Haftungs­ausschluss & Daten­schutz

So funktioniert eine Prüfung

Wenn Sie eine Adresse eingeben, ruft unser Server diese Website auf und stellt, in dieser Reihenfolge:

1. Eine Anfrage für die eingegebene Seite und folgt dabei bis zu fünf Weiterleitungen (zum Beispiel von example.com zu www.example.com). Hat die Website kein funktionierendes HTTPS, versuchen wir es einmal mit einfachem HTTP.
2. Nur wenn diese Seite keine klare Antwort liefert, einige weitere Anfragen an dieselbe Website, bis wir eine Antwort haben:
   • /robots.txt, die Datei, in der Websites automatisierten Besuchern mitteilen, welche Seiten sie auslassen sollen. Sie verrät oft die Software einer Website, und wir halten uns an ihre Regeln;
   • zwei erfundene Adressen, eine mit .php und eine mit .html am Ende, um zu sehen, wie die Website auf Seiten reagiert, die es nicht gibt;
   • /index.php, die übliche Startseite von PHP-Websites;
   • /wp-login.php, die Standard-Login-Seite von WordPress. Wir laden sie nur; wir melden uns nie an und senden nie etwas ab;
   • bis zu vier Seiten, auf die die eingegebene Seite verlinkt, etwa eine Kontakt-, Login- oder Shopseite. Wir überspringen Seiten, die automatisierte Besucher laut robots.txt meiden sollen, Links mit „nofollow“ und Links, die etwas verändern könnten, etwa einen Logout-Link.

Das sind höchstens 16 Anfragen pro Prüfung, Weiterleitungen eingeschlossen, alles gewöhnliche GET-Anfragen, erledigt innerhalb von etwa 18 Sekunden. Wir lesen höchstens die ersten 512 KB jeder Antwort und achten auf:

• Response-Header wie X-Powered-By und Server;
• die Cookies, die die Website setzt: ihre Namen, etwa PHPSESSID, und ob ein Wert das erkennbare Format der verschlüsselten Cookies von Laravel hat. Wir entschlüsseln oder speichern Cookies nie;
• den HTML-Code der Seite, auf Anzeichen wie ein „Generator“-Tag von WordPress oder Drupal, typische Dateipfade von PHP-Software, Formularfelder von PHP-Frameworks, PHP-Fehlermeldungen und Links auf .php-Seiten.

Um den wahrscheinlichen Hosting-Anbieter der Website zu nennen, schlagen wir außerdem nach, zu welchem Firmennetz ihre IP-Adresse gehört (in einer öffentlichen Tabelle, die Teil unserer eigenen Website ist), und welche Nameserver ihre Domain nutzt. Das sind gewöhnliche DNS-Abfragen; an die Website wird dabei nichts gesendet. Wir nennen nur bekannte Hosting-Anbieter, und ein genannter Anbieter ist eine begründete Vermutung: Eine Agentur oder ein Entwickler kann diesen Server für Sie mieten.

Was eine Prüfung nie tut

• Sie testet nie, ob die Sicherheitslücke ausnutzbar ist, löst sie nie aus und nutzt sie nie aus, und sie sendet nie etwas, das eine Website stören oder überlasten soll.
• Sie meldet sich nie an, füllt keine Formulare aus, führt keine Skripte der Website aus und lädt keine Bilder oder Dateien herunter.
• Sie errät keine versteckten Adressen außer den oben genannten und sucht nie selbstständig nach weiteren Subdomains. Sie folgt nur einigen Links, die bereits auf der Seite stehen.
• Sie ruft nie private oder interne Netzwerkadressen, IP-Adressen oder ungewöhnliche Ports auf. Nur öffentliche Websites können geprüft werden.

Wie wir zu einem Ergebnis kommen

• Ja: Wir haben mindestens ein klares Zeichen für PHP gefunden, etwa einen Header, der PHP nennt, ein PHP-Session-Cookie oder Software, die nur mit PHP läuft.
• Eher ja: Wir haben nur unterstützende Hinweise gefunden, etwa Links auf .php-Seiten.
• Keine Hinweise: Wir haben nichts gefunden, das auf PHP hindeutet. Das ist kein Beweis, dass kein PHP genutzt wird.
• Unklar: Wir konnten die eigentliche Website nicht sehen, zum Beispiel weil eine Firewall, eine Cookie-Wall oder ein Fehler uns blockiert hat.

