Liste dessen, was ein Live-Test prüfen müsste: Objektberechtigung, Rollenprüfung, Mass Assignment.
Nur zur Laufzeit prüfbar
Zwölf Risikoklassen, die kein Dokument zeigen kann: Token-Signatur, CORS, Security-Header, Rate-Limits. Sie werden namentlich ausgewiesen und gezählt — nie bewertet.
Rund 30 Regeln, bewusst nicht mehr.
Fehlende oder schwache Authentifizierung
Operationen ohne security-Requirement, Basic Auth, OAuth2 Implicit Flow, API-Keys im Query-String.
ODER statt UND
Mehrere alternative Security-Schemes an einer Operation — hinter API-Gateways die häufigste Ursache für Auth-Bypässe, direkt ablesbar.
Sensible Daten in Antworten
Finanz-, Identitäts- und Zugangsdaten in Antwort-Schemata, erkannt über Feldnamen. Beispielwerte werden nie gelesen.
Admin- und Diagnose-Pfade
/admin, /internal, /actuator, /debug — dokumentiert, aber ohne Rollenangabe oder ganz ohne Authentifizierung.
Inventar-Probleme
Mehrere API-Versionen nebeneinander, Deprecated ohne Sunset, Server-URLs auf Staging oder localhost, Klartext-Transport.
Ressourcen und Schemata
Listen ohne Paginierung, Uploads ohne Größenlimit, Schemata ohne Längenbegrenzung — als Aggregat, nicht als Rauschen je Endpunkt.
Und was er ehrlich ausweist.
Eine gute Note bedeutet, dass die Spezifikation testreif ist — nicht, dass die Schnittstelle sicher ist. Gegen eine Referenz-API mit 22 dokumentierten Schwachstellen sind statisch 12 sichtbar. Die anderen 10 stehen im Bericht mit Namen.
Ob ein Token wirklich geprüft wird
Die Spezifikation nennt „bearer“, nicht die Prüflogik dahinter. Ein alg:none-Token akzeptiert oder nicht — das zeigt nur ein Aufruf.
Ob ein Nutzer fremde Objekte erreicht
Objektberechtigung liegt im Backend und braucht zwei Identitäten. Die häufigste API-Schwachstelle ist statisch prinzipiell unsichtbar.
Ob das Dokument der Wahrheit entspricht
Ein Schema mit additionalProperties: false ist ein Versprechen. Ob das Backend es hält, ist eine andere Frage.
Was gar nicht dokumentiert ist
Swagger-UI, Debug-Routen, alte Versionen ohne Eintrag. Was nicht im Dokument steht, kann kein Dokument zeigen.
Ein dokumentierter Prüfansatz — kein Konformitätsnachweis.
Der Bericht enthält je Befund die Zuordnung zu den OWASP API Security Top 10 (2023) und benennt die Prüfaufträge mit erwartetem Sollverhalten. Das unterstützt die Dokumentationspflichten, die sich für viele Unternehmen aus ISO/IEC 27001 (Maßnahme 8.29, Sicherheitstests in Entwicklung und Abnahme) und § 30 Abs. 2 Nr. 5 BSIG (Sicherheit in der Entwicklung, Beschaffung und Wartung) ergeben.
Der Check ersetzt weder einen Penetrationstest noch ein Audit und stellt keine Konformität mit NIS2, DORA oder anderen Regelwerken fest. Er ist eine statische Analyse eines Dokuments — nicht mehr, aber auch nicht weniger.
Häufige Fragen
Wird meine Spezifikation gespeichert?
Nein. Sie wird nur im Arbeitsspeicher des Servers verarbeitet, das Ergebnis geht signiert an Ihren Browser zurück, und danach ist nichts mehr da. Es gibt kein Access-Log, IP-Adressen werden nur als täglich wechselnder Hash für die Ratenbegrenzung gehalten. Der Quellcode des Dienstes wird als Open Source veröffentlicht — dann können Sie es nachlesen oder den Dienst intern selbst betreiben.
Sendet der Check Anfragen an meine API?
Nein, keinen einzigen. Der Dienst hat keine Funktion, um URLs abzurufen, und der Isolationstest im Quellcode verhindert, dass je eine dazukommt. Alles, was der Bericht sagt, folgt aus dem Dokument.
Warum Schulnoten und kein Prozentwert?
Weil ein heuristisches Urteil aus einem Dokument keine Prozentpunkt-Genauigkeit behaupten darf. Zwei Noten — Sicherheitsdesign und Spezifikationshygiene — bleiben getrennt, damit saubere Schemata eine fehlende Authentifizierung nicht wegmitteln. Jeder Deckel steht mit Begründung im Bericht.
Welche Formate werden unterstützt?
OpenAPI 3.0 und 3.1 sowie Swagger 2.0 als JSON oder YAML, bis 2 MB. Konstrukte aus OpenAPI 3.2 wie additionalOperations oder die QUERY-Methode werden nicht ausgewertet, aber im Bericht als Blindstellen namentlich ausgewiesen — der Check meldet nie „geprüft“ für etwas, das er nicht gelesen hat.
Was bekomme ich, wenn meine API hinter webMethods API Gateway läuft?
Der Check erkennt typische Merkmale und weist darauf hin, dass die tatsächlich wirksamen Policies nicht in der Spezifikation stehen, sondern im Gateway-Export. Für den Export gibt es ein separates Werkzeug, das lokal läuft — ein Export enthält Zugangsdaten und gehört auf keine Website.
Was unterscheidet das vom vollständigen sectestx?
Der Check sagt, was zu testen wäre. sectestx testet es: aus derselben Spezifikation entstehen ausführbare OWASP-Tests, die in Ihrem eigenen Netz laufen und je Befund Evidence liefern — für die zwölf Risikoklassen, die ein Dokument nicht zeigen kann.
Das war die Spezifikation. Der Rest ist Laufzeit.
sectestx erzeugt aus Ihrer Spezifikation ausführbare Sicherheitstests, führt sie datensouverän in Ihrem Netz aus und belegt jeden Befund. Für Teams, die nicht nur wissen wollen, was zu testen wäre.