Nicht Sie? Wählen Sie Ihre Rolle:
Ein Dashboard. Null Überraschungen um 3 Uhr.
Kontinuierliche OWASP-Abdeckung über Dev, Staging und Produktion — mit Drift-Erkennung, die findet, was Deployments still kaputt machen. Ihre Auditoren bekommen Nachweise, Ihr Team Schlaf.
430+ Prüfungen · erster Bericht in ~2 Minuten · keine Kreditkarte nötig
- Letzter Scan
- Jul 7
- Tests ausgeführt
- 430+
- Offen
- 0
Vertraut von sicherheitsbewussten Teams
ridolangmasdrivKontaktAppapudqi
'/%3e%3crect%20width='128'%20height='128'%20rx='30'%20fill='url(%23mdIcong)'/%3e%3c!--%20speed%20streaks%20--%3e%3cg%20fill='%23ffffff'%3e%3crect%20x='9'%20y='46'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3crect%20x='4'%20y='60'%20width='20'%20height='9'%20rx='4.5'%20opacity='0.6'/%3e%3crect%20x='9'%20y='75'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3c/g%3e%3c!--%20M%20monogram%20(optically%20centred:%20bounds%2032.5%20..%2095.5)%20--%3e%3cpath%20d='M40%2091%20V37%20L64%2064%20L88%2037%20V91'%20fill='none'%20stroke='%23ffffff'%20stroke-width='15'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/svg%3e)
Spricht die Sprache Ihrer API
Aggregierte Zahlen aus allen LiveAPISec-Scans bis heute.
Schnell ausliefern und sicher bleiben
Diesen Kompromiss zu verantworten, ist buchstäblich Ihr Job.
Der Markt verlangt Tempo
Wöchentlich Features, täglich Deployments. Für jedes Release auf ein manuelles Sicherheitsreview zu warten, ist keine Option — Wettbewerber warten nicht.
…aber Kunden verlangen Sicherheit
Kunden vertrauen Ihnen ihre Daten an. Jeder BOLA oder IDOR sind ihre Daten in fremden Händen. Ein Leck und das Vertrauen (und der Vertrag) ist weg.
Kommt Ihnen das bekannt vor?
Wenn eines davon schmerzt, existiert dieses Produkt für Sie.
Die echte Angst: ein Breach in Ihrer Amtszeit — und keine Nachweise, dass Sie es im Griff hatten
Der Engineering-Bericht sagt, alles sei erledigt. Dann findet ein Kunde oder Journalist den Endpunkt, den niemand erneut getestet hat. Der Vorstand stellt eine Frage: „Warum wussten wir das nicht?“ Ruf, Renewals und die nächste Einstellungsrunde hängen an der Antwort. „Wir dachten, es sei okay“ ist keine Antwort.
Mit dieser Lösung ist die Antwort ein datierter Nachweis: jede API, jede Umgebung, kontinuierlich getestet — einschließlich der Kontrolle, die nach jenem Deployment verschwand.
Blinder Fleck zwischen Deployments
Der jährliche Pentest sagt im März „sauber“. Im April entfernt ein Deployment still das Rate Limiting auf POST /payments. Niemand weiß es, bis Kunden es wissen.
Audit-Panik, zweimal im Jahr
Zwei Wochen Screenshots, Spreadsheet-Archäologie und Slack-Threads „haben wir einen Nachweis für CC7?“ — in jedem Audit-Zyklus.
Alerts, die niemand liest
200-zeilige Digests und lärmende, überhöhte Severities bringen dem Team bei, den Kanal stummzuschalten. Der eine kritische Alert ertrinkt mit ihnen.
Velocity-Druck, Breach-Verantwortung
Der Vorstand will Tempo, Regulatoren wollen Nachweise, Kunden vertrauen Ihnen ihre Daten an. Ein IDOR, der Kundendaten offenlegt, beendet Verträge — kontinuierliche Automatisierung deckt beide Seiten ab.
Vertrauen Sie Ihrem Team. Verifizieren Sie die Arbeit.