Verlinkt die Seite auf andere Teile derselben Website (etwa eine shop.- oder blog.-Adresse), schlagen wir Ihnen vor, diese ebenfalls zu prüfen. Diese Vorschläge stammen aus Links, die bereits auf der Seite stehen, und lösen keine zusätzlichen Anfragen aus. Jede vorgeschlagene Prüfung startet erst, wenn Sie sie selbst auslösen.

Keine Garantien

Eine Prüfung sieht nur, was eine Website öffentlich zeigt, und kann daher nie ganz sicher sein. Websites können verbergen, dass sie PHP nutzen, Firewalls können uns blockieren, und andere Systeme (etwa ein Admin-Bereich, ein Webshop, ein Mailserver oder ein Intranet) können PHP nutzen, auch wenn wir keine Anzeichen dafür finden. Eine erkannte PHP-Version ist die Version, die die Website meldet; Sicherheitsupdates, die Ihr Hosting-Anbieter installiert hat, spiegelt sie womöglich nicht wider.

Alle Inhalte dieser Website sind allgemeine Informationen, bereitgestellt „wie besehen“ und ohne jegliche Gewähr. Sie sind keine professionelle Sicherheits- oder Rechtsberatung und können veraltet, unvollständig oder falsch sein. Lassen Sie sich alles von Ihrem Hosting-Anbieter, Entwickler oder Ihrer IT-Abteilung bestätigen, und folgen Sie den offiziellen Hinweisen des BSI und des PHP-Projekts.

Nutzung dieser Website

Nutzen Sie den Check nur für rechtmäßige Zwecke, etwa um Websites zu prüfen, die Ihnen gehören, die Sie verwalten oder für die Sie verantwortlich sind. Nutzen Sie sie nicht, um Systeme anderer auszukundschaften oder anzugreifen, und greifen Sie nicht mit Skripten, Bots oder anderen automatisierten Mitteln darauf zu. Wir können den Zugang sperren oder einschränken, um Missbrauch zu verhindern; Prüfungen sind pro Besucher und pro Website begrenzt, und übermäßiger Datenverkehr wird automatisch blockiert.

Haftung

Sie sind für die Sicherheit Ihrer eigenen Systeme verantwortlich und dafür, was Sie mit den Informationen auf dieser Website tun. Soweit gesetzlich zulässig, haften wir nicht für Schäden oder Verluste, die aus der Nutzung dieser Website, ihrer Ergebnisse oder Hinweise oder dem Vertrauen darauf entstehen, oder aus Handlungen oder Unterlassungen aufgrund dieser Inhalte. Dies schränkt keine Haftung ein, die gesetzlich nicht beschränkt werden kann, etwa für Vorsatz oder grobe Fahrlässigkeit.

Keine Verbindung

Wir stehen in keiner Verbindung zum PHP-Projekt, zu The PHP Group, zur PHP Foundation, zum Bundesamt für Sicherheit in der Informationstechnik (BSI), zum britischen National Cyber Security Centre (NCSC), zum NCSC-NL oder zu Softwareherstellern oder Hosting-Anbietern, werden von ihnen nicht unterstützt und handeln nicht in ihrem Auftrag. „PHP“ und andere Produktnamen sind Marken ihrer Inhaber und werden nur genannt, um auf sie zu verweisen. Die Nennung eines Hosting-Anbieters oder einer Plattform oder ein Link auf deren Hilfeseiten ist keine Empfehlung. Links auf andere Websites dienen nur Ihrer Information; für deren Inhalte sind wir nicht verantwortlich.

