Ären Domain muss bis den Okt. 25, 2026 verlängert ginn. Wann en ofleeft, funktionéieren Är Websäit an Är E-Mailen net méi a默认een anere kann den Numm kafen. Ouni Transferschutz kann een, deen an Äre Registrar-Konto erakënnt oder Äre Registrar täuscht, Ären Domain méi einfach bei eng aner Entreprise transferéieren.
Wat mir fonnt hunn: Verlängerung fälleg den Okt. 25, 2026 · kee Transferschutz · Registrar: OVH SAS
SPF lëscht d'Déngschter op, déi E-Maile fir Ären Domain verschécken dierfen. Ouni dat, oder mat méi widderspréchleche SPF-Records, kënne Krimineller méi einfach E-Mailen an Ärem Numm verschécken, an Är legitim E-Maile landen éischter am Spam.
Wat mir fonnt hunn: Ären Domain empfänkt E-Mailen, verëffentlecht awer kee SPF-Record, soudass jiddereen vill méi einfach E-Maile verschécke kann, déi virstellen, vun Iech ze kommen.
Wie kann et behiewen: Ären E-Mail-Administrateur an DNS-Manager · hei festgestallt: Google Workspace (E-Mail), Cloudflare (DNS)
Ouni HSTS probéieren d'Browseren vun Äre Visiteuren eventuell fir d'éischt déi onverschlësselt Versioun vun Ärem Site, déi a gemeinsame Netzwierker wéi ëffentlechem Wi-Fi ofgefaange ka ginn.
Wat mir fonnt hunn: Är Websäit schéckt dës Schutzastellung (HTTP-Header) net u Browser.
Wie kann et behiewen: Äre Webhoster oder Webentwéckler · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
D'Websäit vun Ärer Bäckerei brauch eng direkt Erneierung vum Domain a wesentleche Schutz fir E-Mail a Software.
Gemini 3.8 FlashUgepasst un Är Äntwert „Ech sinn net technesch erfueren“
Erhéichte Risiko
D'Registréierung vun Ärem Domain leeft an 24 Deeg of, wat Är Websäit an Är geschäftlech E-Mailen ausschalte kéint, wann se net rechtzäiteg erneiert gëtt. Well Ären Domain keng Lëscht vun approuvéierten Absender publizéiert, kënnen Ugräifer ganz einfach iwwerzeegend gefälscht E-Mailen am Numm vun Ärer Bäckerei schécken. D'Websäit benotzt och eng méi al Publikatiounssoftware, déi direkt Aktualiséierungen an en Zwee-Schrëtt-Login brauch, fir d'Administratiounskonten a Clientsdonnéeë sécher ze halen. Wann Dir séier mat Ärer Webagence handelt, schützt Dir Är Bäckerei virun Bedruch, onerwaarten Ausfäll an onerlaabtem Zougrëff.
Säiten, déi den Agent op Ärem Site exploréiert huet: 6
https://bakery.example/200
https://bakery.example/my-account/200
https://bakery.example/order/200
https://bakery.example/contact/200
https://bakery.example/privacy-policy/200
https://bakery.example/legal-notice/200
Ufroe goufen als FmindCyber identifizéiert, am Read-only-Modus, limitéiert op Ären Domain an op Säiten, déi dovunner verlinkt sinn: kee Login, kee Formularausfëllen a keng errode Padde.
Ären Aktiounsplang
Elo maachenE puer Minutten · Dir, an Ärem OVHcloud-RegistrarkontKäschteflichtege Service
Erneiert Ären Domain-Numm direkt a späert en géint onerlaabt Transferen
D'Registréierung vun Ärem Domain-Numm leeft an 24 Deeg of. Wann Är Registréierung ofleeft, ginn Är Websäit an Är Clients-E-Mailen direkt ofgeschalt, an een anere kéint Är Webadress fir ëmmer iwwerhuelen. D'Aktivéiere vum Transferschutz verhënnert, datt een Ären Domain-Numm klaut, och wann Äre Kont gehackt gëtt.
Wéi een et mécht
Mellt Iech am Dashboard vun Ärem OVHcloud-Kont un.
Iwwerpréift Är Bezuelmethod an erneiert den Domain-Numm bakery.example direkt fir op d'mannst ee Joer, an aktivéiert duerno déi automatesch Erneierung.
Aktivéiert an den Domain-Astellunge fir bakery.example den Registrar-Transferschutz (och Transferspär genannt), fir onerlaabt Transferen ze verhënneren.
Aktivéiert den Zwee-Schrëtt-Login an Ärem OVHcloud-Kont ënner Äre Profil-Sécherheetsastellungen, fir datt kee just mat engem Passwuert op Ären Domain zougräife kann.
Iwwerpréift, ob et geklappt huet: Iwwerpréift Ären OVHcloud-Dashboard fir ze bestätegen, datt den Oflafdatum vum Domain ëm op d'mannst ee Joer no vir verluecht gouf, déi automatesch Erneierung als aktiv ugewise gëtt an de Status vum Transferschutz aktivéiert ass.
Elo maachenE puer Stonnen · Dir a Pixel AgencyNormalerweis vun Ärem Fournisseur abegraff
Aktualiséiert WordPress a Pluginnen an aktivéiert den Zwee-Schrëtt-Login fir all Manager
Är Websäit leeft op enger veralteter Versioun vu WordPress a mat méi ale Komponenten, déi ëffentlech bekannt Sécherheetslücken hunn. Ouni en Zwee-Schrëtt-Login op de Verwaltkonten kënnen Ugräifer, déi e Passwuert errieden oder klauen, sech umellen, Är Säite manipuléieren, op Bestellungsdonnéeë vu Cliente zougräifen oder déi komplett Kontroll iwwer Äre Site iwwerhuelen.
Wéi een et mécht
Mellt Iech an Ärem WordPress-Dashboard un, gitt op Benotzer an iwwerpréift all Administratorkonten; läscht dobäi all Konten, déi Dir net méi erkennt oder net méi braucht.
