Während Sie schlafen, schützen wir Ihre API, Anwendung oder SaaS.
LiveAPISec führt automatisierte API-Penetrationstests durch — OWASP API Top 10 und Deep-Scan-Angriffe, 430+ Prüfungen, kontinuierlich oder auf Abruf — und stellt ein lebendiges Zertifikat aus, das Käufer akzeptieren.
430+ Prüfungen · erster Bericht in ~2 Minuten · keine Kreditkarte nötig
- Letzter Scan
- Jul 7
- Tests ausgeführt
- 430+
- Offen
- 0
Wer sind Sie? Wählen Sie den passenden Pitch:
Vertraut von sicherheitsbewussten Teams
ridolangmasdrivKontaktAppapudqi
'/%3e%3crect%20width='128'%20height='128'%20rx='30'%20fill='url(%23mdIcong)'/%3e%3c!--%20speed%20streaks%20--%3e%3cg%20fill='%23ffffff'%3e%3crect%20x='9'%20y='46'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3crect%20x='4'%20y='60'%20width='20'%20height='9'%20rx='4.5'%20opacity='0.6'/%3e%3crect%20x='9'%20y='75'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3c/g%3e%3c!--%20M%20monogram%20(optically%20centred:%20bounds%2032.5%20..%2095.5)%20--%3e%3cpath%20d='M40%2091%20V37%20L64%2064%20L88%2037%20V91'%20fill='none'%20stroke='%23ffffff'%20stroke-width='15'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/svg%3e)
Spricht die Sprache Ihrer API
Aggregierte Zahlen aus allen LiveAPISec-Scans bis heute.
Schnell ausliefern und sicher bleiben
Alle erwarten schnelle Software. Niemand verzeiht einen Datenleck. In dieser Spannung lebt jedes API-Team — und genau das löst Automatisierung.
Der Markt verlangt Tempo
Wöchentlich Features, täglich Deployments. Für jedes Release auf ein manuelles Sicherheitsreview zu warten, ist keine Option — Wettbewerber warten nicht.
…aber Kunden verlangen Sicherheit
Kunden vertrauen Ihnen ihre Daten an — Zahlungen, persönliche Daten, Geschäftsgeheimnisse. Jeder BOLA oder IDOR sind ihre Daten in fremden Händen. Ein Leck und das Vertrauen (und der Vertrag) ist weg.
Manuelles Testen zwingt zur Wahl: schnell oder sicher. Automatisierte Pentests bei jedem Deployment nehmen diese Wahl — Sicherheit fährt mit Release-Geschwindigkeit, und das Zertifikat beweist es jedem Kunden.
Alles, was Ihre API-Sicherheit braucht
Eine deterministische Engine, der Ihr Team vertrauen kann, plus KI gegen den Lärm.
Kontinuierliche API-Penetrationstests
Ihre API wird rund um die Uhr gegen die OWASP API Security Top 10 getestet — BOLA/IDOR, fehlerhafte Autorisierung, Mass Assignment, Injection, Rate Limits und mehr.
Lebendiges Vertrauenszertifikat
Ein transparentes, immer aktuelles Zertifikat, das Kunden öffnen können. Sie sehen genau, was wann getestet und was behoben wurde.
Erkennt Drift zwischen Deployments
Die meisten Probleme entstehen nach dem Deployment: Konfigurationsänderungen, versteckte Endpunkte, deaktivierte Limits. Wir beobachten Ihre API kontinuierlich.
CI/CD-Webhooks
Starten Sie bei jedem Deployment einen privaten Test. Entwickler erhalten Ergebnisse, ohne den öffentlichen Zertifikatsstatus zu beeinflussen.
CI-Urteil gegen Baseline
Blockieren Sie Deployments nur bei NEUEN Funden — der Verdict-Endpunkt vergleicht jeden Scan mit der Baseline, sodass bekannte und akzeptierte Probleme Deployments nicht blockieren.
KI-gestützte Triage
Weniger False Positives. Die KI klassifiziert und priorisiert Funde auf Basis eines vollständig deterministischen Kerns, den Sie reproduzieren können.
