Sicherheit

Sicherheitsprüfungen

Jede Website hat drei Sicherheitsprüfungen. Du findest sie im Editor unter Einstellungen > Sicherheit.

Paketprüfung

Deine Website basiert auf Open-Source-Paketen, zum Beispiel dem Framework, auf dem sie läuft. Der Paket-Scan gleicht jedes Paket deiner Website mit der npm-Datenbank für bekannte Sicherheitsprobleme ab. Er läuft täglich für aktive und veröffentlichte Websites, nach dem Erstellen durch die KI und bei jeder Veröffentlichung. So prüft er den tatsächlich veröffentlichten Stand.

Code-Scan

Der Code-Scan ist automatisch und kostenlos. Er läuft bei jeder Veröffentlichung und wann immer du ihn startest. Er sucht nach den Fehlern, durch die Website-Daten am häufigsten ungeschützt zugänglich werden:

• Geheime Schlüssel in Code, der im Browser sichtbar ist
• Geheime Werte in öffentlichen Umgebungsvariablen (Namen, die mit NEXT_PUBLIC_ beginnen), die jeder lesen kann, der deine Website öffnet
• Service-Schlüssel, die die Zugriffsregeln deiner Datenbank umgehen und im Browser-Code verwendet werden
• Datenbanktabellen ohne Sicherheit auf Zeilenebene, die jeder lesen oder ändern könnte
• Routen für zeitgesteuerte Aufgaben, die jeder aufrufen kann
• Unsichere HTML-Darstellung, durch die jemand eigene Skripte auf deinen Seiten ausführen könnte
• Bildeinstellungen, die mehr zulassen als nötig

KI-Sicherheitsprüfung

Die KI-Sicherheitsprüfung läuft auf Wunsch im Chat und verbraucht wie jede Nachricht Credits. Eine KI liest den gesamten Code deiner Website und sucht nach Problemen, die sich aus ihrer konkreten Funktionsweise ergeben:

• Wer was lesen oder ändern kann
• Seiten und Aktionen, die prüfen sollen, ob jemand angemeldet ist
• Zahlungen
• Injection, bei der Eingaben von Besuchern als Code oder Datenbankabfrage behandelt werden
• Daten, die Unbefugten angezeigt werden

Zu jedem Fund gibt es eine verständliche Erklärung und einen Lösungsvorschlag. Mit Mit KI beheben wendest du den Vorschlag an.

Schweregrad

Jeder Fund wird als kritisch, hoch, mittel oder niedrig eingestuft. Beginne mit kritischen und hohen Risiken.

Was Scans nicht leisten können

Kein Scanner erkennt jedes Risiko. Ein Bericht ohne Befund bedeutet, dass diese Prüfungen kein Problem gefunden haben – nicht, dass deine Website keine Probleme hat. Teste alles, was Anmeldungen, Zahlungen oder Daten deiner Nutzer verarbeitet, bevor du dich darauf verlässt.

Automatische Sicherheitsupdates

Wenn ein Paket deiner Website eine kritische Sicherheitslücke hat und die Korrektur innerhalb derselben Hauptversion verfügbar ist, aktualisiert WebTwizz deine Website für dich:

• Nur die Paketversionen ändern sich. Der eigene Code deiner Website bleibt unberührt.
• Wir erstellen die veröffentlichte Version deiner Website neu. Unfertige Entwürfe werden nie veröffentlicht.
• Wenn der erneute Build fehlschlägt, bleibt deine aktuelle Version live.
• Ein Wiederherstellungspunkt wird in deinem Versionsverlauf gespeichert.
• Wenn dein Projekt mit GitHub synchronisiert wird, wird das Update dort als Commit übertragen.
• Du erhältst eine E-Mail mit den Änderungen.

Automatische Updates sind für neue Websites standardmäßig aktiviert. Bei Websites, die vor Einführung der automatischen Updates erstellt wurden, sind sie deaktiviert. Du kannst sie für jede Website unter Einstellungen > Sicherheit ein- oder ausschalten. Wird eine Sicherheitslücke aktiv ausgenutzt, können wir das Update trotzdem anwenden und eine Website offline nehmen, bis die Lücke behoben ist. Siehe unsere Nutzungsbedingungen.

Manche Probleme erfordern mehr als ein Versionsupdate, etwa eine neue Hauptversion oder eine Änderung an deinem Code. Solche Änderungen führen wir nie eigenständig durch. Wir weisen dich darauf hin und bieten eine Lösung per Klick an.