Frot Pixel Agency, e renomméierten Zwee-Faktor-Authentifizéierungs-Plugin z'installéieren an en Zwee-Schrëtt-Login fir all Administrator- a Managerkont ze verlaangen.
Aktivéiert den Zwee-Schrëtt-Login op Ärem eegene Google Workspace-E-Mail-Kont iwwer d'Sécherheetsastellunge vun Ärem Google-Kont, a gitt sécher, datt Är Telefonsnummer fir d'Kontowiederhierstellung an Är Backup-Coden aktuell sinn.
Uweises Pixel Agency un, e komplette Backup vun der Websäit an der Datebank ze maachen, duerno WordPress op déi neist Versioun (7.1.3 oder méi héich) ze aktualiséieren an all installéiert Pluginen ze aktualiséieren, dorënner WooCommerce, Contact Form 7 a Cookie Notice.
Frot Pixel Agency, automatesch Sécherheets- an Ënnerhaltsaktualiséierunge fir WordPress an all aktiv Pluginen ze aktivéieren, an all desaktivéiert Theemen oder Pluginen ze läschen, déi net méi gebraucht ginn.
Iwwerpréift, ob et geklappt huet: Mellt Iech zesumme mat Pixel Agency am WordPress-Dashboard un, fir ze kontrolléieren, ob d'Aktualiséierungssäit mellt, datt WordPress aktuell ass, all Pluginen um neiste Stand sinn, d'Zwee-Schrëtt-Verifizéierung beim Aloggen ofgefrot gëtt an d'Online-Bestellsäit uerdentlech funktionéiert.
Geschwënn maachenE puer Stonnen · Pixel Agency an Ären DNS-VerwalterNormalerweis vun Ärem Fournisseur abegraff
Autoriséiert E-Mail-Senderen verëffentlechen an den E-Mail-Anti-Spoofing-Schutz stäerken
Ärer Betribs-Webadress feelt de Moment eng Reegel fir autoriséiert Senderen, wat et fir Bedréier einfach mécht, gefälscht E-Mailen ze schécken an sech als Är Bäckerei auszeginn. Clienten oder Liwweranten, déi dës Noriichte kréien, kënnen zu betrügresche Bezuelungen oder dem Deele vu vertraulechen Informatioune verleet ginn, wärend Är richteg E-Mailen d'Risiko lafen, als Spam markéiert ze ginn.
Wéi een et mécht
Frot Pixel Agency oder deejéinegen, deen Är Cloudflare-Domain-Astellunge verwalt, eng Reegel fir autoriséiert Senderen derbäizesetzen, déi Är Google Workspace-E-Mail, Äre Mailchimp-Newsletter an all Notifikatiouns-Mailere vun der Websäit ofdeckt.
Frot si, eng iwwerwaacht Mailbox-Adress bei Är E-Mail-Anti-Spoofing-Reegel derbäizesetzen, fir datt Dir Rapporten iwwer all net autoriséiert Sendere kritt, déi sech als Är Bäckerei ausginn.
Iwwerpréift am Google Admin ënner Apps, Google Workspace, Gmail, Authenticate email, ob d'E-Mail-Ënnerschreiwe fir Är Domain aktiv ass.
Nodeems Dir d'Rapporte fir zwou Wochen iwwerwaacht hutt, fir sécherzestellen, datt all legitim Mailen uerdentlech ukommen, frot Äre Provider, den empfaangende Mailboxen d'Uweisung ze ginn, net autoriséiert Noriichten an d'Quarantän ze setzen oder ofzeweisen.
DNS TXT record at bakery.example:
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
DNS TXT record at _dmarc.bakery.example:
v=DMARC1; p=none; rua=mailto:goldencrust.bakery@gmail.com
Iwwerpréift, ob et geklappt huet: Schéckt eng Test-E-Mail vun Ärem Bäckerei-E-Mail-Konto un eng extern Mailbox a kuckt an den Noriichtendetailer no, fir ze kontrolléieren, ob d'Sender-Authentifizéierung klappt. Féiert duerno de passive Kontrollcheck nach eng Kéier aus, fir ze bestätegen, datt d'Reegel fir autoriséiert Senderen unerkannt gëtt.
Nächste Schrëtt, wann dëst funktionéiert: Soubal d'aggregéiert Rapporte bestätegen, datt all legitim E-Mailen d'Authentifizéierung ouni Problemer bestinn, aktualiséiert d'Richtlinn vu p=none op p=quarantine, a schliisslech op p=reject.
Geschwënn maachenE puer Stonnen · Pixel Agency an Ärem Cloudflare-DashboardNormalerweis vun Ärem Fournisseur abegraff
Verschlësselt Verbindungen erzwéngen a Browser-Schutz-Headeren konfiguréieren
D'Erzwénge vu verschlësselte Verbindunge garantéiert, datt Visiteuren a Mataarbechter sech ëmmer automatesch mat Ärer sécherer Websäit verbannen, wat Passwierder an d'Detailer vu Bestellungen dogéint schützt, op ëffentlechen Netzwierker ofgefaang ze ginn. D'Asetze vun Uzeigebeschränkunge verhënnert, datt extern Sitten Är Buttekssäiten heemlech abannen, fir Clienten zu versehentleche Klicks ze verféieren.
Wéi een et mécht
Frot Pixel Agency, sech an Ärem Cloudflare-Dashboard fir d'Domain unzemellen an op SSL/TLS, Edge Certificates ze goen.
Bestätegt, datt Always Use HTTPS ageschalt ass an Minimum TLS Version op 1.2 oder méi héich gesat ass.
Erstellt a Cloudflare ënner Rules, Transform Rules eng Response Header Modification-Reegel, fir Strict-Transport-Security fir en éischten Test op max-age=300 ze setzen, éier Dir et op ee Joer erhéicht.
Setzt am selwechten Transform Rules-Menü Reegele fir X-Frame-Options: SAMEORIGIN a Permissions-Policy: camera=(), microphone=(), geolocation=() derbäi.
