Website-Checks

Was die Website-Checks prüfen: Erreichbarkeit, Zertifikat, Weiterleitungen, IPv6, CT-Logs, CMS-Version, Datenschutz, PageSpeed, offene Ports und mehr.

Auf dieser Seite

Website

Die Website-Checks laufen auf jedem Hostnamen mit Website-Monitor, also mindestens auf Apex und www.

  • http Website: Erreichbarkeit, Statuscode, Antwortzeit, Weiterleitungskette, Seiteninhalt und Sicherheits-Header; das Ergebnis hält zudem die ausgehandelte HTTP-Version fest (1.1, 2 oder 3) und ob Alt-Svc HTTP/3 ankündigt, nur als Information ohne Befund. Verbindungsfehler, Timeouts und 5xx sind kritisch und eröffnen http_down nach der Fehlerdauer; ein anderer als der erwartete Statuscode ist eine Warnung (http_status); Antworten über der Langsam-Schwelle (Standard 5 s) eröffnen http_slow nach drei Läufen; eine HTTPS-Adresse, die auf http:// weiterleitet, sofort http_no_https. Fehlt ein Pflichttext oder taucht ein verbotener auf, entsteht http_content. Header-Befunde (HSTS, CSP, nosniff, Framing, Referrer- und Permissions-Policy, verratene Server-Versionen) sind Hinweise ohne Incident.
  • tls Zertifikat: Handshake, Kette, Hostname, Gültigkeit, Signaturalgorithmus und Protokoll auf Port 443 oder einem Mailport mit STARTTLS. Abgelaufen ist kritisch (tls_expired, sofort); unter 14 Tagen Restlaufzeit eine Warnung (tls_expiring), unter 30 Tagen ein Hinweis. Kettenfehler, falscher Hostname, selbstsigniert und noch nicht gültig eröffnen tls_invalid nach zwei Läufen; nicht erreichbar tls_unreachable. SHA-1 und TLS 1.0/1.1 sind Warnungen ohne Incident. Eine Erneuerung wird als Ereignis gemeldet, ein neuer Aussteller als Warnung.
  • redirects Weiterleitungen: http://, http://www., https:// und https://www. müssen bei derselben kanonischen HTTPS-Adresse landen. Unerreichbare Varianten, fehlende Weiterleitung auf https, Fehlerstatus am Ende und uneinheitliche Ziele eröffnen redirects_broken; lange Ketten und temporäre Redirects (302/307) sind Hinweise. Ändert sich die kanonische Adresse, wird das als Warnung gemeldet. Bei einer Subdomain wie shop.kunde.de gibt es kein www-Gegenstück: dort zählen nur http:// und https:// dieses Hosts, das gemeinsame Ziel darf auf einem anderen Host liegen.
  • ipv6 IPv6: Hat der Hostname AAAA-Records, wird jede IPv6-Adresse per HTTP angesprochen. Keine Antwort oder 5xx eröffnet ipv6_broken nach der Fehlerdauer; fehlende AAAA-Records sind ein Hinweis. Vor jedem Befund prüft DomainWarn den eigenen IPv6-Pfad gegen Referenzziele; ohne IPv6-Route endet der Lauf als Fehler. Der Monitor entsteht nur, wenn der Betreiber IPv6 freigeschaltet hat.
  • ct_log Certificate Transparency: Alle Zertifikate der letzten 30 Tage für die Domain und ihre Subdomains aus den CT-Logs. Ein bisher unbekannter Aussteller ist eine Warnung ohne Incident; jedes neu ausgestellte Zertifikat ein Ereignis. Fällt es in die 24 Stunden nach einem Nameserver- oder MX-Wechsel, wird es als kritisch gemeldet. Hostnamen aus Zertifikaten ohne Website-Monitor werden als Vorschlag an der Domain gesammelt (bis 50 offene), die du per Klick übernimmst oder ausblendest.
