Ein Security-Agent, der Ihre Website prüft und vor einem Fix fragt

Was der Security agent prüft

Den Großteil der Prüfung übernehmen die eigenen Prüfungen von Briks, die Ihre Website jedes Mal gleich lesen und keine Credits kosten. Der Agent liest dann nur dort, worauf eine Prüfung zeigt, entscheidet, ob ein Befund echt ist, und erklärt ihn Ihnen.

Im Code Ihrer Website sucht er nach Schlüsseln, die in Dateien stehen, nach Änderungen an Ihren Daten ohne Begrenzung, wie oft sie erfolgen können, nach Datensätzen von Mitgliedern, die gelesen werden, ohne zu prüfen, wer fragt, nach Text, der als rohes HTML angezeigt wird, und nach Aufrufen anderer Websites. Bei Schlüsseln vergleicht er in beide Richtungen die Namen, die Ihr Code liest, mit den Namen in Settings → Secrets, und sieht nie einen Wert.

Auf der Live-Website prüft er, ob jede Adresse über https antwortet, wie viele Tage das Zertifikat noch gültig ist, die Sicherheits-Header und Dateien, die nie herunterladbar sein dürften. Außerdem sieht er sich Dateien im öffentlichen Speicher mit Namen an, die privat wirken, etwa Rechnung oder Reisepass, einen plötzlichen Schwall von Formulareinträgen und bekannte Sicherheitshinweise zu den Paketen, die Ihre Website zusätzlich zu denen hinzufügt, mit denen jede Website beginnt.

Bei einer Website mit Konten oder Zahlungen im Code zählt er, wer Admin oder Staff ist, und prüft die Zahlungseinstellungen: Test- oder Live-Modus, das Webhook-Secret und Bestellungen, denen keine Zahlung zugeordnet wurde.

Jeder Befund in klaren Worten, mit einem nächsten Schritt

Befunde sind nach Schwere gruppiert: dringend, hoch, mittel und niedrig. Jeder nennt, was jemand tun könnte, was das für Ihr Unternehmen bedeutet und was als Nächstes zu tun ist.

Der nächste Schritt ist einer von dreien: etwas, das nur Sie tun können, mit dem Ort dafür, etwa einen Schlüssel in Settings → Secrets hinzufügen, was nichts kostet; eine Korrektur, die der Builder vornehmen kann, hinter Fix it; oder Accept the risk, für etwas, mit dem Sie bewusst leben wollen.

Dringende Funde, etwa ein in eine Seite geschriebener Schlüssel oder eine private Datei, die jeder herunterladen kann, erreichen Sie sofort: in der Glocke und auf Telegram, wenn Sie es verbunden und dringende Sicherheitsfunde eingeschaltet haben. Die übrigen warten auf den wöchentlichen Bericht.

Fix it wartet immer auf Ihre Freigabe

Fix it zeigt, was eine Änderung üblicherweise an Credits kostet, und sendet die Korrektur dann an Waiting, an Ihre E-Mail und Ihre Chats, wie jede Änderung, die ein Agent anfragt. Lesen Sie sie, ändern Sie ihren Wortlaut, geben Sie sie frei oder lehnen Sie sie ab.

Sobald Sie zustimmen, nimmt der Builder die Änderung vor, prüft sie und veröffentlicht sie als neue Version, die Sie rückgängig machen können. Wenn diese Version live ist, laufen die Prüfungen erneut, und der Befund gilt als behoben, sobald er verschwunden ist.

Sicherheitskorrekturen laufen nie von selbst. Andere Agenten können sich das Recht, allein zu handeln, nach fünf fehlerfreien Freigaben einer Art verdienen; dieser nicht, und seine Einstellungen sagen das dort, wo die anderen den Schalter haben.

Das Risiko einmal akzeptieren, und es bleibt akzeptiert

Manche Befunde gehen auf etwas zurück, das Sie selbst gewählt haben. Der Agent schlägt nie vor, rückgängig zu machen, worum Sie gebeten haben: Er nennt das Risiko einmal, und die Entscheidung liegt bei Ihnen.

Mit „Accept the risk“ bleibt Ihre Entscheidung mit Ihrem Namen und dem Datum gespeichert, und der Agent spricht das Thema nicht erneut an, solange es sich nicht verschlimmert.

Was er nie tut

Er ändert Ihre Website nie selbst und fragt nie nach dem Wert eines Schlüssels, liest oder wiederholt ihn: Er arbeitet nur mit Schlüsselnamen.

Er versucht nie, einzubrechen. Auf der Live-Website stellt er nur die einfachen Anfragen, die auch der Browser eines Besuchers stellt, höchstens 25 pro Prüfung, an die eigenen Adressen Ihrer Website. Er zählt die Datensätze Ihrer Kunden, statt sie einzeln zu lesen.

Wann er läuft und was er kostet

Nach jeder Veröffentlichung laufen die Code- und Schlüssel-Prüfungen kostenlos für die Version, die gerade live gegangen ist. Der Agent selbst wird nur aktiv, wenn sie etwas Neues finden oder wenn eine von ihm angeforderte Korrektur live ist und geprüft werden muss.

Jeden Montag um 07:00 in der Zeitzone Ihres Workspace führt er das gesamte Set aus, die Live-Website eingeschlossen, und schreibt einen kurzen Bericht. Er antwortet auch, wenn Sie ihm in seinem Thread schreiben.

Kosten entstehen durch das Lesen und Schreiben, mit dem er einen Befund erklärt und eine Korrektur formuliert. Sie werden aus den Credits Ihres Workspace bezahlt, innerhalb seines eigenen Monatsbudgets: standardmäßig 20 Credits. Er fordert pro Lauf höchstens zwei Korrekturen an, die schwerwiegendste zuerst, und jede Korrektur ist eine normale Änderung mit eigener Credit-Schätzung.