Nicht Sie? Wählen Sie Ihre Rolle:
Freitag ausliefern. Das ganze Wochenende schlafen.
Sicherheit, die in Ihrer Pipeline lebt, nicht in einem PDF, das einmal im Jahr per E-Mail kommt. Baseline-Scan bei jedem Push — der Build schlägt nur bei NEUEN Funden fehl, nie wegen akzeptierter technischer Schulden.
430+ Prüfungen · erster Bericht in ~2 Minuten · keine Kreditkarte nötig
- Letzter Scan
- Jul 7
- Tests ausgeführt
- 430+
- Offen
- 0
Vertraut von sicherheitsbewussten Teams
ridolangmasdrivKontaktAppapudqi
'/%3e%3crect%20width='128'%20height='128'%20rx='30'%20fill='url(%23mdIcong)'/%3e%3c!--%20speed%20streaks%20--%3e%3cg%20fill='%23ffffff'%3e%3crect%20x='9'%20y='46'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3crect%20x='4'%20y='60'%20width='20'%20height='9'%20rx='4.5'%20opacity='0.6'/%3e%3crect%20x='9'%20y='75'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3c/g%3e%3c!--%20M%20monogram%20(optically%20centred:%20bounds%2032.5%20..%2095.5)%20--%3e%3cpath%20d='M40%2091%20V37%20L64%2064%20L88%2037%20V91'%20fill='none'%20stroke='%23ffffff'%20stroke-width='15'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/svg%3e)
Spricht die Sprache Ihrer API
Aggregierte Zahlen aus allen LiveAPISec-Scans bis heute.
Schnell ausliefern und sicher bleiben
Sie spüren dieses Dilemma jeden Freitag: ausliefern oder prüfen?
Der Markt verlangt Tempo
Wöchentlich Features, täglich Deployments. Für jedes Release auf ein manuelles Sicherheitsreview zu warten, ist keine Option — Wettbewerber warten nicht.
…aber Kunden verlangen Sicherheit
Kunden vertrauen Ihnen ihre Daten an. Jeder BOLA oder IDOR sind ihre Daten in fremden Händen. Ein Leck und das Vertrauen (und der Vertrag) ist weg.
Kommt Ihnen das bekannt vor?
Wenn eines davon schmerzt, existiert dieses Produkt für Sie.
Die echte Angst: etwas Unsicheres ausliefern — und es von jemand anderem hören
Kein fehlgeschlagener Build. Kein Ticket. Die Nachricht um 3 Uhr, dass Kundendaten erreichbar waren, der still werdende Incident-Kanal, das Post-Mortem, bei dem sich zeigt, dass niemand diesen Endpunkt seit März geprüft hat. Ihr Name steht auf diesem Commit — und das Beheben des Bugs repariert nie ganz die Geschichte, die Menschen erinnern.
Mit dieser Lösung schützen Sie Ihren Ruf, nicht nur Ihr Release: Sie hören auf zu hoffen und beginnen festzustellen — diese API ist bei jedem Push getestet, hier sind die Nachweise.
Laute Scanner, die Wolf schreien
Jeder Push leuchtet rot mit 50 „Funden“, die Sie längst bewertet haben. Sie lernen, den Sicherheitsschritt zu ignorieren — bis ein echter BOLA in Produktion landet.
Funde ohne Reproduktionsschritte
„Potenzieller Injection auf /search“ und sonst nichts. Zwei Stunden Rätselraten, ob es echt ist, dann noch eine Stunde, um zu beweisen, dass es nicht so ist.
Sicherheitsreview als Release-Engpass
Das Freitags-Deployment wartet auf eine menschliche Review-Queue. Die Wahl: blind ausliefern oder das Fenster verpassen — beides fühlt sich falsch an.
Schnell oder sicher — wählen Sie eins (nicht mehr)
Produkt will Freitags-Deployments; Sicherheit will eine Review-Woche. Dieselben Pfade manuell erneut zu prüfen, lässt beide verlieren. Automatisierte Regression bei jedem Push beendet den Kompromiss.
