Sondar by Codelance

Beispiel

Musterbericht

So sieht ein Report von Sondar im Paket Basic aus: jeder Befund mit Schwere, Beleg und konkreter Lösung, verständlich auf Deutsch, als Ansicht und als PDF.

Fiktives Beispiel. Die geprüfte Website muster-schreinerei.example gibt es nicht; die Endung .example ist für Beispiele reserviert. Alle Befunde sind typische Beispiele und betreffen keine reale Firma.

Musterbericht als PDF PDF auf Englisch

Geprüft: https://www.muster-schreinerei.example

Besitznachweis: erbracht (aktive Prüfungen liefen)

  • 4Probleme
  • 4bestanden
  • 1nicht zutreffend
  • Schwerste Lücke: Mittel

Gefundene Probleme

  1. Mittel

    Strict-Transport-Security fehlt/schwach

    Beleg
    Die Startseite antwortet über HTTPS, sendet aber keinen Strict-Transport-Security-Header. Ein Browser kann beim ersten Aufruf auf HTTP zurückfallen.
    Lösung
    Im Webserver oder Hosting-Panel den Header «Strict-Transport-Security: max-age=31536000; includeSubDomains» setzen, nachdem alle Subdomains HTTPS können.
  2. Mittel

    Fremd-Skripte ohne Subresource Integrity (SRI)

    Beleg
    Zwei Skripte werden von einem fremden CDN geladen, ohne integrity-Attribut. Wird das CDN kompromittiert, läuft fremder Code auf der Website.
    Lösung
    Für jedes fremde Skript ein integrity-Attribut mit dem SHA-384-Hash und crossorigin="anonymous" ergänzen oder die Datei selbst ausliefern.
  3. Tief

    DMARC nur im Beobachtungsmodus (p=none)

    Beleg
    Der DMARC-Eintrag lautet «v=DMARC1; p=none». Gefälschte Mails im Namen der Domain werden gemeldet, aber nicht abgewiesen.
    Lösung
    Berichte einige Wochen auswerten, dann die Richtlinie schrittweise auf «p=quarantine» und später «p=reject» anheben.
  4. Tief

    Cookie "kontakt_sitzung": fehlende Flags (SameSite)

    Beleg
    Das Sitzungs-Cookie des Kontaktformulars wird ohne das Attribut SameSite gesetzt.
    Lösung
    Das Cookie mit «SameSite=Lax» (oder «Strict»), «Secure» und «HttpOnly» setzen.

Bestanden: Aktuelle TLS-Version, Keine Reflexion der Eingabe im HTML gefunden, Keine offenen Verzeichnislisten, SPF-Record vorhanden. Nicht zutreffend: Keine CORS-Header konfiguriert.

Der PDF-Bericht enthält zusätzlich die Systemanalyse, die erkannte Angriffsfläche und das Protokoll der aktiven Versuche. Ein Scan ist eine Momentaufnahme: Er findet Schwachstellen, er beweist keine Sicherheit.

Worauf Sie sich verlassen können

Fakten statt Versprechen

  • Schweizer Anbieter

    Codelance GmbH, Kirchgasse 3, 6340 Baar, CHE-436.119.936. Wo welche Daten bearbeitet werden, steht in der Datenschutzerklärung.

  • Besitznachweis vor aktiven Tests

    In jedem Paket. Ohne Nachweis prüft Sondar nur passiv, was die Website ohnehin öffentlich zeigt (AGB Ziffer 4).

  • Nicht-destruktiv

    Kein Last- oder Flood-Test, gedrosselte Anfragen, harmlose und markierte Testeingaben. Ihre Website läuft normal weiter.

  • Transparente Preise, jederzeit kündbar

    Feste CHF-Preise ohne MwSt, Kündigung jederzeit auf das Ende der Abrechnungsperiode (AGB Ziffer 8.2).

Wie sieht ein Bericht aus? Der Musterbericht zeigt einen vollständigen Report einer fiktiven Website.

Musterbericht ansehen

Wie steht Ihre eigene Website da?

Der Gratis-Scan zeigt es in rund einer Minute, ohne Konto und ohne Eingriff.

Gratis-Scan starten Preise ansehen