E-Mail-Benachrichtigungen

• Kritische Probleme: Wenn auf einer veröffentlichten Website ein neues kritisches Problem auftritt, erhält der Inhaber eine E-Mail. Diese Funktion ist standardmäßig aktiviert. Du kannst sie unter Einstellungen > Sicherheit deaktivieren.
• Probleme mit hohem Schweregrad: werden in einer wöchentlichen Übersicht zusammengefasst.

Prüfungen vor der Veröffentlichung

Bei jeder Veröffentlichung werden Pakete und Code geprüft. Die Ergebnisse erscheinen im Veröffentlichungsfenster.

Wenn du verhindern möchtest, dass du mit einem ungelösten kritischen Problem veröffentlichst, kannst du die Veröffentlichung bis zur Behebung blockieren. Diese Option ist standardmäßig deaktiviert. Du aktivierst sie unter Einstellungen > Sicherheit.

Was WebTwizz übernimmt

Darum musst du dich nicht kümmern. Wir halten Folgendes sicher und aktuell:

• Die Startvorlage und die Vorlagen: die Startvorlage, auf der jede neue Website basiert, und alle Vorlagen in der Galerie
• Vorschauumgebungen: Die Vorschau jeder Website läuft in einer eigenen, isolierten virtuellen Maschine
• Hosting: WebTwizz-Hosting für Websites mit webtwizz.app-Adressen und eigenen Domains
• Secrets: API-Schlüssel und andere geheime Werte werden verschlüsselt gespeichert. Du gibst sie nur auf WebTwizz ein, niemals in einem Chat mit einem KI-Assistenten
• Passwortgeschützte und private Websites: Der Zugriff wird geprüft, bevor die Website geladen wird

Antwortzeiten

Wenn ein von WebTwizz bereitgestelltes Paket ein bekanntes Sicherheitsproblem hat, beheben wir es innerhalb folgender Fristen:

• Kritisch: 72 Stunden
• Hoch: 14 Tage

Eine Sicherheitslücke melden

Wenn du ein Sicherheitsproblem findest, schreib an security@webtwizz.com. Wir antworten dir und halten dich auf dem Laufenden, während wir es beheben.

Welche Angaben dazugehören

• Was du gefunden hast und wo: die Adresse, Seite oder Funktion
• Die Schritte zum Reproduzieren des Problems
• Was jemand damit tun könnte
• Wie wir dich bei Fragen erreichen können

Geltungsbereich

Die WebTwizz-Plattform, einschließlich webtwizz.com, des Editors und des Dashboards, sowie Websites, die auf WebTwizz gehostet werden – unter webtwizz.app-Adressen oder auf eigenen Domains.

Rechtlicher Schutz für Sicherheitsforschende

Wenn du in guter Absicht nach Sicherheitslücken suchst und dich an die Vorgaben auf dieser Seite hältst, gehen wir nicht rechtlich gegen dich vor und betrachten deine Untersuchung als autorisiert. Bitte beachte:

• Greife nicht auf die Daten anderer zu, ändere oder lösche sie nicht. Wenn du versehentlich auf fremde Daten stößt, brich ab, behalte keine Kopie und informiere uns
• Teste nur mit Konten und Websites, die dir gehören oder für die du eine Testerlaubnis hast
• Führe keine Tests durch, die WebTwizz oder die Websites darauf verlangsamen oder lahmlegen
• Gib uns ausreichend Zeit, ein Problem zu beheben, bevor du es öffentlich machst

Sicherheitshinweise

Sicherheitsupdates, die Websites auf WebTwizz betrafen oder hätten betreffen können, und was wir dagegen unternommen haben.

Oktober 2026: Sicherheitsupdate für Next.js

• Worum es ging: Behebungen für drei Sicherheitslücken in Next.js, zwei kritische und eine mit hohem Schweregrad
• WebTwizz-Websites betroffen: ja, Websites mit älteren Versionen von Next.js
• Was wir getan haben: Wir haben die Startvorlage und alle Galerievorlagen auf Next.js 16.4.2 aktualisiert, das die Sicherheitslücken behebt, und die Vorschauumgebungen aktualisiert. Betroffene veröffentlichte Websites werden derzeit aktualisiert.

Kontaktiere uns

Für Sicherheitsmeldungen schreib an security@webtwizz.com. Für alles andere: