Überwachung. Halten Zertifikat und Header noch?

Was die Überwachung misst

Die Seite antwortet, und wie schnell, aus Europa. Das TLS-Zertifikat ist gültig, auf den richtigen Namen, und läuft nicht bald ab. HTTPS ist wirklich erzwungen, nicht bloß verfügbar. Sechs übliche Header werden geprüft: HSTS, CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy. Cookies tragen Secure und HttpOnly. Der Server nennt seine Software und Version nicht.

Eine A–F-Note, und vor allem ihr Verlauf

Jede überwachte Seite erhält eine Punktzahl von 100 und eine Note von A bis F, alle sechs Stunden neu berechnet. Die Note allein bringt wenig. Entscheidend ist der Tag, an dem sie von B auf D fällt, weil ein Deploy die CSP entfernt hat: an diesem Tag bekommen Sie einen Alarm, keinen Bericht, den niemand öffnet.

Das einmalige Audit geht weiter

Das Audit einer öffentlichen Seite ergänzt, was stündlich zu messen absurd wäre: SPF und DMARC, Ablauf der Domain, tote interne Links, eine www-Variante, die nicht antwortet, Weiterleitungen aus der Domain heraus. Ohne Konto, in etwa dreißig Sekunden.

Warum es vom Ablauf getrennt ist

Eine Verfügbarkeitssonde kostet eine Anfrage, ein Browser-Ablauf ein komplettes Chrome. Beides zu mischen hieße, das Erste zum Preis des Zweiten abzurechnen. Sie legen die Überwachung also auf alle Seiten und Abläufe auf die, deren Funnel Geld bringt.

Klassischer Ping und Pathly Überwachung

FAQ

Ist das ein Penetrationstest?

Nein. Pathly Überwachung liest, was Ihre Seite ohnehin veröffentlicht: Response-Header, Zertifikat, öffentliches DNS. Kein Authentifizierungsversuch, keine Suche nach ausnutzbaren Lücken, keine schädliche Last. Eine Hygieneprüfung von außen, kein Pentest.

Wie oft wird die Note neu berechnet?

Alle sechs Stunden je überwachter Seite. Die Verfügbarkeit wird im Takt Ihres Tarifs geprüft, bis zu einmal pro Minute.

Ersetzt die Note ein vollständiges Sicherheitsaudit?

Nein. Sie misst, ob Schutzmaßnahmen vorhanden sind, nicht wie fein sie konfiguriert sind: eine permissive CSP zählt als vorhanden. Sie findet Versäumnisse und Rückschritte, keine Anwendungslücken.

Kann ich die Seite eines Interessenten vor der Übernahme prüfen?

Ja, auf einer öffentlichen Seite und ohne Konto. Agenturen tun das vor einem Termin. Das Audit berührt nie eine Login-Seite, einen Checkout oder eine Zahlung.

Produktbeweise

Was Sie dem Kunden zeigen