Keine Speicherung von Secrets
Zugangsdaten werden verschlüsselt (AES-256) und landen niemals in Logs. Nur Sie und der Scanner sehen sie.
Die Rechnung, die Ihr CFO lieben wird
Ein manueller API-Pentest kostet 15–50 Tsd. USD und dauert Wochen — pro Test. Hier ist die Alternative.
günstiger als ein manueller Pentest
SaaS-Plan 1.548 USD/Jahr gegenüber 15 Tsd. USD+ für einen einmaligen Auftrag, der beim nächsten Deployment veraltet ist.
von der Anmeldung zum ersten Bericht
Keine Sales-Calls, keine Scoping-Meetings, kein Warten von 3 Wochen auf ein PDF. Zeigen, klicken, Nachweis.
Monitoring, keine Momentaufnahme
Ein Pentest-Bericht veraltet beim nächsten Deployment. Kontinuierliche Scans finden die Regression, die ein jährliches Audit nie sieht.
Live in unter 10 Minuten
API verbinden
Laden Sie eine OpenAPI-, RAML-, GraphQL- oder SOAP/WSDL-Spezifikation hoch — oder geben Sie eine URL an. Fügen Sie Zugangsdaten hinzu: API-Key, Bearer, Basic oder OAuth2.
Wir testen kontinuierlich
Die deterministische Engine führt OWASP-API-Top-10-Penetrationstests nach Ihrem Zeitplan oder auf Abruf aus — mit schonender Geschwindigkeit, damit Ihre API nie überlastet wird.
Zertifikat zeigen
Binden Sie die lebendige Trust Page auf Ihrer Website ein. Kunden sehen echte, aktuelle Nachweise — kein leeres Badge.
Sehen Sie genau, wie es funktioniert
Fügen Sie ein Projekt in unter einer Minute hinzu und sehen Sie zu, wie der Scan läuft und das Zertifikat erscheint.
1 · Projekt hinzufügen
Geben Sie einen Namen an, zeigen Sie auf Ihre OpenAPI-Spezifikation und Base-URL, wählen Sie einen Zeitplan. Wir verifizieren das Eigentum und verbinden sofort.
- ✓ YAML/JSON hochladen oder von URL laden
- ✓ Zugangsdaten hinzufügen (API-Key, Bearer, Basic, OAuth2)
- ✓ Eigentum per DNS-TXT-Eintrag bestätigen
2 · Wir testen kontinuierlich
Ihre Spezifikation wird in Hunderte gezielte Tests aus der OWASP API Top 10 übersetzt. Ergebnisse landen in Minuten im Dashboard.
- ✓ 8 OWASP-Testkategorien
- ✓ Schonende Geschwindigkeit — überlastet Ihre API nie
- ✓ Drift-Erkennung zwischen Deployments
3 · Sofort benachrichtigt werden
Wenn wir etwas Wichtiges in Ihrer API finden, erfahren Sie es sofort. Wählen Sie E-Mail, Slack, Webhook oder einen anderen Kanal — Sie sind immer informiert, sobald wir ein Problem erkennen.
- ✓ E-Mail, Slack oder Webhook — Ihre Wahl
- ✓ Alerts nur bei wichtigen Funden (kritisch / hoch)
- ✓ Keine Regression im Release-Pfad verpassen
Choose how you want to be informed — always.
Die OWASP API Top 10, automatisiert
Ein Live-Bericht der genauen Tests, die wir gegen Ihre API ausführen.
Starten Sie jetzt einen Live-Penetrationstest
Zeigen Sie uns eine API — Base-URL oder OpenAPI-Spezifikation — und wir führen einen echten Penetrationstest auf Abruf in einer sicheren Sandbox aus: Hunderte OWASP-API-Top-10-Angriffssimulationen mit schonender Geschwindigkeit. Kein Vendor-Engagement, kein Warten, kein Risiko für Produktionsverkehr.
- BOLA / IDOR — Versucht, durch Austausch von IDs in Pfaden und Parametern auf Ressourcen anderer Benutzer zuzugreifen.
