Referenzprojekt
Apexly: automatisierter Website-Sicherheits-Check mit 57 Prüfungen.
Apexly prüft Websites auf 57 Sicherheits- und DSGVO-relevante Punkte: SSL/TLS, Security-Header, Cookie-Einwilligung, Rechtstexte und E-Mail-Sicherheit. Für die eigene Website oder – als Agentur – für alle Kundenwebsites gebündelt in einem Dashboard.
Projektfokus
Website-Sicherheit ohne Fachwissen prüfbar machen
Apexly ist eine Web-App, mit der jeder in wenigen Sekunden erfährt, wie sicher die eigene Website wirklich ist – ohne Anmeldung, mit einem Scan pro Tag kostenlos. Für Agenturen gibt es einen eigenen Modus: alle Kundenwebsites in einem gemeinsamen Dashboard überwachen, statt jede einzeln manuell zu prüfen.
- 57 automatische Prüfungen: SSL/TLS, Security-Header, Cookies, Rechtstexte, E-Mail-Sicherheit
- Ergebnis in Sekunden, ohne Anmeldung, 1 Scan pro Tag kostenlos
- Agentur-Modus: mehrere Kundenwebsites in einem Dashboard
- echtes Nutzerkonto mit 2FA und Abo-Verwaltung über PayPal
- Ratgeber-Bereich mit strukturierten Daten für Sicherheits- und DSGVO-Themen
Was dieses Projekt zeigt
Niedrigschwelliger Einstieg
Kein Login, kein Umweg: Der erste Scan funktioniert direkt auf der Startseite. Konten und Abos kommen erst dazu, wenn Nutzer wirklich mehr wollen.
Zwei Zielgruppen, ein Produkt
Einzelne Website-Betreiber und Agenturen mit vielen Kundenseiten nutzen dieselbe Prüf-Engine – nur die Oberfläche und der Umfang unterscheiden sich.
Echte Abo-Logik
Kontoverwaltung mit 2FA und ein reales PayPal-Abomodell statt einer reinen Landingpage – Apexly ist ein vollständiges SaaS-Produkt.
Inhalte mit Substanz
Ein Ratgeber-Bereich mit strukturierten Daten übersetzt Sicherheits- und DSGVO-Themen verständlich, statt nur die Prüf-Ergebnisse zu zeigen.
Was Apexly im Einzelnen prüft
Aus einer eingegebenen Adresse werden 57 einzelne Prüfungen. Jede liefert ein Ergebnis mit Beleg, nicht nur eine Ampel.
Verschlüsselung und Erreichbarkeit
Zertifikat, vollständige Zertifikatskette, Weiterleitung von HTTP auf HTTPS, Laufzeit bis zum Ablauf. Dazu die Frage, ob die Seite überhaupt erreichbar ist — was klingt wie eine Selbstverständlichkeit, aber der häufigste Grund für einen roten Wert ist.
Schutz im Browser
Security-Header wie Content-Security-Policy, HSTS und X-Frame-Options — und zwar nicht nur, ob sie da sind, sondern ob sie etwas taugen. Eine CSP mit unsafe-inline steht zwar im Kopf der Seite, schützt aber kaum.
Datenschutz in der Praxis
Setzt die Seite Cookies, bevor jemand zugestimmt hat? Lädt sie Schriften direkt von Google und schickt damit IP-Adressen in die USA? Gibt es Impressum und Datenschutzerklärung, und sind sie von jeder Seite aus erreichbar?
E-Mail und Ruf der Domain
SPF, DKIM und DMARC entscheiden darüber, ob eure Post im Postfach oder im Spam landet — und ob jemand Fremdes in eurem Namen schreiben kann. Zusätzlich wird geprüft, ob die Domain auf Googles Warnliste steht.
Woran die Arbeit an so einem Scanner wirklich hängt
Der schwierige Teil ist nicht, eine Prüfung zu schreiben. Der schwierige Teil ist, dass sie auch dann stimmt, wenn die geprüfte Seite sich wehrt, langsam ist oder anders gebaut wurde als erwartet.
Nicht raten, sondern messen. Viele Werkzeuge lesen eine Versionsnummer aus dem Quelltext und melden dann eine Sicherheitslücke. Steht dort eine falsche Zahl, ist die Meldung falsch — und der Kunde sucht stundenlang nach einem Problem, das es nicht gibt. Apexly meldet nur, was tatsächlich messbar ist.
Der Scanner darf sich nicht selbst aussperren. Wer viele Anfragen an eine Website schickt, sieht für deren Schutzsoftware aus wie ein Angreifer. Also musste der Scanner so gebaut werden, dass er höflich vorgeht: begrenzte Geschwindigkeit, klare Kennung, Abbruch statt Nachbohren.
Fremde Kosten deckeln. Googles Warnliste kostet pro Abfrage Geld. Ohne Bremse hätte ein einziger Ansturm eine unangenehme Rechnung erzeugt. Ergebnisse werden deshalb für einen Tag gespeichert, und es gibt eine harte Obergrenze pro Tag.
Vor der ersten Presseansprache lief ein Belastungstest mit dem, was ein Artikel auslösen würde. Die Grenze liegt bei zwanzig Scans pro Minute — darüber wartet die nächste Anfrage, statt dass der Server umfällt.
Warum Apexly als Referenz stark ist
Apexly zeigt, dass pepelabs komplette SaaS-Produkte mit echter Nutzerverwaltung, Zahlungsanbindung und zwei unterschiedlichen Zielgruppen in einer Anwendung umsetzen kann – nicht nur Websites.