Loosst Pixel Agency WordPress an de Webserver esou konfiguréieren, datt all Websäite-Cookien, absënns Login- a Sessiouns-Cookien, de secure-Attribut enthalen.
Cloudflare Response Header Transform Rule:
Match: (http.host eq "bakery.example" and ssl)
Set static: Strict-Transport-Security = max-age=300
Set static: X-Frame-Options = SAMEORIGIN
Set static: Permissions-Policy = camera=(), microphone=(), geolocation=()
Iwwerpréift, ob et geklappt huet: Besichtegt Är Websäit iwwer Standard-Webadressen, fir déi automatesch Verschlësselung ze préiwen, kontrolléiert d'Headeren vun de Säiten-Äntwerten, fir ze confirméieren, datt d'Sécherheetsastellunge präsent sinn, an test de Clients-Login souwéi de Bezuelvirgang, fir e reiwungslouse Betrib sécherzestellen.
Nächste Schrëtt, wann dëst funktionéiert: Nodeems Dir e verlässleche Betrib vum Site ouni Warnunge wéinst Mixed Content confirméiert hutt, erhéicht de Strict-Transport-Security max-age op 31536000.
Méi spéitE puer Minutten · Pixel AgencyNormalerweis vun Ärem Fournisseur abegraff
Verëffentlecht eng Sécherheetskontakt-Datei fir verantwortungsvoll Sécherheetsmeldungen
Eng speziell Sécherheetskontakt-Datei hëlleft onofhängege Fuerscher, Iech vertraulech ze informéieren, wa si e Problem op Ärer Websäit fannen. Ouni dës Datei kéinte wichteg Sécherheetswarnunge verluer goen oder un Iwwerwaachungskanäl geschéckt ginn, déi net kontrolléiert ginn.
Wéi een et mécht
Frot Pixel Agency, eng Textdatei ënner /.well-known/security.txt op Ärer Websäit unzeleeën.
Gitt hinnen eng E-Mail-Adress un, déi Dir reegelméisseg op Sécherheetsnotifikatiounen iwwerwaacht.
Loosst si en zukünftegen Erneierungsdatum fir d'Datei mat ophuelen a préift, ob se sech an engem Browser luede léisst.
Iwwerpréift, ob et geklappt huet: Öffent https://bakery.example/.well-known/security.txt an Ärem Browser a confirméiert, datt Är designéiert Kontakt-E-Mail an de Verfallsdatum als einfachen Text ugewise ginn.
Nächste Schrëtt, wann dëst funktionéiert: Setzt en järlechen Kalenner-Rappel, fir d'Sécherheetskontakt-Datei virum ugiwwene Verfallsdatum ze préiwen an ze erneieren.
Schéckt dëst un déi Persoun, déi Är Websäit verwalt
Léif Ekipp vu Pixel Agency,
Mir hunn viru Kuerzem e Sécherheetscheck vun eiser Websäit bakery.example duerchgefouert an e puer wichteg Ënnerhalts- a Sécherheetsaufgaben identifizéiert, déi Opmierksamkeet erfuerderen. Kënnt Dir eis wgl. hëllefen, déi folgend Punkten no Prioritéit unzegoen?
1. Aktualiséierunge vu WordPress a Pluginen
Maacht wgl. e komplette Backup vun eiser Websäit a Datebank, an aktualiséiert dann WordPress op déi neist Versioun (7.1.3 oder méi héich). Aktualiséiert wgl. och all installéiert Pluginen, dorënner WooCommerce, Contact Form 7 a Cookie Notice, a läscht all net genotzt Pluginen oder Themeuren. Mir géifen och gären automatesch kleng Sécherheetsaktualiséierungen aktivéieren.
2. Zwee-Schrëtt-Umeldung fir d'Administratioun
Hëlleft eis wgl., eng Zwee-Schrëtt-Verifizéierung fir all WordPress-Administrateurs- a Managerkonten anzeriichten, fir sécherzestellen, datt eise Verwaltungsportal géint d'Rode vu Passwierder geschützt ass.
3. E-Mail-Authentifizéierungsrecords (SPF an DMARC)
Mir benotze Google Workspace fir eis E-Mailen a Mailchimp fir Newsletteren. Verëffentlecht wgl. an eisem Cloudflare-DNS de folgenden SPF-TXT-Record:
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
Verëffentlecht doriwwer eraus wgl. eisen DMARC-Iwwerwaachungsrecord ënner _dmarc.bakery.example:
v=DMARC1; p=none; rua=mailto:goldencrust.bakery@gmail.com
Sobald mir d'Rapporte fir e puer Wochen iwwerwaacht hunn, fir eng propper Zoustellung ze bestätegen, plange mir, d'Richtlinn op Quarantine an duerno op Reject ëmzestellen.
4. Browser-Sécherheetsheader a Cloudflare
Füügt wgl. ënner eise Cloudflare Transform Rules fir Äntwert-Header folgend Punkten derbäi:
- Strict-Transport-Security: max-age=300 (fir HSTS unzefänken ze testen, ier et op ee Joer erhéicht gëtt)
- X-Frame-Options: SAMEORIGIN
- Permissions-Policy: camera=(), microphone=(), geolocation=()
Bestätegt wgl. och, datt all Cookië vun der Websäit, besonnesch Sessiouns- a Login-Cookien, mam Secure-Fändel verschéckt ginn.
5. Sécherheetskontakt-Fichier
Erstellt wgl. e Plain-Text-Fichier ënner /.well-known/security.txt mat:
Contact: mailto:goldencrust.bakery@gmail.com
Expires: 2027-12-31T23:59:59Z
Canonical: https://bakery.example/.well-known/security.txt
Sot eis wgl. Bescheed, soubal dës Aktualiséierunge prett si fir ze testen, oder wann Dir weider Detailer vun eiser Säit braucht.