- Fehlerhafte Autorisierung — Sendet Anfragen ohne Token oder mit ungültigem Token, um ungeschützte Endpunkte zu finden.
- Mass Assignment — Fügt überzählige Felder zum Payload hinzu, um zu prüfen, ob der Server mehr akzeptiert als vorgesehen.
- Injection (SQL / NoSQL) — Sondiert SQL-, NoSQL- und JSON-Injection und erkennt Fehlersignaturen.
- Rate Limiting — Sendet eine Reihe von Anfragen, um fehlende 429-Begrenzung zu erkennen.
- CORS-Fehlkonfiguration — Setzt einen feindlichen Origin und prüft, ob Zugangsdaten erlaubt sind.
- Security Header — Prüft HSTS, X-Content-Type-Options und weitere Härtungs-Header.
- Sensible Parameter — Sucht Secrets, die im Query-String statt in Headern oder Body übergeben werden.
- JWT-Schwächen — alg=none, gefälschte Payloads, schwache HMAC-Secrets, fehlendes exp, kid-Injection.
- HTTP-Method-Tampering — Nicht deklarierte Methoden (DELETE, PATCH …), die Methoden-Zugriffskontrollen umgehen.
- Rechteeskalation via Mass Assignment — Nicht deklarierte Rollenfelder, die der Server unverändert zurückgibt.
- Tech-Fingerprint + EOL — Stack-Erkennung mit Markierung von Versionen nach End-of-Life.
- Informationslecks — .git, .env, Debug-Endpunkte, Actuator, Metriken, öffentliche Spezifikationen, Stack Traces.
- Differenzielle Limits + XFF-Bypass — Unbegrenzter Login neben limitierter API; Limits umgangen per X-Forwarded-For.
- Alte API-Versionen — v1-Endpunkte ohne die Autorisierung aus v2, gelöschte Endpunkte, die weiter antworten.
- GraphQL — Introspektion in Produktion und fehlende Query-Komplexitätslimits.
- OAuth redirect_uri-Kontrolle — Offene Redirects am Autorisierungsendpunkt (Code-/Token-Diebstahl).
- CORS + Preflight-CSRF-Kette — null Origin, Allowlist-Bypass per ähnlicher Domain, Preflight auf Schreib-Endpunkten.
- SSRF-Canary — Ihr Server wird gebeten, unsere URL abzurufen — der Callback beweist serverseitige Anfragen.
Über den automatischen Scanner hinaus führt ein autonomer KI-Agent einen echten, menschenähnlichen Penetrationstest in Ihrer Dev-/Staging-Umgebung aus — nur für verifizierte Domains (localhost / private IPs sind ausgenommen). Der Agent:
- plant einen Angriff (IDOR/BOLA, fehlerhafte Auth, Injection, Secrets, Mass Assignment) und passt ihn mit seinen Erkenntnissen an,
- sondiert Schritt für Schritt, vergleicht Ihre Datensätze mit denen anderer Benutzer, eskaliert Rollen und sucht Secrets,
- kann eigenen Sondierungscode schreiben und ausführen, wenn er an eine Wand stößt, in einer sicheren Sandbox,
- schreibt eine abschließende KI-Bewertung — Risikostufe, Testverlauf und konkrete Fixes — während Sie live zusehen.
Ihre URL und Zugangsdaten gelangen niemals zur KI — der Agent sieht nur relative Pfade, der Server führt Anfragen aus. Wir raten dringend davon ab, ihn gegen Produktion laufen zu lassen — er kann ein System beschädigen oder zerstören und läuft dort daher nie.
Testen Sie Ihre gesamte Umgebung — Dev, Staging und Produktion
Verbinden Sie dieselbe API in jeder Umgebung und scannen Sie jede, während Ihr Release voranschreitet. Dieselben 430+ Prüfungen werden bei jedem Deployment automatisch wiederholt — Ihr Team prüft denselben Endpunkt nie zweimal manuell.