Sie können nicht jeden Pull Request prüfen, und Sie sollten es nicht müssen. Sicherheits-Updates im Standup sind von Natur aus optimistisch; Nachweise nicht. Das gibt Ihnen eine unabhängige Drittanbieter-Sicht darauf, was jede API und Umgebung tatsächlich enthält — dieselbe Linse, die Ihre Auditoren, Ihr Vorstand und Ihre Kunden nutzen.
Objektiv, nicht selbstberichtet
Der Status kommt aus echten Tests gegen Live-Endpunkte — nicht aus einer Status-Tabelle, die jemand eine Woche vor dem Review ausfüllt.
Sehen, was ein Release geändert hat
Wenn eine Kontrolle verschwindet, sehen Sie, dass sie zuvor verifiziert war und danach fehlte — gebunden an ein Deployment, nicht an ein vages „sollte okay sein“.
Coachen mit Nachweisen, nicht mit Schuld
Geben Sie dem Team den Fund, den Payload und den Fix, statt eine Diskussion darüber zu beginnen, ob das Problem existiert. Fixes landen schneller.
Abdeckung, die Sie nach oben berichten können
Status pro API und Umgebung, den Sie dem Vorstand zeigen können: wie viel der Oberfläche getestet ist und was sich seit dem letzten Monat geändert hat.
Fragen Sie Ihr Team nach einem Status, bekommen Sie eine Meinung. Fragen Sie dies nach einem Status, bekommen Sie einen Nachweis.
Ihr Produkt, von Anfang bis Ende überwacht
Keine generische Checkliste — genau die Endpunkte, durch die Ihre Umsätze und Kundendaten fließen, kontinuierlich getestet und auf die Frameworks gemappt, über die Sie berichten.
| Framework | Was wir mappen | Plan |
|---|---|---|
| PCI DSS 4.0 | Anf. 6.4, 11.3–11.5 — Schwachstellenmanagement & Testnachweise | SaaS+ |
| SOC 2 | CC7 — Spur kontinuierlichen Monitorings + Nachweisbericht | Enterprise |
| ISO 27001 | A.8, A.12 — Nachweise technischer Tests & Logging | SaaS+ |
| GDPR | Art. 32 — Sicherheit der Verarbeitung, Testaufzeichnungen | Pro+ |
| NIS2 | Art. 21 — Risikomanagement & Incident-Nachweise | SaaS+ |
POST /checkout — Alert um 14:06, Fix um 14:22, automatisch erneut getestet.Jede Zeile ist eine echte Testklasse, nach der Auditoren fragen — auf Ihre Endpunkte gemappt, keine generische Checkliste.
Für Ihre Probleme gebaut
Drift-Erkennung zwischen Deployments
Ein Deployment entfernt ein Rate Limit oder legt einen Endpunkt offen? Sie wissen es in Minuten — mit dem genauen Diff, nicht mit einem vagen Alert.
Auditorgerechte Nachweise
Compliance-Mapping gruppiert Funde pro Anforderung, sodass Procurement-Fragebögen sich selbst beantworten. Plus eine öffentliche Trust Page.
Sicher by Design
Sandboxed Scanner, schonende Geschwindigkeit, AES-256-Zugangsdaten, DNS-verifiziertes Eigentum. Standardscans sind Lesezugriffe — Produktion ist nie gefährdet.
SaaS oder dediziert — beides abgedeckt
Ein dediziertes Deployment beim Kunden erhält isolierte Scans, isolierte Funde und ein eigenes Zertifikat — geben Sie es direkt an seine Auditoren als Onboarding-Nachweis.
Alles, was Ihre API-Sicherheit braucht
Ein Produkt, volle Abdeckung — nichts wird separat verkauft.
Kontinuierliche API-Penetrationstests
Ihre API wird rund um die Uhr gegen die OWASP API Security Top 10 getestet — BOLA/IDOR, fehlerhafte Autorisierung, Mass Assignment, Injection, Rate Limits und mehr.
Lebendiges Vertrauenszertifikat
Ein transparentes, immer aktuelles Zertifikat, das Kunden öffnen können. Sie sehen genau, was wann getestet und was behoben wurde.
