GetSEO-Bot
Der GetSEO-Bot ruft Websites ab, wenn jemand sie auf getseo.de prüfen lässt. Er ruft nur die Adresse ab, die eingegeben wurde, und die Seiten und Dateien, die unten stehen. Er arbeitet nie auf eigene Faust und durchsucht das Netz nicht.
Er meldet sich bei jeder Anfrage mit diesem User-Agent:
Mozilla/5.0 (compatible; GetSEO-Bot/1.0; +https://getseo.de/bot)
Was bei jeder Prüfung abgerufen wird
- die eingegebene Seite mit ihren Antwort-Headern
- robots.txt und die Sitemap
- die http://-Version der Startseite und das TLS-Zertifikat
- die DNS-Einträge der Domain (SPF, DMARC, DKIM, MX, CAA und der DS-Eintrag für DNSSEC)
- im vollständigen Bericht bis zu 10 weitere Seiten der Website, einige Stylesheets sowie Status und Größe von Links und Bildern
Die Sicherheitsprüfung
Bei der Sicherheitsprüfung fragt der Bot zusätzlich eine feste Liste bekannter Pfade ab, die nie öffentlich sein sollten, und die Datei security.txt. Mehr Pfade gibt es nicht, der Bot folgt keinen Links und durchsucht keine Verzeichnisse. Er sendet nur GET-Anfragen, versucht keine Anmeldung und schreibt nichts.
/.git/HEAD(das Git-Repository mit dem Quellcode)/.env(eine Konfigurationsdatei mit Zugangsdaten)/wp-config.php.bak(eine Sicherungskopie der WordPress-Konfiguration)/.DS_Store(eine Verzeichnisliste von macOS)/phpinfo.php(die PHP-Konfigurationsseite)/server-status(die Apache-Statusseite)/.well-known/security.txt(Kontaktdaten für Sicherheitsmeldungen)
Außerdem, ebenfalls bei jeder Prüfung:
- je ein Verbindungsaufbau mit TLS 1.0 und TLS 1.1, um zu sehen, ob der Server die alten Versionen noch annimmt; die Verbindung wird sofort wieder beendet
- die ersten 1,5 Kilobyte von höchstens 6 Skriptdateien der eigenen Website, deren Name eine bekannte Bibliothek ohne Version nennt (etwa
jquery.min.js), um die Version aus der Kopfzeile zu lesen /wp-json/, nur wenn die Seite selbst kein Redaktionssystem erkennen lässt, um zu sehen, ob WordPress dahinter läuft
Nur bei WordPress und nur für bestätigte Eigentümer
Ist die Website eine WordPress-Seite und hat das Konto, das die Prüfung startet, nachgewiesen, dass die Domain ihm gehört, fragt der Bot zusätzlich diese Adressen ab. Im kostenlosen Check geschieht das nie.
/wp-json/wp/v2/users(ob die Schnittstelle Benutzernamen herausgibt)/?author=1(ob die Autorenseite den Benutzernamen verrät)/xmlrpc.php(ob die alte XML-RPC-Schnittstelle erreichbar ist (nur GET, kein Aufruf))/wp-content/uploads/(ob der Upload-Ordner seinen Inhalt auflistet)/wp-content/debug.log(ob das Fehlerprotokoll öffentlich ist)/wp-content/plugins/<Plugin>/readme.txt(die Version der Plugins, die die Seite selbst einbindet, höchstens 10)/wp-content/themes/<Theme>/style.css(die Version des Themes)/readme.html(ob die mitgelieferte Infodatei die WordPress-Version nennt)/feed/(ob der Feed die WordPress-Version nennt)/wp-login.php(die WordPress-Version an den Dateien der Anmeldeseite (nur Abruf, keine Anmeldung))
Von den Antworten behalten wir nur ein Ja oder Nein, Versionsnummern und gefundene Benutzernamen. Die Benutzernamen sieht nur der bestätigte Eigentümer in seinem Dashboard; in Berichten steht nur ihre Anzahl.
Öffentliche Datenquellen
Um erkannte Software einzuordnen, fragen wir öffentliche Datenbanken ab: endoflife.date (Supportzeiträume), OSV.dev und retire.js (Sicherheitslücken in JavaScript-Bibliotheken), cve.now, den Katalog ausgenutzter Lücken der CISA und EPSS von FIRST.org. Diese Dienste erfahren dabei nur Namen und Versionen von Software und Kennungen von Lücken, nie die geprüfte Website. Die Schwachstellen-Datenbank von Wordfence für WordPress halten wir als Kopie auf unserem Server.
Dabei gilt: Jeder Pfad wird einmal abgerufen (GET), und es werden nur die ersten Kilobytes gelesen. Ein Treffer zählt nur bei Status 200 und wenn der Anfang der Datei zu dem passt, was dort stehen müsste, bei /.git/HEAD etwa ein Verweis auf refs/. Der Inhalt wird weder gespeichert noch angezeigt. Festgehalten wird nur, dass die Datei erreichbar ist. Welche Dateien das sind, sieht in unserem Dashboard nur, wer nachgewiesen hat, dass die Website ihm gehört. Pro Domain führen wir diese zusätzlichen Abrufe höchstens 10-mal am Tag durch.
So schließen Sie die Prüfung aus
Mit einer Regel für unseren User-Agent in Ihrer robots.txt ruft der Bot die genannten Pfade nicht ab. Soll er alle zusätzlichen Abrufe der Sicherheitsprüfung auslassen, die TLS-Verbindungen eingeschlossen, genügt:
User-agent: GetSEO-Bot Disallow: /
Mit einzelnen Disallow-Zeilen sperren Sie nur bestimmte Pfade. Eine Regel für User-agent: * beachten wir an dieser Stelle nicht, denn die Prüfung wurde vom Betreiber oder in seinem Auftrag gestartet; die Regel muss uns namentlich nennen. Das Ergebnis der Sicherheitsprüfung heißt dann bei diesen Punkten „nicht prüfbar“. Alle anderen Teile des Checks, etwa die Prüfung der eingegebenen Seite, sind davon nicht betroffen.
Fragen und Beschwerden
Wenn Sie Abrufe von uns nicht erwarten oder ein Problem sehen, schreiben Sie uns über die Angaben im Impressum und nennen Sie die Domain und den ungefähren Zeitpunkt. Unsere Nutzer dürfen nur Websites prüfen, die ihnen gehören oder für die sie eine Berechtigung haben (AGB).