Open-Source-Tools für Sicherheitstests
Mehrere Tools kombinieren - jedes entdeckt andere Probleme.
CLI-Scanner
- testssl.sh: tiefer TLS-Scan.
- sslscan/sslyze: Protokoll-/Cipher-Analyse.
- nmap-Skripte (ssl-enum-ciphers, http-security-headers).
Header/CSP-Helfer
- Mozilla Observatory (Scanner + Leitfäden).
- OWASP Dependency-Check/ZAProxy für breitere Tests.
Arbeitsablauf
- Scans in CI automatisieren; bei Regressionen fehlschlagen.
- Baseline pflegen und Änderungen nach Deployments verfolgen.
Kurzfassung
Ein paar etablierte Open-Source-Tools reichen, um TLS, Header und Basis-Checks abzudecken - ohne großes Budget.
5-Minuten-Checkliste
- TLS-Scan:
nmap --script ssl-enum-ciphers -p 443 domain.tld - Header prüfen: mit
curl -I abrufen und bewerten - Zertifikatskette/Laufzeit:
openssl s_client -connect domain.tld:443 - Einfacher Crawler für kaputte Links:
linkchecker o. Ä. - Automatisieren in CI: bei jedem Deploy laufen lassen und Reports behalten