Villmools Merci fir Är Ënnerstëtzung,
[Name]
Méi aus Ärer Analys: Risiken, wat dem Agent opgefall ass, Fahrplang a Glossar
Wat kéint schifgoen
Wahrscheinlech
Fälschlech E-Mailen, déi sech als Är Bäckerei ausginn
Well Ärem Domain-Numm eng verëffentlecht Lëscht vun approuvéierten E-Mail-Sender feelt an en den empfaangenden Mailserveren net ugëtt, Betrüger ze blockéieren, kann en Ugräifer iwwerall op der Welt E-Mailen verschécken, déi iwwerzeegend ausgesinn, wéi wa se direkt vun Ärer Bäckerei kéimen. Den Ugräifer kéint Catering-Clienten oder lokal Grousshandelspartner uschreiwen a behaapten, datt Är Bankverbindung geännert huet, a froen, datt ausstoend Zuelungen op e betrügresche Kont iwwerwise ginn. Well d'Senderadress identesch mat Ärer richteger Adress ausgesäit, hu Empfänger wéineg Grond, e Bedruch ze vermudden, bis d'Bäckerei feststellt, datt d'Geld ni ukomm ass.
Wahrscheinlech
Onerlaabt Iwwernahm vun der Websäit duerch veralte Software
Automatiséiert Scanner ënnersichen dauernd Websäite vu klenge Betriber op bekannt Schwachplazen an eelere Softwarekomponenten. Well Är Websäit op enger eelerer Versioun vun der Publikatiounsplattform zesumme mat veraltene Skripte leeft, kann en Andréngler automatiséiert Tools notzen, fir dës bekannt Feeler auszenotzen. Eemol dran, kéinte si d'administrativ Kontroll iwwer d'Websäit iwwerhuelen, Bestellformulare manipuléieren, Bezuelufroe vu Cliente weiderleeden oder schiedlech Linken queesch duerch Äre Bäckereiskatalog placéieren.
Wat den Agent op Ärem Site bemierkt huet
D'Websäite-Maintenance gëtt vu Pixel Agency op OVHcloud-Hosting geréiertFestgestallt
De Mentions légales no huet Pixel Agency d'Websäit fir Golden Crust Bakery SARL erstallt a bedreift se, gehost op OVHcloud zu Roubaix a Frankräich. Dëst bitt en direkten Uspriechpartner, fir Aktualiséierungen, Zwee-Schrëtt-Verifizéierung a Sécherheetsastellungen ze koordinéieren.
Website built and maintained by Pixel Agency. Hosting: OVHcloud, Roubaix, France.https://bakery.example/legal-notice/
Den ëffentleche Clientskontakt benotzt eng gratis perséinlech Gmail-AdressFestgestallt
All ëffentlech Säite leede Clientsufroen op eng perséinlech Gmail-Adress (goldencrust.bakery@gmail.com) weider, obwuel de Betrib Google Workspace fir säin eegenen Domain konfiguréiert huet. D'Benotzung vun enger E-Mail mat eegenem Domain wéi contact@bakery.example géif d'Vertraue vun de Clienten stäerken an d'Sécherheet ënner de Kontrollen vum Geschäftskonto zentraliséieren.
De Clientskontaktformular akzeptéiert ëffentlech DateiuploadsFestgestallt
Den Ufroformular op der Kontaktsäit invitéiert Visiteuren, Inspiratiounsfotoen unzehänken, an enthält en aktiivt Dateiupload-Feld, dat vu Contact Form 7 bedriwwe gëtt. D'Erlabe vun ëffentlechen Dateiuploads bréngt potenziell Risike mat sech, wann de Webserver déi erlaabt Dateitypen an Dateigréissten net strikt limitéiert.
Online-Shop huet aktiv Clientskonten an eng Bestell-IwwersiichtFestgestallt
D'Websäit benotzt WooCommerce Versioun 8.9.1 mat dedizéierte Säite fir Clientskonten a Bestellungen. Drëttubidder-Analysen vu Google Tag Manager ginn op der Login-Säit vum Kont gelueden, ier de Benotzer seng Zoustëmmung ginn huet; dëst sollt mat Ärem Dateschutzberoder iwwerpréift ginn.
WooCommerce 8.9.1 active with customer login form posting credentialshttps://bakery.example/my-account/
Wat scho gutt ass
E gëltegt Sécherheetszertifikat verschlësselt de Verkéier vun de Visiteuren op der Websäit a bleift fir bal dräi Méint gëlteg.
Visiteuren, déi eng onverschlësselt Webadress aginn, ginn automatesch op déi sécher Versioun vun Ärem Site weidergeleet.
De Webserver schützt Visiteure virun enger béiswëlleger Verwiesselung vum Dateityp beim Uweise vum Inhalt vum Site.
Servicer fir Domain-Reputatioun weisen, datt d'Websäit vu Google net als onsécher oder geféierlech aklasséiert ass.
Wierder, déi an dësem Rapport benotzt ginn
SPF
Sender Policy Framework, eng ëffentlech Verzeechnisastellung, déi oplëscht, wéi eng Mail-Déngschter berechtegt sinn, E-Mailen am Numm vun Ärem Domainnumm ze verschécken.
DMARC
Domain-based Message Authentication, Reporting, and Conformance, eng E-Mail-Sécherheetsreegel, déi empfaangende Mailboxe seet, wéi se mat Noriichten ëmgoe sollen, déi d'Authentifizéierungsprüfungen net bestinn.
HSTS
HTTP Strict Transport Security, eng Webserver-Astellung, déi Browser uweist, sech ëmmer iwwer eng verschlësselt Verbindung mat Ärer Websäit ze verbannen.
Zwee-Faktor-Authentifizéierung
Eng Sécherheetsmethod, déi zwou getrennt Forme vun Identifikatioun erfuerdert, wéi e Passwuert an en temporäre Code um Handy, fir Är Identitéit beim Login ze verifizéieren.
DNS
Domain Name System, den Internet-Verzeechnisdéngscht, deen Domainnimm an d'Serveradresse共 ëmwandelt, déi néideg sinn, fir E-Mailen zouzestellen a Websäiten ze lueden.
Registrar-Spär
Eng Sécherheetsschutzastellung bei Ärem Domain-Registrar, déi onerlaabt Transfere vun Ärem Webdomain un en aneren Ubidder verhënnert.
Dës Iwwerpréiwung baséiert op engem passive Check vun ëffentlechen DNS-Records, Ärer Startsäit an e puer ëffentleche Säiten, dorënner Äre Clientskonto-, Bestellungs-, Kontakt- a juristesch Informatiounssäiten. Als net-invasiv Iwwerpréiwung goufe keng privat administrativ Beräicher getest, keng Versich ënnerholl fir sech anzeloggen oder Bestellungen ofzeschléissen, keng Dateien an Är Formulairen eropgelueden an och keng intern Server- a Datebankkonfiguratiounen evaluéiert. Si kann weder déi privat Astellunge vun Ärem E-Mail-Ubidder oder Webhoster inspizéieren, nach garantéieren, datt all potenziell Software-Schwaachstell entdeckt gouf. Geschriwwe vun engem KI-Agent an enger isoléierter Sandbox op Basis vun de Beweiser aus dësem Rapport an de Säiten, déi en exploréiert huet; d'Nott an d'Iwwerpréifunge weider ënne stamen aus deterministeschen Tester.
Dëst Premium-Beispill gouf op Englesch geschriwwen. Är eege Premium-Analys gëtt an Ärer Sprooch geschriwwen.
AI-Aktiounsplang
Renew your domain urgently, update WordPress, and protect your bakery against email spoofing.
Premium · Gemini 4 ArgonUgepasst un Är Äntwert „Ech verwalten mäi Site an engem Admin-Panel“
Erhéichte Risiko
Golden Crust Bakery (bakery.example) currently earns a C grade (score 65) with an elevated risk level. Your foundation has solid pieces in place: a valid TLSv1.3 HTTPS certificate, automatic redirection from HTTP to HTTPS, x-content-type-options: nosniff protection, CAA records restricting certificate issuance to letsencrypt.org, and Google Workspace MX and candidate DKIM records. However, three urgent issues put your business at immediate risk. First, your domain registration at OVH SAS is due for renewal on October 25, 2026, and has no transfer lock enabled, meaning your website and email could stop working or be transferred away if not renewed and locked today. Second, your website runs WordPress 6.8 (while 7.1.3 is available) and loads an outdated jQuery 1.12.4 library with known security flaws, while your public user sitemap and author page (/author/marie/) expose the administrator username marie. Third, your domain publishes no SPF record and its DMARC policy (p=none) does not block fake emails or send reports to any mailbox, allowing scammers to spoof @bakery.example emails to your catering and online-order customers. Working with Pixel Agency (listed on your legal notice as your website maintainer) and using your OVH, Cloudflare, and Google Workspace dashboards, you can resolve the most urgent domain, WordPress, and email spoofing risks this week and then add browser security headers and cookie protections over the coming month.
Säiten, déi den Agent op Ärem Site exploréiert huet: 14
Ufroe goufen als FmindCyber identifizéiert, am Read-only-Modus, limitéiert op Ären Domain an op Säiten, déi dovunner verlinkt sinn: kee Login, kee Formularausfëllen a keng errode Padde.
Ären Aktiounsplang
Elo maachenE puer Minutten · Business owner (in your OVH SAS registrar dashboard)Gratis
Renew your domain name immediately and turn on the registrar transfer lock
Your domain registration is due for renewal on October 25, 2026, and has no transfer lock enabled. If it expires, both your website and email stop working immediately and someone else can buy your domain name. Without a transfer lock, anyone who gets into your registrar account can move your domain to another provider.
Wéi een et mécht
Sign in to your OVH SAS control panel and open the Domain Names section for bakery.example.
Renew the domain immediately for at least one year, turn on automatic renewal, and confirm that your saved payment method is valid.
In the domain general information tab, enable the domain transfer lock (protection against transfer) and turn on two-step sign-in for your OVH account.
Iwwerpréift, ob et geklappt huet: Check your OVH domain panel to confirm the new expiration date is in 2027 or later and that transfer protection shows as active.
Nächste Schrëtt, wann dëst funktionéiert: Keep automatic renewal enabled and verify your saved payment card in OVH each year at least 30 days before the renewal date.
Elo maachenE puer Stonnen · Pixel Agency (your web developer) and business owner in WordPress AdminNormalerweis vun Ärem Fournisseur abegraff
Update WordPress, plugins, and jQuery, and protect the administrator account
Your website runs WordPress 6.8 (while 7.1.3 is available) and loads jQuery 1.12.4, both of which have publicly known security flaws that automated bots actively target. In addition, your user sitemap and author page reveal the administrator username marie, making password-guessing attacks against your sign-in page much easier.
Wéi een et mécht
Take a full backup of your website files and database through your OVHcloud hosting panel or backup plugin before making changes.
In WordPress, go to Dashboard -> Updates, update WordPress from 6.8 to 7.1.3, update your theme (astra4.6.2) and plugins (woocommerce8.9.1, contact-form-75.9.3, cookie-notice2.4.16), and click Enable auto-updates for all plugins and themes.
Ask Pixel Agency to replace the external https://code.jquery.com/jquery-1.12.4.min.js script with the current version bundled with WordPress, and to hide public version numbers (WordPress 6.8 and ?ver= query strings).
Enable two-step sign-in for the marie administrator account and any staff accounts, change the public display name so it differs from the login username, and restrict public user sitemaps (/wp-sitemap-users-1.xml) and file upload types on /contact/.
Iwwerpréift, ob et geklappt huet: Check Dashboard -> Updates in WordPress to confirm version 7.1.3 and all plugin updates are installed, confirm jquery-1.12.4.min.js and the WordPress 6.8 generator tag no longer appear on your homepage, and test signing in with two-step verification.