Den Pfad jedes Releases scannen
Verbinden Sie eine API mit mehreren Umgebungen — Development, Staging, Produktion — jede mit eigener Base-URL. Starten Sie Scans in jeder Umgebung auf Abruf oder lassen Sie den Scheduler sie kontinuierlich prüfen.
- ✓ Development — Probleme vor dem Merge finden
- ✓ Staging — Release Candidate verifizieren
- ✓ Produktion — die Live-API kontinuierlich überwachen
- ✓ Promotion blockieren, wenn eine Stufe fehlschlägt
- ✓ Manuelles Retesting vergessen — Automatisierung deckt dieselben Pfade jedes Mal ab
- ✓ Neue Versionen schneller ausliefern — Sicherheit fährt mit, blockiert nie
Automatisieren Sie die langweiligen 90 %.
Dieselben Endpunkte vor jedem Release erneut zu testen, ist Maschinenarbeit. Wir tun es bei jedem Deployment und nach Zeitplan — Menschen prüfen nur, was wirklich neu ist. So liefern Teams wöchentlich aus, ohne den Sicherheits-Backlog wachsen zu lassen.
Das sehen Ihre Kunden
Ein echtes Zertifikat und der Bericht dahinter — transparent, präzise und immer aktuell.
- Letzter Scan
- Jul 7, 2026 · 09:41
- Offene Schwachstellen
- 0
- Behoben
- 12
- Testumfang
- BOLA, injection, rate limit…
Automatisierte Sicherheitstests, kein vollständiges Audit. Das Zertifikat ist keine Sicherheitsgarantie.
Öffentliche Trust Page · sichtbar unter liveapisec.com/trust/payments-api
Scan-Verlauf und Funde in Ihrem Dashboard
Machen Sie Sicherheit zum Verkaufsargument
Kunden hören auf zu fragen „sind unsere Daten sicher?“ und sehen stattdessen Nachweise. Die öffentliche Trust Page zeigt genau, was wann getestet und was behoben wurde — in ehrlicher, präziser Sprache. Keine vagen Badges.
- ✓ Öffentlicher Endpunkt mit Scan-Verlauf
- ✓ Präzise Formulierung: „hat automatisierte Tests im getesteten Umfang bestanden“
- ✓ Fixes und Regressionen über die Zeit verfolgt
- ✓ Öffentliche Trust Page ab dem Live-Plan
Zeigen Sie Ihren Sicherheitsstatus überall
Binden Sie diese Widgets auf Ihrer Website, in Docs oder auf der Preisseite ein. Sie aktualisieren sich bei jedem Scan automatisch — Live-Daten, keine Handarbeit.
Kleine Pille für Header oder Footer.
Offen / behoben / Tests auf einen Blick.
Kompakte Scan-Karte.
Balken über die volle Breite für Trust- oder Preisseite.
Warnen Sie vor neuen Problemen im Release-Pfad.
<a href="https://liveapisec.com/trust/payments-api" title="Verified by LiveApiSec" style="text-decoration:none;display:inline-block;color:inherit"><div data-liveapisec-widget data-slug="payments-api" data-type="badge"></div></a> <script src="https://liveapisec.com/widget.js" async></script>
Typen: badge · banner · card. Das gesamte Widget ist klickbar (führt zu Ihrer Trust Page) und erscheint erst, wenn das Projekt seine Tests besteht. Optional fügt data-name="..." Ihr Label neben der Marke hinzu.
Vertrauen wird gebaut, nicht behauptet
Wie wir Ihre Daten, Ihre API und Ihre Kunden schützen.
AES-256-verschlüsselte Zugangsdaten
API-Keys werden im Ruhezustand mit AES-256-GCM verschlüsselt und niemals in Logs geschrieben oder im Klartext angezeigt.
Eigentumsnachweis per DNS
Wir scannen eine API erst nach Bestätigung des Eigentums per DNS-TXT-Eintrag — revisionssicher dokumentiert.
Scanner in isolierter Sandbox
Scans laufen in einer Sandbox mit harten Zeit- und Request-Limits und überlasten Ihre API daher nie.
