ScanYourSite

Finden Sie die API-Schlüssel, die Ihre Website verschenkt

Alles in Ihrem Frontend lädt jeder Besucher herunter — auch einen Schlüssel, den Sie eingefügt haben, damit eine Funktion läuft. Wir durchsuchen die Seite und die Skripte, die sie lädt, nach bekannten Formaten geheimer Schlüssel und zeigen Ihnen, wo sie stecken.

Kostenlos, ohne Anmeldung. Die Basisprüfung stellt nur Anfragen, die auch ein normaler Browser stellt.

Vollständigen Beispielbericht ansehen

Schlüssel, die wir erkennen

Selbst prüfen

Ihr Browser hat bereits jede Datei, die ein Fremder bekommen würde. So durchsuchen Sie sie von Hand.

  1. Alles öffnen, was die Seite geladen hat

    Öffnen Sie Ihre Live-Website, dann DevTools → Sources (Chrome, Edge) oder Debugger (Firefox). Laden Sie neu, damit jedes Skript aufgelistet wird.

  2. Alle Dateien nach Schlüsselpräfixen durchsuchen

    Cmd/Ctrl + Option/Alt + F durchsucht alle geladenen Dateien auf einmal. Probieren Sie jedes dieser Präfixe aus; ein Treffer ist einen genaueren Blick wert.

    sk_live_      geheimer Stripe-Schlüssel
rk_live_      eingeschränkter Stripe-Schlüssel
sk-proj-      OpenAI
sk-ant-       Anthropic
AKIA          AWS-Zugriffsschlüssel
ghp_          GitHub-Token
github_pat_   Fine-grained GitHub-Token
xoxb-         Slack-Bot-Token
SG.           SendGrid
service_role  Supabase (JWT dekodieren)
sb_secret_    geheimer Supabase-Schlüssel
-----BEGIN    privater Schlüssel

  3. Prüfen, welche Variablen Ihr Build offenlegt

    Frameworks packen Variablen mit diesen Präfixen absichtlich ins Browser-Bundle. Ein Secret unter einem davon ist öffentlich.

    NEXT_PUBLIC_   Next.js
VITE_          Vite, Lovable, Bolt
REACT_APP_     Create React App
PUBLIC_        Astro, SvelteKit
EXPO_PUBLIC_   Expo

  4. Einen gefunden? Zuerst widerrufen

    Gehen Sie davon aus, dass er kopiert wurde. Widerrufen oder rotieren Sie ihn im Dashboard des Anbieters, verschieben Sie dann den Aufruf in eine Serverfunktion, deployen Sie neu und suchen Sie noch einmal.

Was tun mit einem geleakten Schlüssel

Erst widerrufen, dann den Aufruf auf den Server verlegen. Der Prompt aus dem Bericht sagt Ihrer KI genau das, Datei für Datei.

Behebe diese Probleme auf shop.example.

1. Ein Anthropic-API-Key (sk-ant-…x7Q) liegt in assets/chat-91b.js.
   Widerrufe ihn in der Anthropic-Konsole, verschiebe den API-Aufruf in einen Server-Endpunkt und lies den Schlüssel dort aus einer Umgebungsvariable.

Wenn du fertig bist, prüfe erneut: https://scanyoursite.app/de?check=shop.example

Schlüssel kommen zurück

Eine KI-Änderung kann den Schlüssel wieder einfügen. Mit Pro wird jedes neue Deployment innerhalb von Minuten auf Schlüssel geprüft.

Tarife ansehen

Fragen

Speichern Sie die gefundenen Schlüssel?

Nein. Berichte zeigen Schlüssel geschwärzt — den Typ, die ersten und letzten paar Zeichen und die Datei.

Reicht es, den Schlüssel aus dem Code zu löschen?

Nein. War er einmal öffentlich, gehen Sie davon aus, dass er kopiert wurde: Widerrufen Sie ihn beim Anbieter und erstellen Sie einen neuen.

Scannen Sie mein Repository?

Nein — die Live-Website. Die sehen Angreifer.

Für Vibe Coder

URL einfügen. Die Liste kommt in etwa einer Minute.

Zu jedem Fund steht, was er für Sie bedeutet und wie Sie ihn beheben — oder ein Prompt, den Ihr KI-Coding-Tool umsetzen kann.

Kostenlos, ohne Anmeldung. Die Basisprüfung stellt nur Anfragen, die auch ein normaler Browser stellt.