Nächste Schrëtt, wann dëst funktionéiert: Review installed plugins quarterly with Pixel Agency and remove any plugins or themes that are no longer used.
Elo maachenE puer Stonnen · Business owner (in Google Workspace Admin) and DNS manager (in Cloudflare)Gratis
Publish an SPF record, confirm DKIM signing, and set up DMARC reporting
Your domain receives email through Google Workspace (smtp.google.com) and publishes a google._domainkey record, but has no SPF record at all and its DMARC policy (v=DMARC1; p=none) neither blocks fake emails nor sends reports to a mailbox. Criminals can spoof @bakery.example to send fake catering invoices to your customers, and genuine emails may land in spam.
Wéi een et mécht
List every service that sends email using @bakery.example, including Google Workspace, your website forms (woocommerce and contact-form-7), and Mailchimp if it sends from your domain.
In Cloudflare, go to DNS -> Records and publish a single TXT record on bakery.example with v=spf1 include:_spf.google.com ~all (adding any other confirmed sending services to that same record).
In the Google Workspace Admin console, go to Apps -> Google Workspace -> Gmail -> Authenticate email, select bakery.example, and confirm that DKIM signing is active for your google._domainkey record.
In Cloudflare (DNS -> Records), update the _dmarc.bakery.exampleTXT record to add a monitored reporting mailbox (rua=mailto:postmaster@bakery.example) while keeping p=none during initial monitoring, and replace goldencrust.bakery@gmail.com on your website footer with an @bakery.example address once ready.
Iwwerpréift, ob et geklappt huet: Send a test email from a @bakery.example Google Workspace mailbox to an external email address and check the received message headers to confirm spf=pass, dkim=pass, and dmarc=pass.
Nächste Schrëtt, wann dëst funktionéiert: After two to four weeks of clean DMARC reports showing that all legitimate emails pass, update _dmarc.bakery.example from p=none to p=quarantine, and later to p=reject.
Geschwënn maachenE puer Stonnen · Pixel Agency (your web developer)Normalerweis vun Ärem Fournisseur abegraff
Add Secure and HttpOnly cookie protections and fix unencrypted image links
Cookies set on your homepage (wp_lang) and sign-in page (wordpress_test_cookie) lack the Secure flag, allowing them to travel over unencrypted connections, and session cookies without HttpOnly can be stolen by malicious scripts to hijack accounts. In addition, your homepage loads its logo (http://bakery.example/wp-content/uploads/2019/03/logo.png) over unencrypted HTTP.
Wéi een et mécht
In WordPress, go to Settings -> General and confirm both WordPress Address (URL) and Site Address (URL) use https://, then update http://bakery.example/wp-content/uploads/2019/03/logo.png and any other http:// media links to https://.
Ask Pixel Agency to review the cookies set across the site (wp_lang on the homepage and wordpress_test_cookie on /my-account/) and ensure every cookie sets the Secure attribute and all sign-in or session cookies also set HttpOnly.
While reviewing /my-account/, check the WooCommerce endpoint settings (WooCommerce -> Settings -> Advanced) so customers have a working password reset flow.
Iwwerpréift, ob et geklappt huet: Open https://bakery.example/ and https://bakery.example/my-account/ in a browser, check the developer tools cookie list to confirm Secure (and HttpOnly for session cookies) are enabled, and verify no http:// mixed content warnings appear.
Nächste Schrëtt, wann dëst funktionéiert: Whenever a new plugin is installed, check browser storage tools to ensure any new session cookies include Secure and HttpOnly.
Geschwënn maachenE puer Minutten · Pixel Agency or business owner (in Cloudflare dashboard)Gratis
Enable HSTS, clickjacking protection, and Permissions-Policy headers in Cloudflare
Without Strict-Transport-Security (HSTS), visitors on public Wi-Fi can have their initial connection intercepted before redirecting to HTTPS. Without X-Frame-Options and Permissions-Policy, other websites can embed your pages in hidden frames to trick customers into clicking buttons (clickjacking), and scripts could request access to camera, microphone, or location features.
Wéi een et mécht
In the Cloudflare dashboard for bakery.example, check SSL/TLS -> Edge Certificates to confirm Always Use HTTPS is enabled and Minimum TLS Version is set to at least TLS 1.2.
Go to Rules -> Overview and create a Response Header Transform Rule matching HTTPS requests for http.host eq "bakery.example" and ssl.
Add three Set static header actions: Strict-Transport-Security with value max-age=300 (a five-minute initial trial), X-Frame-Options with value SAMEORIGIN, and Permissions-Policy with value camera=(), microphone=(), geolocation=().
Match: (http.host eq "bakery.example" and ssl)
Set static: Strict-Transport-Security = max-age=300
Set static: X-Frame-Options = SAMEORIGIN
Set static: Permissions-Policy = camera=(), microphone=(), geolocation=()
Iwwerpréift, ob et geklappt huet: Load https://bakery.example/ and verify in browser developer tools (Network tab) that Strict-Transport-Security, X-Frame-Options, and Permissions-Policy appear in the response headers and that all pages and the booking frame load normally.
Nächste Schrëtt, wann dëst funktionéiert: Once you confirm all pages and subdomains work over HTTPS without errors, increase Strict-Transport-Security step by step to max-age=15768000 (six months) and then max-age=31536000 (one year).
Geschwënn maachenE puer Stonnen · Pixel Agency (your web developer) in CloudflareNormalerweis vun Ärem Fournisseur abegraff
Deploy a Content Security Policy starting in report-only mode
Your pages load third-party scripts and frames without a Content-Security-Policy header. If a vulnerable plugin or compromised script injects malicious code into your order or sign-in pages, browsers currently have no rule stopping that code from running and stealing customer information.
Wéi een et mécht
Ask Pixel Agency to list every external script, font, style, form action, and frame origin used across your site, including www.googletagmanager.com, booking.example.net, and bakery.us21.list-manage.com.
In Cloudflare (Rules -> Overview), add a Response Header Transform Rule setting Content-Security-Policy-Report-Only first, so browsers report policy violations without blocking anything on the live site.