SOC-2-konforme Prozesse
Richtlinien, Audits und Nachweisberichte für Enterprise-Procurement vorbereitet.
DSGVO-konforme Datenverarbeitung
Minimale Datenmengen, EU-Hosting-Option und Löschung auf Anfrage.
Zugriff nach Least Privilege
Unser Team kann Ihre Secrets niemals lesen; der Scanner hält sie nur während der Ausführung im Speicher.
Pläne, die mit Ihnen wachsen
Ein manueller Pentest kostet 15.000 USD+ und veraltet beim nächsten Deployment. SaaS läuft das ganze Jahr für weniger als ein Zehntel davon.
Dev
Für Entwickler und Freelancer. Nur CLI, ohne Online-Zertifikat.
Autonomer KI-Pentest — nur Dev/Staging
Live
Online-Tests für APIs und SaaS — kontinuierliches Monitoring, ohne CLI und CI/CD.
Autonomer KI-Pentest — nur Dev/Staging
SaaS
Voller CI/CD-Pfad + Online-Monitoring + öffentliches Zertifikat — für wachsende Teams.
Autonomer KI-Pentest — nur Dev/Staging
Team
Für Organisationen mit vielen APIs. Alles, ohne Projektlimit.
Autonomer KI-Pentest — nur Dev/Staging
Enterprise
Für Organisationen, die Sicherheit im großen Maßstab brauchen.
Autonomous AI pentest — dev/staging only
Ebenfalls enthalten
- ✓ Priorisierte Scan-Queue
- ✓ SOC-2-Nachweisbericht
- ✓ SSO / SAML
- ✓ SLA und dedizierter Support
Dev-Plan — keine Kreditkarte nötig · 14 Tage Geld-zurück-Garantie · Jederzeit kündbar
Jeder Plan, jede Funktion
Vergleichen Sie alle Funktionen nebeneinander — keine versteckten Limits, kein Kleingedrucktes. Jeder Plan ist das volle Produkt.
| Funktion | Dev | Live | SaaS | Team | Enterprise |
|---|---|---|---|---|---|
| Kontinuierliche API-Sicherheitstests | |||||
OWASP API Top 10-Paket 8 deterministische Testkategorien: BOLA/IDOR, fehlerhafte Autorisierung, Mass Assignment, Injection, Rate Limiting, CORS, Security Header, sensible Parameter | ✓ | ✓ | ✓ | ✓ | ✓ |
Deep-Scan-Paket (deterministisch) JWT-Schwächen (alg=none, schwacher HMAC, fehlendes exp), HTTP-Method-Tampering, Rechteeskalation via Mass Assignment, Tech-Fingerprint + EOL-Versionen, Informationslecks (.git/.env/debug/actuator/stack trace), differenzielle Limits + XFF-Bypass, alte API-Versionen, GraphQL-Introspektion + Komplexität, OAuth-redirect_uri-Kontrolle, CORS null-origin + Allowlist-Bypass + Preflight-CSRF, SSRF-Canary, Shadow API | ✓ | ✓ | ✓ | ✓ | ✓ |
Unterstützte API-Formate REST (OpenAPI/Swagger), RAML 0.8/1.0, GraphQL (Introspektion/SDL), SOAP (WSDL) | ✓ | ✓ | ✓ | ✓ | ✓ |
Automatische Endpunkt-Erkennung Durchsucht HTML/JS, Sitemaps und typische API-Pfade — OpenAPI ist nicht erforderlich | ✓ | ✓ | ✓ | ✓ | ✓ |
Shadow-API- und Drift-Erkennung Nicht dokumentierte Endpunkte, Regressionen und Konfigurationsänderungen zwischen Deployments | ✓ | ✓ | ✓ | ✓ | ✓ |
KI-generierte Test-Payloads Auf Ihre Spezifikation zugeschnittene Payloads durch LLM | ✓ | ✓ | ✓ | ✓ | ✓ |
KI-Triage und False-Positive-Filterung LLM-Urteile (echt / False Positive) mit Konfidenz — auf deterministischem Kern | ✓ | ✓ | ✓ | ✓ | ✓ |
| Limits des kontinuierlichen Monitorings | |||||
Endpunkte insgesamt Eindeutige Endpunkte über alle Projekte | 5.000 | 200 | 5.000 | 25.000 | Individuell / ∞ |
Live-Testfrequenz Wie oft wir Ihre API rund um die Uhr erneut testen (bei Dev nur CLI) | — (nur CLI) | Alle 24 h | Alle 24 h | Jede 1 h | Alle 15 Min. / individuell |