Lassen Sie Ihren KI-Agenten es einbauen
Die CLI ist die gesamte Oberfläche — kein Dashboard-Klicken nötig. Jeder Coding-Agent (Claude Code, Cursor, Copilot, Codex) kann Scans zu Ihrer bestehenden Software hinzufügen: Er entdeckt die Endpunkte, pusht sie und schreibt das CI-Gate für Sie. Fügen Sie dies in Ihren Agenten ein und prüfen Sie den Diff:
Füge LiveAPISec API-Sicherheitsscans zu diesem Repository hinzu.
1. CLI installieren: pipx install liveapisec
2. Mein Framework und vorhandene Endpunkte erkennen.
3. Ausführen: liveapisec scan-code --dir . --json
4. Einen GitHub Action hinzufügen, der ausführt:
liveapisec scan --project <project_id> \
--wait --fail-on high
API-Key aus secrets.LIVEAPISEC_KEY.
5. Zeige mir den Workflow-Diff vor dem Commit.# 1 · install once
$ pipx install liveapisec
# 2 · discover and register your endpoints
$ liveapisec scan-code --dir .
# 3 · scan and gate the build
$ liveapisec scan --project 6f2c --wait --fail-on high
✓ 430+ checks · 0 new findings · certificate updatedDerselbe Weg manuell: pipx install liveapisec → liveapisec scan-code --dir . → liveapisec scan --project <id> --wait --fail-on high. Python-CLI, Python-SDK und eine einfache REST API — was Ihr Agent am besten kennt.
Heute in Ihre Pipeline einbauen
Eine GitHub Action, einmal eingerichtet. Jeder Push wiederholt automatisch dieselben 430+ Prüfungen — kein manuelles Nachprüfen von Endpunkten vor einem Release mehr. Nur echte Regressionen brechen den Build.
# 430+ checks on every push to main
jobs:
pentest:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- uses: liveapisec/scan@v1
with:
api-key: ${{ secrets.LIVEAPISEC_KEY }}
spec: openapi.yaml
env: staging
verdict: true
fail-on: new:highfail-on: new:high — Der Build bricht nur bei wirklich neuen High-Funden. Akzeptierte Schulden bleiben grün.
{
"verdict": "fail",
"new": [
{ "id": "F-1204", "severity": "high",
"title": "BOLA: /payments/{id} leaks
another user’s resource" }
],
"fixed": ["F-1184", "F-1183"],
"blocking": ["F-1204"]
}Behobene Funde sind ebenfalls gelistet — Ihre PR-Beschreibung schreibt sich selbst.
Die echte Bericht-UI — dieselbe wie auf der Startseite, mit Payload-Nachweisen pro Fund.
Für Ihre Probleme gebaut
CI-Urteil, nicht CI-Lärm
Der Verdict-Endpunkt vergleicht jeden Scan mit der Baseline und stoppt den Build nur bei neuen Problemen. Bekannte Funde blockieren Ihr Deployment nie.
Nachweise bei jedem Fund
Payloads, Requests, Responses — alles, um in Minuten zu reproduzieren und zu beheben, direkt im Dashboard. Kein „bei mir läuft es“.
CLI-first, Wert in 2 Minuten
liveapisec push + scan aus Ihrem Terminal oder GitHub Actions. Keine Sales-Calls, keine Scoping-Dokumente, kein Warten von 3 Wochen auf ein PDF.
SaaS oder dediziert — beides abgedeckt
Sie liefern Single-Tenant- oder On-Prem-Versionen? Dieselbe Pipeline — andere Basis-URL und anderer Key pro Kunden-Deployment, mit isolierten Scans und eigenem Zertifikat.
Alles, was Ihre API-Sicherheit braucht
Alles unten ist ein Produkt — keine Module, kein Upsell-Labyrinth.
Kontinuierliche API-Penetrationstests
Ihre API wird rund um die Uhr gegen die OWASP API Security Top 10 getestet — BOLA/IDOR, fehlerhafte Autorisierung, Mass Assignment, Injection, Rate Limits und mehr.
Lebendiges Vertrauenszertifikat
Ein transparentes, immer aktuelles Zertifikat, das Kunden öffnen können. Sie sehen genau, was wann getestet und was behoben wurde.
Erkennt Drift zwischen Deployments
Die meisten Probleme entstehen nach dem Deployment: Konfigurationsänderungen, versteckte Endpunkte, deaktivierte Limits. Wir beobachten Ihre API kontinuierlich.
CI/CD-Webhooks
Starten Sie bei jedem Deployment einen privaten Test. Entwickler erhalten Ergebnisse, ohne den öffentlichen Zertifikatsstatus zu beeinflussen.
CI-Urteil gegen Baseline
Blockieren Sie Deployments nur bei NEUEN Funden — der Verdict-Endpunkt vergleicht jeden Scan mit der Baseline, sodass bekannte und akzeptierte Probleme Deployments nicht blockieren.
KI-gestützte Triage
Weniger False Positives. Die KI klassifiziert und priorisiert Funde auf Basis eines vollständig deterministischen Kerns, den Sie reproduzieren können.
Keine Speicherung von Secrets
Zugangsdaten werden verschlüsselt (AES-256) und landen niemals in Logs. Nur Sie und der Scanner sehen sie.
Live in unter 10 Minuten
Von null zum ersten Bericht schneller als Ihre Kaffeepause.
API verbinden
Laden Sie eine OpenAPI-, RAML-, GraphQL- oder SOAP/WSDL-Spezifikation hoch — oder geben Sie eine URL an. Fügen Sie Zugangsdaten hinzu: API-Key, Bearer, Basic oder OAuth2.
Wir testen kontinuierlich
Die deterministische Engine führt OWASP-API-Top-10-Penetrationstests nach Ihrem Zeitplan oder auf Abruf aus — mit schonender Geschwindigkeit, damit Ihre API nie überlastet wird.
Zertifikat zeigen
Binden Sie die lebendige Trust Page auf Ihrer Website ein. Kunden sehen echte, aktuelle Nachweise — kein leeres Badge.
Sehen Sie genau, wie es funktioniert
Das läuft hinter Ihrem Pipeline-Schritt.
1 · In unter einer Minute verbunden
2 · 430+ Prüfungen laufen von selbst
Choose how you want to be informed — always.
3 · Kritische Alerts in Sekunden
19 Testtypen, kein Handwedeln
Genau die Suite von unserer Startseite — jeder Scan, jeder Push.
BOLA / IDOR
Versucht, durch Austausch von IDs in Pfaden und Parametern auf Ressourcen anderer Benutzer zuzugreifen.
Fehlerhafte Autorisierung
Sendet Anfragen ohne Token oder mit ungültigem Token, um ungeschützte Endpunkte zu finden.
Mass Assignment
Fügt überzählige Felder zum Payload hinzu, um zu prüfen, ob der Server mehr akzeptiert als vorgesehen.
Injection (SQL / NoSQL)
Sondiert SQL-, NoSQL- und JSON-Injection und erkennt Fehlersignaturen.
Rate Limiting
Sendet eine Reihe von Anfragen, um fehlende 429-Begrenzung zu erkennen.
CORS-Fehlkonfiguration
Setzt einen feindlichen Origin und prüft, ob Zugangsdaten erlaubt sind.
Security Header
Prüft HSTS, X-Content-Type-Options und weitere Härtungs-Header.
Sensible Parameter
Sucht Secrets, die im Query-String statt in Headern oder Body übergeben werden.
JWT-Schwächen
alg=none, gefälschte Payloads, schwache HMAC-Secrets, fehlendes exp, kid-Injection.
HTTP-Method-Tampering
Nicht deklarierte Methoden (DELETE, PATCH …), die Methoden-Zugriffskontrollen umgehen.
Rechteeskalation via Mass Assignment
Nicht deklarierte Rollenfelder, die der Server unverändert zurückgibt.
Tech-Fingerprint + EOL
Stack-Erkennung mit Markierung von Versionen nach End-of-Life.
Informationslecks
.git, .env, Debug-Endpunkte, Actuator, Metriken, öffentliche Spezifikationen, Stack Traces.
Differenzielle Limits + XFF-Bypass
Unbegrenzter Login neben limitierter API; Limits umgangen per X-Forwarded-For.
Alte API-Versionen
v1-Endpunkte ohne die Autorisierung aus v2, gelöschte Endpunkte, die weiter antworten.
