Preise, die sich selbst bezahlen

Es ist der günstigste Plan mit vollem CI/CD-Pfad, öffentlichem Zertifikat, Compliance-Mapping und 1 Projekt — alles, was ein SaaS-Team braucht, um Enterprise-Procurement zu bestehen. Die meisten Teams landen nach dem kostenlosen Dev-Scan bei SaaS.

Der Dev-Plan ist dauerhaft kostenlos und führt die vollständige OWASP-Baseline über die CLI aus, sodass Sie das Produkt ohne Risiko testen können. Wechseln Sie zu Live für Online-Monitoring und Zertifikat oder zu SaaS für den vollen CI/CD-Pfad, Hacker mode, Ask mode und Compliance-Exporte.

Ja. Der Scanner läuft in einer Sandbox mit strenger Geschwindigkeit, Timeouts und Request-Limits. Sie wählen den Zeitplan und können die Tests jederzeit pausieren.

Ja — ein automatisierter API-Penetrationstest. Wir führen Angriffssimulationen aus der OWASP API Top 10 (BOLA/IDOR, fehlerhafte Autorisierung, Injection, Mass Assignment, Rate Limiting, CORS, Security Header, Shadow API) sowie Deep-Scan-Tests (JWT-Schwächen, HTTP-Method-Tampering, Rechteeskalation via Mass Assignment, Tech-Fingerprint mit EOL-Versionen) auf Abruf oder nach Zeitplan aus — wie ein automatischer Pentester. Er ergänzt einen manuellen Pentest durch Menschen, ersetzt ihn aber nicht.

Ja. Fügen Sie eine API hinzu oder fügen Sie eine OpenAPI-Spezifikation ein und klicken Sie auf „Live-Pentest starten“ — die Sandbox beginnt sofort, und Sie verfolgen den Ablauf im Terminal. Derselbe Test ist über die CLI (liveapisec scan) für CI/CD verfügbar.

Ein autonomer KI-Agent, der einen echten, menschenähnlichen Penetrationstest gegen Ihre API durchführt (nur Dev/Staging, niemals Produktion): Er plant den Angriff, sondiert Endpunkte Schritt für Schritt — IDOR, fehlerhafte Autorisierung, Injection, Secrets und Mass Assignment — beobachtet Antworten, korrigiert sich und schreibt eine abschließende Bewertung mit Fixes. Er kann sogar eigenen Sondierungscode in einer Sandbox schreiben und ausführen. Er läuft manuell auf Abruf, benötigt für öffentliche Ziele eine verifizierte Domain (localhost / private IPs sind ausgenommen), und Ihre URL sowie Zugangsdaten gelangen niemals zur KI. Wir raten dringend davon ab, ihn gegen Produktion laufen zu lassen — er kann ein System beschädigen oder zerstören.

Zugangsdaten werden im Ruhezustand mit AES-256-GCM verschlüsselt und ausschließlich während des Scans im Speicher entschlüsselt. Sie landen niemals in Logs und werden nie im Klartext angezeigt.

Dass die API die automatisierten OWASP-API-Top-10-Tests im getesteten Umfang an einem konkreten Tag bestanden hat. Wir behaupten nie absolute Sicherheit — der Zertifikatstext ist bewusst präzise.

Sie bestätigen das Eigentum per DNS-TXT-Eintrag (oder manueller Bestätigung in niedrigeren Plänen). Jede Autorisierung wird mit Datum und Umfang protokolliert.

Ein Endpunkt ist eine eindeutige HTTP-Methode + Pfad in einem Projekt (z. B. GET /users). Endpunkte summieren sich über alle Projekte; Umgebungen teilen dieselbe Spezifikation und vervielfachen den Zähler daher nicht. Das Panel zeigt die aktuelle Nutzung (X / Y Endpunkte), sodass Sie immer wissen, wo Sie stehen.

Jeder Plan enthält das OWASP-API-Top-10-Basispaket und das vollständige Deep-Scan-Paket. Der Dev-Plan ist nur CLI für Entwickler (ohne Online-Zertifikat und geplante Scans). Live fügt kontinuierliches Online-Monitoring und eine öffentliche Trust Page hinzu, aber ohne CLI/CI-CD. SaaS bietet beides — CLI/CI-CD und Zertifikat — plus Compliance-Mapping. Hacker mode (AI) beginnt bei SaaS; Ask mode (Code-Fragebogen) ebenfalls. Enterprise-Add-ons (SOC-2-Bericht, SSO, Priority Queue, SLA) sind in Enterprise enthalten.

Ein manueller Pentest ist eine Momentaufnahme: 15.000 USD+, 2–4 Wochen Wartezeit, beim nächsten Deployment veraltet. Wir führen dieselben OWASP-Angriffsklassen kontinuierlich aus — bei jedem Deployment, jede Nacht — für weniger als ein Zehntel des Preises. Nutzen Sie uns, um das ganze Jahr sauber zu bleiben, und holen Sie Menschen einmal im Jahr für exotische Dinge.

Nein. Standardscans sind Lesezugriffe mit schonender Geschwindigkeit, harten Zeit- und Request-Limits und isolierter Sandbox — sie können keine Daten verändern. Nur der Hacker mode (AI) ist destruktiv und deshalb auf Produktion vollständig blockiert; er läuft ausschließlich auf Dev/Staging.

Sie erhalten innerhalb von Sekunden einen Alert — E-Mail, Slack oder Webhook Ihrer Wahl — mit Fund, Nachweis und Fix. Kritische und hohe Funde können zudem das Deployment über den CI-Verdict-Endpunkt blockieren, sodass eine Schwachstelle nie in Produktion gelangt.

Ja. Upgrades wirken sofort, Downgrades zum nächsten Abrechnungszyklus, und Sie behalten alle bisherigen Scans und Zertifikate. Kostenpflichtige Pläne haben eine 14-tägige Geld-zurück-Garantie.