Manuelle Tests / Monat Scans auf Abruf, die Sie jederzeit starten können | 30 | 0 | 50 | 2.000 | Unbegrenzt |
Projekte Separate Produkte, Umgebungen oder Kunden, jeweils mit eigenem Zertifikat | 1 | 1 | 1 | Unbegrenzt | Unbegrenzt |
Umgebungen (Dev / Staging / Prod) Dieselbe API in jeder Phase des Releases testen | Unbegrenzt | Unbegrenzt | Unbegrenzt | Unbegrenzt | Unbegrenzt |
Team-Benutzer Organisationsmitglieder mit Dashboard-Zugriff | 1 | 3 | 10 | 50 | Unbegrenzt |
| Developer-Erfahrung und CI/CD | |||||
CLI + Developer API LiveAPISec-CLI (push, scan, gate releases) und REST API für Agenten — für CI/CD erforderlich | ✓ | — | ✓ | ✓ | ✓ |
CI/CD-Webhooks Private Tests bei jedem Deployment — ohne Einfluss auf den öffentlichen Status | ✓ | — | ✓ | ✓ | ✓ |
CI-Urteil gegen Baseline Deployments nur bei neuen Funden blockieren (pass/fail + Anzahl new/fixed/persisting) | ✓ | — | ✓ | ✓ | ✓ |
GitHub-/GitLab-Deployment-Trigger Repositories automatisch mit Tests nach dem Deployment verbinden | ✓ | — | ✓ | ✓ | ✓ |
Live-Scan-Fortschritt und Agent-Log Jeden Scan-Schritt in Echtzeit verfolgen | ✓ | ✓ | ✓ | ✓ | ✓ |
| Erweiterte KI-Tests | |||||
Live-Hacker-mode-Pentest (AI) Autonomer Pentest im menschlichen Stil, der plant, sondiert und pivotiert | — | — | ✓ | ✓ | ✓ |
Angriffsplan + Revision Der Agent führt einen expliziten Angriffsplan und aktualisiert ihn mit seinen Erkenntnissen | — | — | ✓ | ✓ | ✓ |
Codeausführung in der Sandbox Der Agent schreibt und führt eigenen Sondierungscode in einer isolierten Sandbox aus | — | — | ✓ | ✓ | ✓ |
Gezielte Angriffsziele Agent auf IDOR, Eskalation, Secrets oder Injection ausrichten | — | — | ✓ | ✓ | ✓ |
Ask mode (Code-Fragebogen) 270 überprüfbare Fragen zu dem, was der Scanner von außen nicht sieht (Code, RBAC, Tenant-Isolation, Kryptografie, SDLC) — Sie oder Ihr KI-Assistent antworten, mit KI-Folgefragen | — | — | ✓ | ✓ | ✓ |
| Vertrauen und Compliance | |||||
Öffentliche Trust Page Lebendiges Zertifikat mit Scan-Verlauf, das Sie Kunden zeigen können | — | ✓ | ✓ | ✓ | ✓ |
Einbettbare Widgets Badge, Banner, Karte, Zähler, Alert — fertig zum Einbauen auf Ihrer Website | — | ✓ | ✓ | ✓ | ✓ |
Domain-Verifizierung Eigentumsnachweis per DNS TXT / CNAME / HTTP-Datei (Audit-Log) | ✓ | ✓ | ✓ | ✓ | ✓ |
AES-256-verschlüsselte Zugangsdaten API-Keys im Ruhezustand verschlüsselt, niemals in Logs | ✓ | ✓ | ✓ | ✓ | ✓ |
IP-Allowlist des Scanners Feste Egress-Adressen für Firewall/WAF | ✓ | ✓ | ✓ | ✓ | ✓ |
SOC-2-Nachweisbericht Sicherheitsbericht für Procurement | — | — | — | — | ✓ |
Compliance-Mapping (PCI DSS / SOC 2 / ISO 27001 / GDPR / NIS2) Offene Funde nach Framework-Anforderung gruppiert — orientierendes Mapping für Auditoren (keine Zertifizierung) | — | — | ✓ | ✓ | ✓ |
SSO / SAML Single Sign-on für Organisationen | — | — | — | — | ✓ |
Priorisierte Scan-Queue Ihre Scans überspringen die Warteschlange | — | — | — | — | ✓ |
SLA und dedizierter Support Garantierte Uptime und zugewiesener Engineer | — | — | — | — | ✓ |
Jeder Plan enthält die volle Abdeckung
Ein Abonnement deckt alle Formate, alle OWASP-API-Top-10-Kategorien und den gesamten Toolchain ab — nichts wird separat verkauft.