GraphQL
Introspektion in Produktion und fehlende Query-Komplexitätslimits.
OAuth redirect_uri-Kontrolle
Offene Redirects am Autorisierungsendpunkt (Code-/Token-Diebstahl).
CORS + Preflight-CSRF-Kette
null Origin, Allowlist-Bypass per ähnlicher Domain, Preflight auf Schreib-Endpunkten.
SSRF-Canary
Ihr Server wird gebeten, unsere URL abzurufen — der Callback beweist serverseitige Anfragen.
Starten Sie jetzt einen Live-Penetrationstest
Ein echter Pentest bei jedem Staging-Deployment. Sehen Sie zu, wie er sondiert, und lesen Sie die Nachweise.
Deterministischer Pentest auf Abruf
Hunderte OWASP-API-Top-10-Angriffssimulationen mit schonender Geschwindigkeit in einer sicheren Sandbox. Kein Vendor-Engagement, kein Warten, kein Risiko für Produktionsverkehr.
- ✓ Echter Angriffsverkehr — kein Checklisten-Scan
- ✓ Sichere Sandbox mit harten Zeit- und Request-Limits
- ✓ Nachweise bei jedem Fund, bereit zur Behebung
Hacker mode (AI) — denkt wie ein Angreifer
Der Agent plant einen Angriff, sondiert Schritt für Schritt, schreibt und führt bei Bedarf eigenen Sandbox-Sondierungscode aus und liefert eine KI-Bewertung mit Fixes. Ab Live — nur Dev/Staging, niemals Produktion.
- ✓ Autonome Angriffsplanung im menschlichen Stil
- ✓ Auf Produktion by Design blockiert
- ✓ Ihre URL erreicht die KI nie — der Server führt Anfragen aus
Testen Sie Ihre gesamte Umgebung — Dev, Staging und Produktion
Dieselbe API, drei Basis-URLs. Die Pipeline scannt jede.
Den Pfad jedes Releases scannen
- ✓ Development — Probleme vor dem Merge finden
- ✓ Staging — Release Candidate verifizieren
- ✓ Produktion — die Live-API kontinuierlich überwachen
- ✓ Promotion blockieren, wenn eine Stufe fehlschlägt
- ✓ Manuelles Retesting vergessen — Automatisierung deckt dieselben Pfade jedes Mal ab
So sieht „getestet“ aus
Das zeigt Ihr Dashboard nach jedem Scan.
- Letzter Scan
- Jul 7, 2026 · 09:41
- Offene Schwachstellen
- 0
- Behoben
- 12
- Testumfang
- BOLA, injection, rate limit…
Automatisierte Sicherheitstests, kein vollständiges Audit. Das Zertifikat ist keine Sicherheitsgarantie.
Machen Sie Sicherheit zum Verkaufsargument
Richten Sie Ihr Team — nicht nur Kunden — auf dieselben Nachweise.
- ✓ Öffentlicher Endpunkt mit Scan-Verlauf
- ✓ Präzise Formulierung: „hat automatisierte Tests im getesteten Umfang bestanden“
- ✓ Fixes und Regressionen über die Zeit verfolgt
- ✓ Öffentliche Trust Page ab dem Live-Plan
- Letzter Scan
- Jul 7
- Tests ausgeführt
- 430+
- Offen
- 0
Sicher gegen Ihre API ausführbar
AES-256-verschlüsselte Zugangsdaten
API-Keys werden im Ruhezustand mit AES-256-GCM verschlüsselt und niemals in Logs geschrieben oder im Klartext angezeigt.
Eigentumsnachweis per DNS
Wir scannen eine API erst nach Bestätigung des Eigentums per DNS-TXT-Eintrag — revisionssicher dokumentiert.
Scanner in isolierter Sandbox
Scans laufen in einer Sandbox mit harten Zeit- und Request-Limits und überlasten Ihre API daher nie.
SOC-2-konforme Prozesse
Richtlinien, Audits und Nachweisberichte für Enterprise-Procurement vorbereitet.
DSGVO-konforme Datenverarbeitung
Minimale Datenmengen, EU-Hosting-Option und Löschung auf Anfrage.