Erkennt Drift zwischen Deployments
Die meisten Probleme entstehen nach dem Deployment: Konfigurationsänderungen, versteckte Endpunkte, deaktivierte Limits. Wir beobachten Ihre API kontinuierlich.
CI/CD-Webhooks
Starten Sie bei jedem Deployment einen privaten Test. Entwickler erhalten Ergebnisse, ohne den öffentlichen Zertifikatsstatus zu beeinflussen.
CI-Urteil gegen Baseline
Blockieren Sie Deployments nur bei NEUEN Funden — der Verdict-Endpunkt vergleicht jeden Scan mit der Baseline, sodass bekannte und akzeptierte Probleme Deployments nicht blockieren.
KI-gestützte Triage
Weniger False Positives. Die KI klassifiziert und priorisiert Funde auf Basis eines vollständig deterministischen Kerns, den Sie reproduzieren können.
Keine Speicherung von Secrets
Zugangsdaten werden verschlüsselt (AES-256) und landen niemals in Logs. Nur Sie und der Scanner sehen sie.
Live in unter 10 Minuten
Ihr Team ist am selben Tag live, ohne Onboarding-Projekt.
API verbinden
Laden Sie eine OpenAPI-, RAML-, GraphQL- oder SOAP/WSDL-Spezifikation hoch — oder geben Sie eine URL an. Fügen Sie Zugangsdaten hinzu: API-Key, Bearer, Basic oder OAuth2.
Wir testen kontinuierlich
Die deterministische Engine führt OWASP-API-Top-10-Penetrationstests nach Ihrem Zeitplan oder auf Abruf aus — mit schonender Geschwindigkeit, damit Ihre API nie überlastet wird.
Zertifikat zeigen
Binden Sie die lebendige Trust Page auf Ihrer Website ein. Kunden sehen echte, aktuelle Nachweise — kein leeres Badge.
Sehen Sie genau, wie es funktioniert
Was läuft, während Ihr Team schläft: verbinden, testen, alarmieren.
1 · In unter einer Minute verbunden
2 · 430+ Prüfungen laufen von selbst
Choose how you want to be informed — always.
3 · Kritische Alerts in Sekunden
19 Testtypen, kein Handwedeln
Dieselbe Suite, nach der Ihre Auditoren fragen — automatisiert.
BOLA / IDOR
Versucht, durch Austausch von IDs in Pfaden und Parametern auf Ressourcen anderer Benutzer zuzugreifen.
Fehlerhafte Autorisierung
Sendet Anfragen ohne Token oder mit ungültigem Token, um ungeschützte Endpunkte zu finden.
Mass Assignment
Fügt überzählige Felder zum Payload hinzu, um zu prüfen, ob der Server mehr akzeptiert als vorgesehen.
Injection (SQL / NoSQL)
Sondiert SQL-, NoSQL- und JSON-Injection und erkennt Fehlersignaturen.
Rate Limiting
Sendet eine Reihe von Anfragen, um fehlende 429-Begrenzung zu erkennen.
CORS-Fehlkonfiguration
Setzt einen feindlichen Origin und prüft, ob Zugangsdaten erlaubt sind.
Security Header
Prüft HSTS, X-Content-Type-Options und weitere Härtungs-Header.
Sensible Parameter
Sucht Secrets, die im Query-String statt in Headern oder Body übergeben werden.
JWT-Schwächen
alg=none, gefälschte Payloads, schwache HMAC-Secrets, fehlendes exp, kid-Injection.
HTTP-Method-Tampering
Nicht deklarierte Methoden (DELETE, PATCH …), die Methoden-Zugriffskontrollen umgehen.
Rechteeskalation via Mass Assignment
Nicht deklarierte Rollenfelder, die der Server unverändert zurückgibt.
Tech-Fingerprint + EOL
Stack-Erkennung mit Markierung von Versionen nach End-of-Life.
Informationslecks
.git, .env, Debug-Endpunkte, Actuator, Metriken, öffentliche Spezifikationen, Stack Traces.
Differenzielle Limits + XFF-Bypass
Unbegrenzter Login neben limitierter API; Limits umgangen per X-Forwarded-For.
Alte API-Versionen
v1-Endpunkte ohne die Autorisierung aus v2, gelöschte Endpunkte, die weiter antworten.
GraphQL
Introspektion in Produktion und fehlende Query-Komplexitätslimits.
OAuth redirect_uri-Kontrolle
Offene Redirects am Autorisierungsendpunkt (Code-/Token-Diebstahl).
CORS + Preflight-CSRF-Kette
null Origin, Allowlist-Bypass per ähnlicher Domain, Preflight auf Schreib-Endpunkten.
SSRF-Canary
Ihr Server wird gebeten, unsere URL abzurufen — der Callback beweist serverseitige Anfragen.
Starten Sie jetzt einen Live-Penetrationstest
Aggressive Tests, wo sie sicher sind. Hacker mode berührt Produktion nie.
Deterministischer Pentest auf Abruf
Hunderte OWASP-API-Top-10-Angriffssimulationen mit schonender Geschwindigkeit in einer sicheren Sandbox. Kein Vendor-Engagement, kein Warten, kein Risiko für Produktionsverkehr.
- ✓ Echter Angriffsverkehr — kein Checklisten-Scan
- ✓ Sichere Sandbox mit harten Zeit- und Request-Limits
- ✓ Nachweise bei jedem Fund, bereit zur Behebung
Hacker mode (AI) — denkt wie ein Angreifer
Der Agent plant einen Angriff, sondiert Schritt für Schritt, schreibt und führt bei Bedarf eigenen Sandbox-Sondierungscode aus und liefert eine KI-Bewertung mit Fixes. Ab Live — nur Dev/Staging, niemals Produktion.
- ✓ Autonome Angriffsplanung im menschlichen Stil
- ✓ Auf Produktion by Design blockiert
- ✓ Ihre URL erreicht die KI nie — der Server führt Anfragen aus
Testen Sie Ihre gesamte Umgebung — Dev, Staging und Produktion
Ein Release-Pfad, vollständig überwacht, Drift-Alerts inklusive.
Den Pfad jedes Releases scannen
- ✓ Development — Probleme vor dem Merge finden
- ✓ Staging — Release Candidate verifizieren
- ✓ Produktion — die Live-API kontinuierlich überwachen
- ✓ Promotion blockieren, wenn eine Stufe fehlschlägt
- ✓ Manuelles Retesting vergessen — Automatisierung deckt dieselben Pfade jedes Mal ab
So sieht „getestet“ aus
Datierte Nachweise, die Ihre Auditoren akzeptieren.
- Letzter Scan
- Jul 7, 2026 · 09:41
- Offene Schwachstellen
- 0
- Behoben
- 12
- Testumfang
- BOLA, injection, rate limit…
Automatisierte Sicherheitstests, kein vollständiges Audit. Das Zertifikat ist keine Sicherheitsgarantie.
Machen Sie Sicherheit zum Verkaufsargument
Procurement beantwortet sich selbst mit einem Link.
- ✓ Öffentlicher Endpunkt mit Scan-Verlauf
- ✓ Präzise Formulierung: „hat automatisierte Tests im getesteten Umfang bestanden“
- ✓ Fixes und Regressionen über die Zeit verfolgt
- ✓ Öffentliche Trust Page ab dem Live-Plan
- Letzter Scan
- Jul 7
- Tests ausgeführt
- 430+
- Offen
- 0
Sicher gegen Ihre API ausführbar
AES-256-verschlüsselte Zugangsdaten
API-Keys werden im Ruhezustand mit AES-256-GCM verschlüsselt und niemals in Logs geschrieben oder im Klartext angezeigt.
Eigentumsnachweis per DNS
Wir scannen eine API erst nach Bestätigung des Eigentums per DNS-TXT-Eintrag — revisionssicher dokumentiert.
Scanner in isolierter Sandbox
Scans laufen in einer Sandbox mit harten Zeit- und Request-Limits und überlasten Ihre API daher nie.
SOC-2-konforme Prozesse
Richtlinien, Audits und Nachweisberichte für Enterprise-Procurement vorbereitet.
DSGVO-konforme Datenverarbeitung
Minimale Datenmengen, EU-Hosting-Option und Löschung auf Anfrage.
Zugriff nach Least Privilege
Unser Team kann Ihre Secrets niemals lesen; der Scanner hält sie nur während der Ausführung im Speicher.
Zahlen, die sich selbst verkaufen
Umgebungen, eine Ansicht
Dev → Staging → Produktion mit Historie pro Umgebung.
gemappte Frameworks
PCI DSS, SOC 2, ISO 27001, GDPR und NIS2 — pro Anforderung gruppiert.
gespart pro Audit-Zyklus
Kommen Sie mit einem Jahr kontinuierlicher Nachweise statt Panik.
Kostenlos starten, upgraden wenn es sich lohnt
Ein manueller Pentest kostet 15.000 USD+. SaaS läuft das ganze Jahr für weniger als ein Zehntel davon. Alle Funktionen vergleichen →
Live
Online-Tests für APIs und SaaS — kontinuierliches Monitoring, ohne CLI und CI/CD.
Wählen LiveSaaS
Voller CI/CD-Pfad + Online-Monitoring + öffentliches Zertifikat — für wachsende Teams.
Wählen SaaSFragen, ehrlich beantwortet
Was bekommen Auditoren tatsächlich von uns?+
Funde-Exporte pro Anforderung (PCI DSS, SOC 2, ISO 27001, GDPR, NIS2), ein Jahr Scan-Historie mit Datum für jede Umgebung sowie den SOC-2-Nachweisbericht in Enterprise. Keine Screenshots und kein Beten eine Woche vor dem Audit.
Wer sieht unsere Funde?+
Nur Mitglieder Ihrer Organisation. Öffentliche Trust Pages und Badges zeigen Status und Zahlen — niemals Funddetails, Payloads oder URLs. Zugangsdaten werden mit AES-256 verschlüsselt und landen nie in Logs.
Was, wenn ein Scan Staging beeinträchtigt?+
Standardscans können keine Daten verändern und respektieren standardmäßig Budgets. Wenn Staging empfindlich ist, führen Sie Scans nachts aus oder geben Sie eine dedizierte Testumgebung an. Hacker mode berührt Produktion nie — er verweigert dort die Ausführung.
Ist es sicher, meine API testen zu lassen?+
Ja. Der Scanner läuft in einer Sandbox mit strenger Geschwindigkeit, Timeouts und Request-Limits. Sie wählen den Zeitplan und können die Tests jederzeit pausieren.
Ist das ein echter Penetrationstest?+
Ja — ein automatisierter API-Penetrationstest. Wir führen Angriffssimulationen aus der OWASP API Top 10 (BOLA/IDOR, fehlerhafte Autorisierung, Injection, Mass Assignment, Rate Limiting, CORS, Security Header, Shadow API) sowie Deep-Scan-Tests (JWT-Schwächen, HTTP-Method-Tampering, Rechteeskalation via Mass Assignment, Tech-Fingerprint mit EOL-Versionen) auf Abruf oder nach Zeitplan aus — wie ein automatischer Pentester. Er ergänzt einen manuellen Pentest durch Menschen, ersetzt ihn aber nicht.
Kann ich einen Live-Penetrationstest direkt von der Website starten?+
Ja. Fügen Sie eine API hinzu oder fügen Sie eine OpenAPI-Spezifikation ein und klicken Sie auf „Live-Pentest starten“ — die Sandbox beginnt sofort, und Sie verfolgen den Ablauf im Terminal. Derselbe Test ist über die CLI (liveapisec scan) für CI/CD verfügbar.
Was ist der „Hacker mode (AI)“?+
Ein autonomer KI-Agent, der einen echten, menschenähnlichen Penetrationstest gegen Ihre API durchführt (nur Dev/Staging, niemals Produktion): Er plant den Angriff, sondiert Endpunkte Schritt für Schritt — IDOR, fehlerhafte Autorisierung, Injection, Secrets und Mass Assignment — beobachtet Antworten, korrigiert sich und schreibt eine abschließende Bewertung mit Fixes. Er kann sogar eigenen Sondierungscode in einer Sandbox schreiben und ausführen. Er läuft manuell auf Abruf, benötigt für öffentliche Ziele eine verifizierte Domain (localhost / private IPs sind ausgenommen), und Ihre URL sowie Zugangsdaten gelangen niemals zur KI. Wir raten dringend davon ab, ihn gegen Produktion laufen zu lassen — er kann ein System beschädigen oder zerstören.
Speichern Sie meine Zugangsdaten?+
Zugangsdaten werden im Ruhezustand mit AES-256-GCM verschlüsselt und ausschließlich während des Scans im Speicher entschlüsselt. Sie landen niemals in Logs und werden nie im Klartext angezeigt.
Was bedeutet „bestanden“ auf dem Zertifikat?+
Dass die API die automatisierten OWASP-API-Top-10-Tests im getesteten Umfang an einem konkreten Tag bestanden hat. Wir behaupten nie absolute Sicherheit — der Zertifikatstext ist bewusst präzise.
Wie verifizieren Sie, dass mir die API gehört?+
Sie bestätigen das Eigentum per DNS-TXT-Eintrag (oder manueller Bestätigung in niedrigeren Plänen). Jede Autorisierung wird mit Datum und Umfang protokolliert.
Wie werden Endpunkte gezählt?+
Ein Endpunkt ist eine eindeutige HTTP-Methode + Pfad in einem Projekt (z. B. GET /users). Endpunkte summieren sich über alle Projekte; Umgebungen teilen dieselbe Spezifikation und vervielfachen den Zähler daher nicht. Das Panel zeigt die aktuelle Nutzung (X / Y Endpunkte), sodass Sie immer wissen, wo Sie stehen.
Enthalten alle Pläne CI/CD und das vollständige OWASP-Paket?+
Jeder Plan enthält das OWASP-API-Top-10-Basispaket und das vollständige Deep-Scan-Paket. Der Dev-Plan ist nur CLI für Entwickler (ohne Online-Zertifikat und geplante Scans). Live fügt kontinuierliches Online-Monitoring und eine öffentliche Trust Page hinzu, aber ohne CLI/CI-CD. SaaS bietet beides — CLI/CI-CD und Zertifikat — plus Compliance-Mapping. Hacker mode (AI) beginnt bei SaaS; Ask mode (Code-Fragebogen) ebenfalls. Enterprise-Add-ons (SOC-2-Bericht, SSO, Priority Queue, SLA) sind in Enterprise enthalten.
Wie unterscheidet sich das von einem manuellen Pentest?+
Ein manueller Pentest ist eine Momentaufnahme: 15.000 USD+, 2–4 Wochen Wartezeit, beim nächsten Deployment veraltet. Wir führen dieselben OWASP-Angriffsklassen kontinuierlich aus — bei jedem Deployment, jede Nacht — für weniger als ein Zehntel des Preises. Nutzen Sie uns, um das ganze Jahr sauber zu bleiben, und holen Sie Menschen einmal im Jahr für exotische Dinge.
Wird das meine Produktion beschädigen?+
Nein. Standardscans sind Lesezugriffe mit schonender Geschwindigkeit, harten Zeit- und Request-Limits und isolierter Sandbox — sie können keine Daten verändern. Nur der Hacker mode (AI) ist destruktiv und deshalb auf Produktion vollständig blockiert; er läuft ausschließlich auf Dev/Staging.
Was passiert, wenn Sie um 3 Uhr nachts etwas Kritisches finden?+
Sie erhalten innerhalb von Sekunden einen Alert — E-Mail, Slack oder Webhook Ihrer Wahl — mit Fund, Nachweis und Fix. Kritische und hohe Funde können zudem das Deployment über den CI-Verdict-Endpunkt blockieren, sodass eine Schwachstelle nie in Produktion gelangt.
Kann ich den Plan jederzeit wechseln?+
Ja. Upgrades wirken sofort, Downgrades zum nächsten Abrechnungszyklus, und Sie behalten alle bisherigen Scans und Zertifikate. Kostenpflichtige Pläne haben eine 14-tägige Geld-zurück-Garantie.
Ihr erster Pentest ist kostenlos
Keine Kreditkarte. Kein Sales-Call. Ergebnisse in ~2 Minuten — dann entscheiden Sie mit Nachweisen, nicht mit Versprechen.
Meine APIs abdecken →