Finde die offenen Türen deiner Site – bevor es ein Angreifer tut.
Der erste Zug eines Angreifers ist kein Exploit, sondern Erkundung: den Server nach Dateien und Endpunkten fragen, die nicht erreichbar sein sollten. Relvato macht genau diesen ersten Durchgang auf der Site, deren Besitz du nachgewiesen hast – nicht-intrusiv – und sagt dir, was offen liegt, bevor jemand Böswilliges es findet.
- ✓Erreichbare .env-, .git-, wp-config- und Datenbank-Backup-Dateien
- ✓Offenes XML-RPC (Brute-Force- & Pingback-Verstärkung)
- ✓Nutzer-Enumeration über REST-API und Autorenseiten
- ✓Directory-Listing und Versions-/Software-Preisgabe
- ✓Fehlende Security-Header (HSTS, CSP, X-Frame-Options und mehr)
- ✓Read-only und nicht-intrusiv – niemals Ausnutzung
Die meisten Einbrüche beginnen mit etwas Offengelassenem – einer vergessenen .env oder einem Datenbank-Backup, einem offenen .git-Ordner, aktiviertem XML-RPC für Brute-Force, über die REST-API durchsickernden Nutzernamen oder fehlenden Security-Headern. Ein Schwachstellen-Scan deiner Plugins sieht davon nichts, denn es geht um Konfiguration und Exposition, nicht um Code. Relvato prüft es kontinuierlich und meldet ein neu offengelegtes Secret am Tag, an dem es auftaucht.
Funktioniert auf jeder Website — von WordPress bis zu KI-erstellten Sites.
- Ruft eine kuratierte Liste öffentlicher URLs auf deiner verifizierten Site auf und liest die Antworten – strikt read-only, keine Ausnutzung, kein Brute-Force, und es weist sich als Relvato aus.
- Meldet erreichbare Secrets und Backups (.env, .git, wp-config-Backups, Datenbank-Dumps), offene Enumeration (XML-RPC, REST-/Autoren-Nutzernamen), Directory-Listing und Versions-Preisgabe.
- Prüft deine Security-Header (HSTS, CSP, X-Frame-Options und mehr) und meldet, was offen liegt oder fehlt, damit du es absichern kannst.
Ist das ein aktiver Penetrationstest oder Angriff?
Nein. Es ist strikt nicht-intrusive Erkundung: read-only GET-Anfragen an öffentliche URLs auf der Site, deren Besitz du nachgewiesen hast. Es sendet nie Exploit-Payloads, macht kein Brute-Force bei Logins, fuzzt keine Eingaben und ändert nichts – es kann also keinen laufenden Shop beschädigen. Außerdem weist es sich in der Anfrage als Relvato aus, statt wie ein heimlicher Angreifer zu agieren.
Wie unterscheidet es sich vom Schwachstellen-Scan?
Der Schwachstellen-Scan prüft deine installierten Plugins und Themes gegen bekannte CVEs – es geht um verwundbaren Code. Der Exposure-Scan prüft Konfiguration und was von außen erreichbar ist – offene Dateien, offene Endpunkte, schwache Header –, was kein Code-Scanner sieht. Sie ergänzen sich: der eine findet verwundbare Software, der andere offene Türen.
Funktioniert es auf Nicht-WordPress-Sites?
Ja. Die generischen Prüfungen (offene .env/.git/Backups, Directory-Listing, fehlende Security-Header) gelten für jede Site; die WordPress-spezifischen Proben (XML-RPC, REST-Nutzer-Enumeration, readme-Version) treffen anderswo einfach nicht zu. Kein Plugin nötig – reine externe Beobachtung.
Verursacht das Scannen meiner eigenen Site Probleme?
Es ist bewusst schonend: eine kleine, kuratierte Liste von Anfragen mit niedriger Rate, jede mit kurzem Timeout, von einem ausgewiesenen User-Agent. Es läuft nur auf einer von dir verifizierten Domain, und du entscheidest dich per Aktivierung der Prüfung dafür. Es ist derselbe nicht-intrusive erste Durchgang, den ein Sicherheitsprofi auf einer Site fährt, die er testen darf.
Was passiert bei einem Fund?
Ein offengelegtes Secret oder Backup lässt die Prüfung fehlschlagen und alarmiert dich sofort – das sind Sofort-schließen-Probleme. Hardening-Lücken (fehlende Header, aktiviertes XML-RPC, Enumeration) werden als Warnungen zur Prüfung gemeldet. Was auf deiner Site erwartet ist, kannst du als geprüft markieren, damit es nicht erneut nervt.
Schalte diese Prüfung auf Autopilot.
Kostenlos während der Einrichtung — 100 Prüfungen oder 30 Tage. Keine Karte, kein Verkaufsgespräch.