Zugriff nach Least Privilege
Unser Team kann Ihre Secrets niemals lesen; der Scanner hält sie nur während der Ausführung im Speicher.
Zahlen, die sich selbst verkaufen
bis zum ersten Bericht
Schneller als Ihre Kaffeepause. Probieren Sie es vor dem Ende des Standups.
False-Positive-Blockaden
Nur NEUE Funde stoppen den Build. Ihre Freitage bleiben grün.
Tests pro Scan
Dieselben OWASP-Angriffsklassen, die Auditoren prüfen — automatisiert.
Kostenlos starten, upgraden wenn es sich lohnt
Ein manueller Pentest kostet 15.000 USD+. SaaS läuft das ganze Jahr für weniger als ein Zehntel davon. Alle Funktionen vergleichen →
Live
Online-Tests für APIs und SaaS — kontinuierliches Monitoring, ohne CLI und CI/CD.
Wählen LiveSaaS
Voller CI/CD-Pfad + Online-Monitoring + öffentliches Zertifikat — für wachsende Teams.
Wählen SaaSFragen, ehrlich beantwortet
Überflutet das meine API mit Tausenden Anfragen?+
Nein. Schonende Geschwindigkeit mit harten Zeit- und Request-Limits; Standardscans sind Lesezugriffe. Sie können zudem ein Request-Limit pro Minute für jede Umgebung festlegen. Hacker mode (AI) ist die einzige aggressive Engine — und auf Produktion vollständig blockiert.
Was genau liefert der CI-Verdict-Endpunkt?+
JSON: { verdict: "pass" | "fail", new: [...], fixed: [...], persisting: [...], blocking: [...] } — verglichen mit Ihrem Baseline-Scan. Setzen Sie fail_on=new:high, und nur echte Regressionen stoppen den Build.
Kann ich PR-Previews und localhost scannen?+
Ja, für PR-Preview-URLs. Localhost funktioniert über den Tunnel unserer CLI — der Scan läuft von Ihrem Rechner aus, daher muss nichts öffentlich erreichbar sein.
Ist es sicher, meine API testen zu lassen?+
Ja. Der Scanner läuft in einer Sandbox mit strenger Geschwindigkeit, Timeouts und Request-Limits. Sie wählen den Zeitplan und können die Tests jederzeit pausieren.
Ist das ein echter Penetrationstest?+
Ja — ein automatisierter API-Penetrationstest. Wir führen Angriffssimulationen aus der OWASP API Top 10 (BOLA/IDOR, fehlerhafte Autorisierung, Injection, Mass Assignment, Rate Limiting, CORS, Security Header, Shadow API) sowie Deep-Scan-Tests (JWT-Schwächen, HTTP-Method-Tampering, Rechteeskalation via Mass Assignment, Tech-Fingerprint mit EOL-Versionen) auf Abruf oder nach Zeitplan aus — wie ein automatischer Pentester. Er ergänzt einen manuellen Pentest durch Menschen, ersetzt ihn aber nicht.
Kann ich einen Live-Penetrationstest direkt von der Website starten?+
Ja. Fügen Sie eine API hinzu oder fügen Sie eine OpenAPI-Spezifikation ein und klicken Sie auf „Live-Pentest starten“ — die Sandbox beginnt sofort, und Sie verfolgen den Ablauf im Terminal. Derselbe Test ist über die CLI (liveapisec scan) für CI/CD verfügbar.
Was ist der „Hacker mode (AI)“?+
Ein autonomer KI-Agent, der einen echten, menschenähnlichen Penetrationstest gegen Ihre API durchführt (nur Dev/Staging, niemals Produktion): Er plant den Angriff, sondiert Endpunkte Schritt für Schritt — IDOR, fehlerhafte Autorisierung, Injection, Secrets und Mass Assignment — beobachtet Antworten, korrigiert sich und schreibt eine abschließende Bewertung mit Fixes. Er kann sogar eigenen Sondierungscode in einer Sandbox schreiben und ausführen. Er läuft manuell auf Abruf, benötigt für öffentliche Ziele eine verifizierte Domain (localhost / private IPs sind ausgenommen), und Ihre URL sowie Zugangsdaten gelangen niemals zur KI. Wir raten dringend davon ab, ihn gegen Produktion laufen zu lassen — er kann ein System beschädigen oder zerstören.