Test every customer journey—signing in at /my-account/, ordering pick-up items at /order/, sending a message with an image at /contact/, and loading the booking widget on the homepage—before switching to enforcement.
Iwwerpréift, ob et geklappt huet: Open your homepage, /my-account/, /order/, and /contact/ in a browser, confirm Content-Security-Policy-Report-Only is present in the response headers, and check the browser console to ensure legitimate features work cleanly.
Nächste Schrëtt, wann dëst funktionéiert: After testing all key pages in report-only mode and resolving any legitimate warnings, change the header name from Content-Security-Policy-Report-Only to Content-Security-Policy to enforce the protection.
Méi spéitE puer Minutten · Pixel Agency or website managerGratis
Publish a security.txt contact file for security researchers
No /.well-known/security.txt file is currently available on your website. If a security researcher or partner finds a problem on your site, they have no standard way to report it directly to your team.
Wéi een et mécht
Set up a monitored email address or alias on your domain (such as security@bakery.example) for receiving security reports.
Ask Pixel Agency to publish a UTF-8 plain-text file at /.well-known/security.txt containing Contact:, Expires: (in RFC 3339 format), and Canonical: lines.
Iwwerpréift, ob et geklappt huet: Open https://bakery.example/.well-known/security.txt in a browser and confirm it displays the plain-text contact file with a future expiration date.
Nächste Schrëtt, wann dëst funktionéiert: Set a yearly calendar reminder to update the Expires: date before it lapses.
Méi spéitE puer Minutten · DNS manager (in Cloudflare) and registrar manager (in OVH SAS)Gratis
Inspect and confirm end-to-end DNSSEC validation between Cloudflare and OVH SAS
Public DNS shows a published DS record for bakery.example, which helps prevent attackers from redirecting visitors or email to fake servers, but the passive check does not verify whether the cryptographic chain of trust is valid from end to end.
Wéi een et mécht
Note that this item is unassessed rather than a confirmed defect; inspect the current setup before changing anything, because an incorrect change can make your domain unreachable.
In Cloudflare (DNS -> Settings -> DNSSEC) and your OVH SAS domain control panel, check that the active zone signing key matches the published parent DS record (key tag 2371, algorithm 13).
Ask Pixel Agency or your DNS administrator to run an independent end-to-end DNSSEC chain validation and document a rollback procedure before making any future DNS changes.
Iwwerpréift, ob et geklappt huet: Confirm in Cloudflare's DNSSEC settings that DNSSEC shows as active and that your DNS administrator confirms end-to-end signature validation.
Nächste Schrëtt, wann dëst funktionéiert: Before any future DNS migration or registrar change, coordinate disabling and re-enabling DNSSEC carefully so your domain stays reachable.
Schéckt dëst un déi Persoun, déi Är Websäit verwalt
Hello Pixel Agency team,
We recently completed a security review of https://bakery.example/ and would like your help applying the following updates, ordered by priority:
1. Domain renewal and transfer lock (urgent - due October 25, 2026)
- Please confirm with us that bakery.example is renewed in the OVH SAS registrar panel, automatic renewal is enabled, and the registrar transfer lock is turned on.
2. WordPress core, plugins, jQuery, and administrator security (urgent)
- Back up the site on OVHcloud, then update WordPress from 6.8 to 7.1.3 and update the astra (4.6.2) theme and all plugins (woocommerce 8.9.1, contact-form-7 5.9.3, cookie-notice 2.4.16), enabling automatic updates.
- Replace the external https://code.jquery.com/jquery-1.12.4.min.js script with the current version bundled with WordPress.
- Remove the public WordPress 6.8 generator tag and ?ver= asset version strings, disable the public users sitemap (/wp-sitemap-users-1.xml), change the public display name for the marie administrator account, and enable two-step sign-in for all administrators.
- Verify that the file upload field on /contact/ strictly restricts allowed image types and file sizes.
3. Email authentication for @bakery.example (high priority)
- Confirm all services that send email from @bakery.example (Google Workspace, WooCommerce/Contact Form 7, and Mailchimp if applicable) and publish a single SPF TXT record on bakery.example, starting from v=spf1 include:_spf.google.com ~all.
- Confirm active DKIM signing for google._domainkey.bakery.example in Google Workspace Admin (Apps -> Google Workspace -> Gmail -> Authenticate email).
- Update _dmarc.bakery.example to include a monitored report address (v=DMARC1; p=none; rua=mailto:postmaster@bakery.example) so we can review reports and move to p=quarantine and p=reject.
4. HTTPS mixed content, cookies, and password reset link (soon)
- Update the unencrypted logo URL (http://bakery.example/wp-content/uploads/2019/03/logo.png) to https:// and verify both URLs under Settings -> General use https://.
- Ensure all cookies (including wp_lang and wordpress_test_cookie) use the Secure attribute and that sign-in/session cookies also use HttpOnly.
- Check the /my-account/lost-password/ endpoint in WooCommerce so customer password resets work properly, and check that Google Tag Manager (G-EXAMPLE) waits for cookie consent.
5. Cloudflare security headers, security.txt, and DNSSEC check (soon / later)
- In Cloudflare (Rules -> Overview), add a Response Header Transform Rule for bakery.example over HTTPS setting Strict-Transport-Security: max-age=300 (to be increased after testing), X-Frame-Options: SAMEORIGIN, and Permissions-Policy: camera=(), microphone=(), geolocation=().
- Prepare and test a Content-Security-Policy-Report-Only header covering self, https://www.googletagmanager.com, https://booking.example.net, and https://bakery.us21.list-manage.com before enforcing it.
- Publish https://bakery.example/.well-known/security.txt as plain text with a monitored contact address and future expiration date, and confirm that the DNSSEC DS record (key tag 2371) at OVH SAS validates end to end with Cloudflare.
Please let me know when Steps 1 through 3 are complete and share the schedule for the remaining items.
