Scannen, bevor du live gehst.
Finde deine offengelegten API-Keys, bevor es jemand anderes tut
Mit Bolt, Lovable oder Cursor gebaut? Erhalte in Sekunden einen Sicherheitsbericht zu deiner App — mit Fix-Prompts, die du direkt in dein KI-Coding-Tool einfügst.
Für einen Schnell-Check ist keine Anmeldung nötig. Oder sieh dir einen Demo-Bericht an.
Der vollständige Scan (inklusive offengelegter API-Keys und offener Datenbanken) läuft nur auf Websites, deren Inhaberschaft du verifiziert hast.
So funktioniert's
Registrieren
Erstelle in Sekunden dein kostenloses Konto.
Inhaberschaft verifizieren
Weise per DNS, Meta-Tag oder Datei-Upload nach, dass dir die Website gehört.
Scannen
Erhalte einen vollständigen Sicherheitsbericht mit KI-gestützten Lösungsvorschlägen.
Jeder Befund kommt mit einem Fix-Prompt
Du musst nicht wissen, was eine CSP ist. Kopiere den Prompt, füge ihn in dein KI-Tool ein und scanne erneut auf Grün.
Stripe Secret Key in clientseitigem JavaScript gefunden
Ein aktiver Secret Key (sk_live_…) ist für jeden lesbar, der das JS-Bundle deiner Website öffnet. Damit kann ein Angreifer in deinem Namen Karten belasten und Rückerstattungen ausführen.
In meiner App ist ein Stripe Secret Key (sk_live_...) im Client-Bundle unter /static/js/main.js offengelegt. Verschiebe die gesamte Nutzung des Stripe Secret Keys in serverseitigen Code (eine API-Route oder Server-Funktion), ersetze jede clientseitige Nutzung durch den Publishable Key, verlagere das Secret in eine Umgebungsvariable und erinnere mich daran, den kompromittierten Key im Stripe-Dashboard zu rotieren.
Wonach wir scannen
Umfassende Sicherheitsprüfungen, entwickelt für mit KI erstellte Apps.
Offengelegte API-Keys
Durchsucht JS-Bundles nach geleakten Stripe-, OpenAI-, AWS- und Firebase-Keys.
Datenbank & BaaS
Prüft mit reinen Leseanfragen auf von dir verifizierten Websites, ob deine Supabase- oder Firebase-Daten ohne Login gelesen werden können.
Fehlkonfigurationen
Offengelegte .env-Dateien, .git-Verzeichnisse, Source Maps und Debug-Endpoints.
API- & Angriffsfläche
Findet offengelegte API-Docs, GraphQL-Tooling, Verzeichnislistings und ausführliche Fehlermeldungen.
Frontend-Sicherheit
Prüft Mixed Content, Risiken beim Browser-Storage, postMessage, SRI, WebSocket-Probleme und JavaScript-Bibliotheken mit bekannten Schwachstellen.
KI-Fix-Prompts
Erhalte Copy-Paste-Prompts für dein bevorzugtes KI-Coding-Tool.
Über 16 Kategorien hinweg, mit einem Fix-Prompt für jeden Befund.
Scannen, beheben und erneut prüfen aus deinem KI-Coding-Tool
Verbinde AppSafe per MCP mit Claude Code oder Cursor. Dein Agent scannt deine verifizierte Website, wendet jeden Fix-Prompt an und prüft den Befund nach deinem Deployment erneut.
- Scannen
Dein Agent startet einen Scan deiner verifizierten Website und wartet auf den Bericht.
- Beheben
Er liest den Markdown-Bericht und wendet jeden Fix-Prompt an, die schwerwiegendsten zuerst.
- Erneut prüfen
Nach deinem Deployment prüft er jeden Befund erneut, bis er behoben ist.
claude mcp add --transport http appsafe https://appsafe.dev/api/mcp \
--header "Authorization: Bearer YOUR_KEY"Enthalten in Pro, Agency und Team, zusammen mit einer REST API sowie Markdown- und SARIF-Berichtsexporten.
MCP-Server einrichtenErfahre, wenn sich etwas ändert
Geplante Scans und Scans nach Deployments vergleichen deine Website mit dem vorherigen Scan und alarmieren dich, wenn etwas Neues auftaucht.
Neue Probleme und Fixes
Sieh, welche Befunde seit dem letzten Scan neu sind und welche du behoben hast.
Header und Zertifikate
Erfahre, wenn ein Security-Header entfernt oder abgeschwächt wird, und 14 und 3 Tage bevor dein TLS-Zertifikat abläuft.
Skripte und Subdomains
Erkenne neue Drittanbieter-Skriptdomains, Skripte ohne SRI, neue Subdomains in den Certificate-Transparency-Logs und hängende CNAMEs.
Alarme dort, wo du arbeitest
E-Mail, Slack, Discord oder ein signierter Webhook. Einmal pro Problem, gefiltert nach Schweregrad.
Änderungsalarme sind in Pro, Agency und Team enthalten.
So funktionieren Monitoring und AlarmeEinfache Preise
Starte kostenlos. Upgrade, wenn du mehr brauchst.
Free Beta
- 3 Scans pro Tag
- Einfacher Sicherheits-Score
- Top-3-Befunde inkl. Lösungen
- KI-Fix-Prompts
- Teilbarer Berichtslink
- 1 Website
Pro
- Alles aus Free, plus:
- Alle Befunde freigeschaltet
- KI-Fix-Prompts für jedes Problem
- Geplante Re-Scans (täglich oder wöchentlich)
- Re-Scan bei Deployment per Webhook
- REST API, MCP-Server für KI-Coding-Tools und KI-/SARIF-Berichtsexporte
- Änderungsalarme per E-Mail, Slack, Discord oder Webhook
- Vollständiger Scan-Verlauf
- Teilbare Berichte
- Bevorzugter Beta-Support
- Bis zu 3 Websites
Agency
- Everything in Pro, plus:
- Bis zu 15 Kunden-Websites
- Built for freelancers with multiple client sites
- Higher scan volume (300/day)
- More concurrent scans (5)
- Longer scan history (300)
- Scheduled re-scans (daily or weekly)
- Re-scan on deploy via webhook
- CI/CD workflow support
- Email support
Team
- Alles aus Pro, plus:
- Mehrere Seats
- Stündliche geplante Re-Scans
- CI/CD-Workflow-Support
- Onboarding durch die Gründer
Häufig gestellte Fragen
Scannen, bevor du live gehst.
Starte jetzt einen kostenlosen Scan deiner App — keine Anmeldung nötig.