  • cms CMS-Version: Erkennt das Content-Management- oder Shopsystem der Startseite (WordPress, TYPO3, Joomla, Drupal, Shopware, Contao, Craft, Ghost …) und seine Version – aus dem DomainWarn-Plugin (WordPress, Shopware; maßgeblich, solange es sich innerhalb einer Woche gemeldet hat), dem Generator-Meta, den Assets der Seite oder bei WordPress dem Feed. Täglich gegen die Releases des Projekts und die Supportzeiträume von endoflife.date: Ein Update innerhalb der eigenen Version (Sicherheits- und Wartungsupdate) und ein Supportende in den nächsten 120 Tagen sind Warnungen und eröffnen cms_outdated, eine Version ohne Sicherheitsupdates ist kritisch; eine neuere Hauptversion bei weiter gepflegter eigener ist ein Hinweis (bei WordPress, das kein Supportende nennt, nach 180 Tagen eine Warnung). Versionssprünge und Systemwechsel stehen in der Zeitleiste; eine ausgeblendete Version ist ein Hinweis mit dem Weg zum Plugin.
  • privacy Datenschutz: Welche Drittanbieter lädt die Startseite schon beim Aufruf, vor jeder Einwilligung? Schriften von Google-Servern (Google Fonts) und aktive Tracking-Skripte (Analytics, Tag Manager, Meta Pixel, Hotjar …) ohne Consent-Blockade eröffnen privacy_issue; Einbettungen (YouTube, Karten), Consent-Manager, CDNs und weitere fremde Hosts stehen als Hinweise dabei. Geprüft wird das ausgelieferte HTML ohne Skriptausführung; neue oder weggefallene Dienste erscheinen in der Zeitleiste. Eigene Hosts (CDN der Agentur) lassen sich als own_hosts ausnehmen.
  • pagespeed PageSpeed: Wöchentliche Messung der Startseite über PageSpeed Insights (mobil): Lighthouse-Performance 0–100 mit LCP, CLS und Blockierzeit, dazu – wo Google genug echte Nutzer sieht – die Core Web Vitals aus dem Chrome UX Report (LCP, INP, CLS), die fürs Ranking zählen. Unter 50 Punkten oder bei schlechten Felddaten eröffnet pagespeed_poor; ein Wechsel der Stufe (gut, verbesserungswürdig, schlecht) steht in der Zeitleiste.
  • security_txt security.txt: Liegt unter https://<domain>/.well-known/security.txt (ersatzweise am alten Ort /security.txt) eine Datei nach RFC 9116? Fehlt sie, ist das ein Hinweis. Liegt eine Datei da, muss sie gelten: fehlt Contact oder Expires, ist Expires unlesbar oder kommt die Datei über HTTP, eröffnet das security_txt_invalid; eine abgelaufene Datei security_txt_expired, ein Ablauf binnen 30 Tagen security_txt_expiring – außer der Server setzt Expires bei jedem Abruf neu (etwa „jetzt plus 30 Tage“), dann läuft die Datei nie ab. Falscher Content-Type, alter Ort, unlesbare Zeilen und eine abweichende Canonical-Angabe sind Hinweise; eine OpenPGP-Signatur wird erkannt, aber nicht geprüft. Eine veröffentlichte oder entfernte Datei, ein neuer Sicherheitskontakt und die Verlängerung einer ablaufenden Datei stehen in der Zeitleiste. Täglich.
  • ports Offene Dienste: Nehmen bekannte Datenbank-, Fernwartungs- oder Klartextports der Website- und Mailserver-Adressen Verbindungen aus dem Internet an? Geprüft wird per TCP-Verbindungsaufbau auf eine feste Liste – kein Portscan, keine Daten, kein Banner: Datenbanken und Caches (1433, 1521, 3306, 5432, 6379, 9200, 11211, 27017) sowie Fernwartung und Freigaben (23, 3389, 5900, 445, 2375) sind kritisch, FTP (21) und POP3/IMAP ohne TLS (110/143, nur auf Mailservern) eine Warnung, SSH und übliche Alternativports (22, 8080, 8443, 8000, 9000) ein Hinweis. Erwartete Dienste (etwa SSH auf dem eigenen Server) markierst du als „erwartet“, dann zählen sie nicht. Hinter einem CDN wird nicht geprüft, private Adressen werden übersprungen; höchstens fünf Mailserver und acht Adressen je Lauf, 20 Sekunden Zeitbudget. Ein neu offener oder geschlossener Port steht in der Zeitleiste. Täglich; der Betreiber schaltet den Check bewusst ein, ab Tarif Freelancer.