Datenschutz

Wir erheben so wenig wie möglich. Wir legen keine Konten an, nutzen keine Tracking-Cookies und verkaufen oder teilen keine Daten für Werbung. Das passiert, wenn Sie die Website nutzen:

Die Adresse, die Sie prüfen

Sie wird für die Prüfung verwendet und danach verworfen. Wir protokollieren oder speichern weder sie noch das Ergebnis. Um zu begrenzen, wie oft eine Website geprüft werden kann, speichern wir bis zu zwei Stunden lang einen Einweg-Hash ihres Domainnamens (einen unkenntlich gemachten Code, aus dem sich der Name nicht zurückgewinnen lässt). Geteilte Links enthalten die Adresse hinter dem „#“-Zeichen (etwa doiusephp.com/#example.com). Diesen Teil senden Browser nie an Server, er landet also auch nicht in den Protokollen unseres Hosting-Anbieters. In Ihrem eigenen Browserverlauf bleibt er allerdings erhalten.

Ihre IP-Adresse

Sie dient dazu, Missbrauch zu verhindern. Für die Begrenzung der Anfragen speichern wir nur einen Einweg-Hash davon, der innerhalb von zwei Tagen automatisch gelöscht wird. Ihre IP-Adresse speichern wir nie in lesbarer Form.

Dienstleister

• Vercel hostet diese Website und betreibt ihre Firewall. Wie jeder Hosting-Anbieter verarbeitet Vercel technische Daten wie IP-Adressen und aufgerufene Seiten und speichert diese aus Sicherheits- und Betriebsgründen eventuell kurz in Protokollen. Datenschutzerklärung von Vercel.
• Vercel Web Analytics zählt Seitenaufrufe und wie viele Prüfungen mit welchem Ergebnis enden. Es nutzt keine Cookies und identifiziert Sie nicht, und wir entfernen die geprüfte Adresse aus jedem Seitenaufruf, bevor er gesendet wird. Datenschutz bei Analytics.
• Cloudflare Turnstile prüft, dass ein Mensch und kein Bot eine Prüfung startet. Cloudflare verarbeitet dafür technische Informationen über Ihren Browser und Ihre Verbindung und nutzt sie nicht für Werbung. Datenschutz bei Turnstile.
• Upstash speichert die oben beschriebenen kurzlebigen, gehashten Zähler zur Begrenzung der Anfragen. Datenschutzerklärung von Upstash.

Einige dieser Dienstleister verarbeiten Daten möglicherweise außerhalb des Europäischen Wirtschaftsraums. Sie tun dies auf Grundlage von Garantien, die nach EU-Recht anerkannt sind, etwa des EU-US Data Privacy Framework oder der Standardvertragsklauseln der Europäischen Kommission.

Rechtsgrundlage und Ihre Rechte

Wir verarbeiten diese Daten auf Grundlage unseres berechtigten Interesses, einen kostenlosen, sicheren Dienst anzubieten und Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Sie haben das Recht auf Auskunft über Ihre personenbezogenen Daten, auf deren Berichtigung oder Löschung und auf Widerspruch gegen die Verarbeitung. Da wir fast nichts speichern, was Sie identifizieren könnte, gibt es meist wenig oder nichts, was wir herausgeben oder löschen könnten; wir beantworten Ihre Anfrage aber immer, siehe die Kontaktadresse unten. Sie können sich außerdem bei der niederländischen Datenschutzbehörde beschweren, der Autoriteit Persoonsgegevens.

Für Website-Betreiber

Unser Check taucht in Ihren Logs auf? Sie gibt sich mit dem User-Agent doiusephp-checker/1.0 (+https://doiusephp.com/disclaimer) zu erkennen und hat nur die wenigen harmlosen Anfragen gestellt, die oben beschrieben sind, weil jemand die Adresse Ihrer Website eingegeben hat. Wenn Sie möchten, können Sie diesen User-Agent sperren.

Über diese Website

doiusephp.com ist ein privates, nicht kommerzielles Projekt von Hein de Wilde. Für Fragen, Anliegen oder um Missbrauch zu melden, schreiben Sie bitte eine E-Mail an info@heindewilde.com. Zu einzelnen Websites können wir nicht beraten; wenden Sie sich dafür an Ihren Hosting-Anbieter oder Entwickler.

Diese Seite kann sich ändern; das Datum oben zeigt die aktuelle Fassung. Für diese Website und diesen Haftungsausschluss gilt niederländisches Recht.