Speichern Sie meine Zugangsdaten?+
Zugangsdaten werden im Ruhezustand mit AES-256-GCM verschlüsselt und ausschließlich während des Scans im Speicher entschlüsselt. Sie landen niemals in Logs und werden nie im Klartext angezeigt.
Was bedeutet „bestanden“ auf dem Zertifikat?+
Dass die API die automatisierten OWASP-API-Top-10-Tests im getesteten Umfang an einem konkreten Tag bestanden hat. Wir behaupten nie absolute Sicherheit — der Zertifikatstext ist bewusst präzise.
Wie verifizieren Sie, dass mir die API gehört?+
Sie bestätigen das Eigentum per DNS-TXT-Eintrag (oder manueller Bestätigung in niedrigeren Plänen). Jede Autorisierung wird mit Datum und Umfang protokolliert.
Wie werden Endpunkte gezählt?+
Ein Endpunkt ist eine eindeutige HTTP-Methode + Pfad in einem Projekt (z. B. GET /users). Endpunkte summieren sich über alle Projekte; Umgebungen teilen dieselbe Spezifikation und vervielfachen den Zähler daher nicht. Das Panel zeigt die aktuelle Nutzung (X / Y Endpunkte), sodass Sie immer wissen, wo Sie stehen.
Enthalten alle Pläne CI/CD und das vollständige OWASP-Paket?+
Jeder Plan enthält das OWASP-API-Top-10-Basispaket und das vollständige Deep-Scan-Paket. Der Dev-Plan ist nur CLI für Entwickler (ohne Online-Zertifikat und geplante Scans). Live fügt kontinuierliches Online-Monitoring und eine öffentliche Trust Page hinzu, aber ohne CLI/CI-CD. SaaS bietet beides — CLI/CI-CD und Zertifikat — plus Compliance-Mapping. Hacker mode (AI) beginnt bei SaaS; Ask mode (Code-Fragebogen) ebenfalls. Enterprise-Add-ons (SOC-2-Bericht, SSO, Priority Queue, SLA) sind in Enterprise enthalten.
Wie unterscheidet sich das von einem manuellen Pentest?+
Ein manueller Pentest ist eine Momentaufnahme: 15.000 USD+, 2–4 Wochen Wartezeit, beim nächsten Deployment veraltet. Wir führen dieselben OWASP-Angriffsklassen kontinuierlich aus — bei jedem Deployment, jede Nacht — für weniger als ein Zehntel des Preises. Nutzen Sie uns, um das ganze Jahr sauber zu bleiben, und holen Sie Menschen einmal im Jahr für exotische Dinge.
Wird das meine Produktion beschädigen?+
Nein. Standardscans sind Lesezugriffe mit schonender Geschwindigkeit, harten Zeit- und Request-Limits und isolierter Sandbox — sie können keine Daten verändern. Nur der Hacker mode (AI) ist destruktiv und deshalb auf Produktion vollständig blockiert; er läuft ausschließlich auf Dev/Staging.
Was passiert, wenn Sie um 3 Uhr nachts etwas Kritisches finden?+
Sie erhalten innerhalb von Sekunden einen Alert — E-Mail, Slack oder Webhook Ihrer Wahl — mit Fund, Nachweis und Fix. Kritische und hohe Funde können zudem das Deployment über den CI-Verdict-Endpunkt blockieren, sodass eine Schwachstelle nie in Produktion gelangt.
Kann ich den Plan jederzeit wechseln?+
Ja. Upgrades wirken sofort, Downgrades zum nächsten Abrechnungszyklus, und Sie behalten alle bisherigen Scans und Zertifikate. Kostenpflichtige Pläne haben eine 14-tägige Geld-zurück-Garantie.
Ihr erster Pentest ist kostenlos
Keine Kreditkarte. Kein Sales-Call. Ergebnisse in ~2 Minuten — dann entscheiden Sie mit Nachweisen, nicht mit Versprechen.
Meine API kostenlos scannen →