TLS, HTTP-Header und Cookies

Was Ihr Server auf eine gewöhnliche Anfrage antwortet, sagt mehr über Ihre Haltung aus als jede geschriebene Richtlinie.

Buteo baut eine Verbindung auf, beobachtet, welche Protokollversionen und Verschlüsselungsverfahren der Server annimmt, wie lange das Zertifikat noch gilt und ob die Kette vollständig ist, und vergibt eine Bewertung. Danach wird die Antwort gelesen: welche Sicherheitsheader vorhanden sind, welche fehlen und was jedes Fehlen praktisch erlaubt. Die vom Auftritt gesetzten Cookies werden mit ihren Attributen inventarisiert, was die DSGVO-Frage ist und nicht bloß eine technische. Und es werden versehentlich veröffentlichte Source Maps erkannt, die den ursprünglichen Quelltext einer Anwendung an jeden ausliefern, der weiß, wo er suchen muss.

Was Buteo prüft

• ✓Protokollversionen und angenommene Verschlüsselungsverfahren, mit Bewertung
• ✓Gültigkeit der Zertifikatskette und verbleibende Laufzeit
• ✓Vorhandene und fehlende Sicherheitsheader, mit der Wirkung jedes Fehlens
• ✓Cookie-Inventar und zugehörige Attribute
• ✓In der Produktion offengelegte Source Maps
• ✓Aus der bereits abgerufenen Antwort erkannte Technologien