  • takeover Subdomain-Takeover: Zeigt ein DNS-Eintrag der Domain ins Leere, sodass ein Fremder die Subdomain übernehmen könnte? Geprüft werden die Domain, alle Hosts mit Website-Monitor, die Hostnamen aus den CT-Logs und typische Präfixe (www, staging, dev, test, app, blog, shop, mail, cdn, api, status, docs, old, beta, demo), höchstens 60 je Lauf. Ein CNAME auf ein Ziel, das es nicht mehr gibt (von einem zweiten Resolver bestätigt), eröffnet takeover (kritisch) – etwa eine gelöschte Azure-Web-App oder Elastic-Beanstalk-Umgebung. Bei bekannten Diensten (GitHub Pages, Heroku, Amazon S3, Shopify, Netlify, Vercel, Fastly, Zendesk, HubSpot, Unbounce, Ghost, Pantheon, Tumblr, WordPress.com und weitere) zeigt die Antwort des Dienstes, ob der Name dort frei ist – auch das ist kritisch. Ebenso eine an eigene Nameserver delegierte Subdomain, deren Server die Zone ablehnen oder nicht mehr existieren. Ein verwaister CNAME, den niemand beanspruchen kann (Ziel unter der eigenen Domain), ist eine Warnung, ebenso ein Hostname aus den CT-Logs, dessen Adresse bei einem Cloud-Anbieter liegt und weder auf Port 80 noch auf 443 antwortet. Abhilfe: den Eintrag löschen oder den Dienst neu beanspruchen. DomainWarn erkennt nur und legt nirgends etwas an. Täglich, ab Tarif Freelancer.
  • lookalike Ähnliche Domains: Welche Schreibweisen der Domain hat jemand registriert – kunde-shop.de, kuncle.de (cl statt d), dornain.de (rn statt m), kunde.shop, kunde-login.de, künde.de? DomainWarn erzeugt bis zu 250 Varianten (Homoglyphen, andere Endung, Tippfehler, Bindestrich, gängige Zusätze, Umlaute als IDN) und prüft sie täglich per DNS: Website oder Mailserver heißt aktiv, nur Nameserver heißt geparkt. Der erste Lauf ist die Baseline – was da schon existiert, ist Bestand und löst keine Warnung aus. Eine danach registrierte Variante mit Website oder MX ist eine Warnung (lookalike.registered) und steht als Änderung lookalike.new_domain in der Zeitleiste; geparkte und verschwundene Varianten sind Hinweise. Eigene überwachte Domains und als „gehört uns“ markierte Varianten werden nie gemeldet. Keine WHOIS-Abfragen, keine Datenbanken Dritter – nur das, was im DNS steht. Ab Freelancer, nur für die registrierbare Domain.
  • crawl Website-Check: Liest robots.txt und Sitemap (aus robots.txt oder /sitemap.xml, ein Sitemap-Index bis zu drei Teilsitemaps tief), ruft bis zu 50 Sitemap-Adressen und bis zu 100 interne Links der Startseite per GET ab und prüft je Adresse Status, Weiterleitung, noindex (Meta oder X-Robots-Tag) und Canonical. Sperrt die robots.txt mit „Disallow: /“ alles, eröffnet das crawl_robots_blocked (kritisch); kaputte Adressen (4xx, 5xx, keine Antwort) sind Warnungen, ab fünf eröffnen sie crawl_broken. noindex auf einer Sitemap-Adresse und ein Canonical auf eine andere Adresse sind Warnungen, fehlende Sitemap, Weiterleitung in der Sitemap und fehlendes Canonical Hinweise. Jede HTML-Seite (bis zu 50) wird außerdem auf Mixed Content und Subresource Integrity untersucht, ohne weiteren Abruf: Skripte, Stylesheets, Frames, Objekte oder Formularziele über http:// auf einer https-Seite eröffnen crawl_mixed_content (kritisch, Browser blockieren sie), Bilder und Medien über http:// (auch im srcset) sind eine Warnung; protokoll-relative Adressen (//…) zählen nicht. Externe Skripte und Stylesheets ohne integrity-Attribut oder mit integrity, aber ohne crossorigin sind Hinweise – der Hash wird nicht nachgerechnet, Dateien vom eigenen Origin brauchen kein SRI. Je Befund nennt DomainWarn die Zahl und bis zu 20 Beispiele mit Seite. Jede neue kaputte Adresse steht als Änderung in der Zeitleiste, die Rückkehr aller als Entwarnung; die Tabelle der geprüften Adressen liegt auf der Domainseite unter Website. Täglich, nicht im Free-Tarif.

Siehe auch: Website-Monitoring · SSL-Monitoring