Leckt deine App?
Mit KI gebaut, läuft. Aber stecken API-Schlüssel, Datenbank-Admin-Zugänge oder dein ganzer Quellcode offen im Browser? Adresse eingeben, in 30 Sekunden weißt du es.
Gelesen wird nur, was jeder Browser beim Aufruf bekommt: die Seite und ihre eigenen Skripte. Kein Einloggen, kein Ausprobieren, keine Datenbankzugriffe. Hier siehst du nur, ob und wie viel leckt. Die Fundstellen bekommt ausschließlich, wer für die App verantwortlich ist, nach persönlicher Rücksprache.
Warum gibt es die Details erst nach persönlichem Kontakt?
Ein Werkzeug, das jedem verrät, in welcher Datei welcher Schlüssel offenliegt, wäre eine Einladung zum Missbrauch: Jeder könnte damit fremde Apps nach offenen Zugängen absuchen. Deshalb zeigt der Leck-Check öffentlich nur, ob und wie viel leckt.
Die Fundstellen bekommt nur, wer für die App verantwortlich ist. Das kläre ich persönlich (per Telefon, Mail oder Termin), bevor ich den vollständigen Bericht herausgebe. Das kostet dich eine kurze Nachricht und schützt alle anderen Apps davor, dass jemand anderes ihre Lecks zuerst findet.
Was der Leck-Check prüft und was nicht
- Prüft: bekannte Geheimschlüssel (OpenAI, Anthropic, Stripe, AWS, GitHub, Slack, SendGrid, Resend, private Schlüssel), Supabase-Admin-Schlüssel (service_role), öffentliche Quellcode-Karten, Firebase- und Supabase-Hinweise, Sicherheits-Einstellungen des Servers.
- Nur die eingegebene Seite: Unterseiten mit eigenen Skripten (z. B. Login, Dashboard, einzelne Werkzeuge) bitte einzeln eingeben.
- Prüft nicht: ob deine Datenbank-Zugriffsregeln (Supabase RLS, Firebase Rules) dicht sind, Schlüssel in Seiten hinter dem Login, Schlüssel, die erst beim Klicken nachgeladen werden. Ein grünes Ergebnis heißt also: nichts Offensichtliches. Nicht: garantiert sicher.