Live-Pentest im Hacker mode (AI)
Autonomer Pentest im menschlichen Stil: Der Agent plant einen Angriff, sondiert Endpunkte Schritt für Schritt, schreibt und führt eigenen Sandbox-Code aus und liefert eine KI-Bewertung mit Fixes. Verfügbar ab SaaS — nur Dev/Staging, niemals Produktion.
API-Formate
OWASP API Top 10 — getestet
Sprachen und Frameworks, die die CLI erkennt (scan-code)
✨ Regelmäßig kommen neue Formate und Tests hinzu. Enterprise erhält Support für eigene Protokolle und eine dedizierte Roadmap.
Fragen, ehrlich beantwortet
Ist es sicher, meine API testen zu lassen?+
Ja. Der Scanner läuft in einer Sandbox mit strenger Geschwindigkeit, Timeouts und Request-Limits. Sie wählen den Zeitplan und können die Tests jederzeit pausieren.
Ist das ein echter Penetrationstest?+
Ja — ein automatisierter API-Penetrationstest. Wir führen Angriffssimulationen aus der OWASP API Top 10 (BOLA/IDOR, fehlerhafte Autorisierung, Injection, Mass Assignment, Rate Limiting, CORS, Security Header, Shadow API) sowie Deep-Scan-Tests (JWT-Schwächen, HTTP-Method-Tampering, Rechteeskalation via Mass Assignment, Tech-Fingerprint mit EOL-Versionen) auf Abruf oder nach Zeitplan aus — wie ein automatischer Pentester. Er ergänzt einen manuellen Pentest durch Menschen, ersetzt ihn aber nicht.
Kann ich einen Live-Penetrationstest direkt von der Website starten?+
Ja. Fügen Sie eine API hinzu oder fügen Sie eine OpenAPI-Spezifikation ein und klicken Sie auf „Live-Pentest starten“ — die Sandbox beginnt sofort, und Sie verfolgen den Ablauf im Terminal. Derselbe Test ist über die CLI (liveapisec scan) für CI/CD verfügbar.
Was ist der „Hacker mode (AI)“?+
Ein autonomer KI-Agent, der einen echten, menschenähnlichen Penetrationstest gegen Ihre API durchführt (nur Dev/Staging, niemals Produktion): Er plant den Angriff, sondiert Endpunkte Schritt für Schritt — IDOR, fehlerhafte Autorisierung, Injection, Secrets und Mass Assignment — beobachtet Antworten, korrigiert sich und schreibt eine abschließende Bewertung mit Fixes. Er kann sogar eigenen Sondierungscode in einer Sandbox schreiben und ausführen. Er läuft manuell auf Abruf, benötigt für öffentliche Ziele eine verifizierte Domain (localhost / private IPs sind ausgenommen), und Ihre URL sowie Zugangsdaten gelangen niemals zur KI. Wir raten dringend davon ab, ihn gegen Produktion laufen zu lassen — er kann ein System beschädigen oder zerstören.
Speichern Sie meine Zugangsdaten?+
Zugangsdaten werden im Ruhezustand mit AES-256-GCM verschlüsselt und ausschließlich während des Scans im Speicher entschlüsselt. Sie landen niemals in Logs und werden nie im Klartext angezeigt.
Was bedeutet „bestanden“ auf dem Zertifikat?+
Dass die API die automatisierten OWASP-API-Top-10-Tests im getesteten Umfang an einem konkreten Tag bestanden hat. Wir behaupten nie absolute Sicherheit — der Zertifikatstext ist bewusst präzise.
Wie verifizieren Sie, dass mir die API gehört?+
Sie bestätigen das Eigentum per DNS-TXT-Eintrag (oder manueller Bestätigung in niedrigeren Plänen). Jede Autorisierung wird mit Datum und Umfang protokolliert.
Wie werden Endpunkte gezählt?+
Ein Endpunkt ist eine eindeutige HTTP-Methode + Pfad in einem Projekt (z. B. GET /users). Endpunkte summieren sich über alle Projekte; Umgebungen teilen dieselbe Spezifikation und vervielfachen den Zähler daher nicht. Das Panel zeigt die aktuelle Nutzung (X / Y Endpunkte), sodass Sie immer wissen, wo Sie stehen.
Enthalten alle Pläne CI/CD und das vollständige OWASP-Paket?+
Jeder Plan enthält das OWASP-API-Top-10-Basispaket und das vollständige Deep-Scan-Paket. Der Dev-Plan ist nur CLI für Entwickler (ohne Online-Zertifikat und geplante Scans). Live fügt kontinuierliches Online-Monitoring und eine öffentliche Trust Page hinzu, aber ohne CLI/CI-CD. SaaS bietet beides — CLI/CI-CD und Zertifikat — plus Compliance-Mapping. Hacker mode (AI) beginnt bei SaaS; Ask mode (Code-Fragebogen) ebenfalls. Enterprise-Add-ons (SOC-2-Bericht, SSO, Priority Queue, SLA) sind in Enterprise enthalten.
Wie unterscheidet sich das von einem manuellen Pentest?+
Ein manueller Pentest ist eine Momentaufnahme: 15.000 USD+, 2–4 Wochen Wartezeit, beim nächsten Deployment veraltet. Wir führen dieselben OWASP-Angriffsklassen kontinuierlich aus — bei jedem Deployment, jede Nacht — für weniger als ein Zehntel des Preises. Nutzen Sie uns, um das ganze Jahr sauber zu bleiben, und holen Sie Menschen einmal im Jahr für exotische Dinge.
Wird das meine Produktion beschädigen?+
Nein. Standardscans sind Lesezugriffe mit schonender Geschwindigkeit, harten Zeit- und Request-Limits und isolierter Sandbox — sie können keine Daten verändern. Nur der Hacker mode (AI) ist destruktiv und deshalb auf Produktion vollständig blockiert; er läuft ausschließlich auf Dev/Staging.
Was passiert, wenn Sie um 3 Uhr nachts etwas Kritisches finden?+
Sie erhalten innerhalb von Sekunden einen Alert — E-Mail, Slack oder Webhook Ihrer Wahl — mit Fund, Nachweis und Fix. Kritische und hohe Funde können zudem das Deployment über den CI-Verdict-Endpunkt blockieren, sodass eine Schwachstelle nie in Produktion gelangt.
Kann ich den Plan jederzeit wechseln?+
Ja. Upgrades wirken sofort, Downgrades zum nächsten Abrechnungszyklus, und Sie behalten alle bisherigen Scans und Zertifikate. Kostenpflichtige Pläne haben eine 14-tägige Geld-zurück-Garantie.
Ihr erster Pentest ist kostenlos
Keine Kreditkarte. Kein Sales-Call. Ergebnisse in ~2 Minuten — dann entscheiden Sie mit Nachweisen, nicht mit Versprechen.
Kostenlosen Pentest starten →