Best regards,
[Name]
Méi aus Ärer Analys: Risiken, wat dem Agent opgefall ass, Fahrplang a Glossar
Wat kéint schifgoen
Wahrscheinlech
Automated website takeover via outdated WordPress software or exposed admin username
Automated bots constantly scan websites for WordPress 6.8 and jQuery 1.12.4, and read /wp-sitemap-users-1.xml and /author/marie/ to discover that your administrator username is marie. An attacker either exploits a known flaw in the outdated software or runs automated password-guessing attacks against /my-account/ for user marie, gaining control of your store to deface pages or read customer pick-up orders.
Wahrscheinlech
Spoofed catering invoices and payment requests sent in your bakery's name
Because bakery.example publishes no SPF record and its DMARC policy is p=none with no reporting address, a scammer sends emails appearing to come from orders@bakery.example to your wedding-cake or catering customers asking them to wire a deposit to a fraudulent bank account. Receiving mail providers have no rule telling them to block these fake messages, and customers may also be confused because the website footer shows a free @gmail.com address.
Méiglech
Injected script stealing customer login sessions or order details
An attacker uses the known flaw in jQuery 1.12.4 or a vulnerable plugin to inject a malicious script into /order/ or /my-account/. Because no Content-Security-Policy header restricts which scripts may run or where they can send data, the script runs in visitors' browsers, reading unprotected cookies or skimming customer names, phone numbers, and passwords as they are typed.
Onwahrscheinlech, awer méiglech
Interception of unencrypted requests or cookies on shared public Wi-Fi
A customer or staff member connects to café Wi-Fi and visits bakery.example. Before the browser redirects to HTTPS—or when it requests the unencrypted http:// logo image or sends cookies (wp_lang, wordpress_test_cookie) that lack the Secure flag—someone on the same wireless network intercepts the initial connection or reads the unprotected cookies.
Wat den Agent op Ärem Site bemierkt huet
Administrator username exposed on author page and user sitemapFestgestallt
Your public user sitemap (/wp-sitemap-users-1.xml) and blog page (/blog/) link to /author/marie/, which publicly displays the administrator's username and role. Giving away the exact administrator login name makes automated password-guessing attacks against /my-account/ much easier.
Posts by Marie (administrator)https://bakery.example/author/marie/
Sign-in page sets an unprotected cookie and links to a missing password reset pageFestgestallt
The customer account page (/my-account/) serves a password login form (method="post") and sets a cookie named wordpress_test_cookie without the Secure or HttpOnly attributes. Its password reset link (/my-account/lost-password/) also points to a page we could not reach.
wordpress_test_cookie (secure: false, httponly: false) and form action https://bakery.example/my-account/ with password fieldhttps://bakery.example/my-account/
Contact form accepts file uploads via Contact Form 7Festgestallt
Your contact page (/contact/) invites customers to upload an inspiration photo using a file input field powered by the contact-form-7 plugin (version 5.9.3). File upload forms need strict checks on allowed image formats and file size so attackers cannot upload malicious scripts or fill up server storage.
Send us a message and your inspiration photo · form action https://bakery.example/contact/#wpcf7-f42-o1 with file fieldhttps://bakery.example/contact/
Google Analytics script loads alongside the cookie consent pluginFestgestallt
Every page loads Google Tag Manager (https://www.googletagmanager.com/gtag/js?id=G-EXAMPLE) immediately alongside the cookie-notice plugin (ver=2.4.16). Loading analytics scripts before a visitor accepts the cookie banner can raise privacy compliance questions that you should check with an advisor.
Public contact address uses a free Gmail account instead of your domainFestgestallt
Even though your domain has Google Workspace mail servers configured, every page lists a free Gmail address (goldencrust.bakery@gmail.com) as your public contact. Using a free webmail address makes it harder for customers to spot look-alike Gmail accounts created by scammers.
WordPress plugin versions and third-party booking and newsletter services identifiedFestgestallt
Your pages expose the exact versions of your theme (astra4.6.2) and plugins (woocommerce8.9.1, contact-form-75.9.3, cookie-notice2.4.16), which can be updated in WordPress under Dashboard -> Updates. The site also embeds a booking frame from https://booking.example.net, sends newsletter sign-ups to https://bakery.us21.list-manage.com/subscribe/post, and posts online pick-up orders from /order/ to /checkout/.
External scripts loaded without integrity verification hashesFestgestallt
Every page loads two third-party scripts (https://code.jquery.com/jquery-1.12.4.min.js and https://www.googletagmanager.com/gtag/js?id=G-EXAMPLE) without subresource integrity checks. If an external script host were ever modified, browsers would run the altered script on your sign-in and ordering pages automatically.
2 external scripts loaded from https://code.jquery.com and https://www.googletagmanager.com without integrity attributeshttps://bakery.example/
Web agency and hosting provider identified on legal notice pageFestgestallt
Your legal notice page states that the site is built and maintained by Pixel Agency and hosted by OVHcloud in Roubaix, France. Knowing that Pixel Agency manages WordPress while Cloudflare and OVH handle DNS, hosting, and domain registration helps you assign each security fix to the right team.
Publisher: Golden Crust Bakery SARL. Website built and maintained by Pixel Agency. Hosting: OVHcloud, Roubaix, France.https://bakery.example/legal-notice/
Äre Fahrplang
Dës Woch
Renew bakery.example at OVH SAS before October 25, 2026, turn on automatic renewal, and enable the domain transfer lock.
Back up the site and update WordPress from 6.8 to 7.1.3, update all plugins and the astra theme, replace jQuery 1.12.4, and enable two-step sign-in for administrator marie.
Publish a single SPF record (v=spf1 include:_spf.google.com ~all), confirm active Google Workspace DKIM signing, and add a rua= reporting mailbox to _dmarc.bakery.example.
Dëse Mount
Fix the unencrypted http:// logo link on the homepage, add Secure and HttpOnly flags to cookies, and repair the /my-account/lost-password/ page in WooCommerce.
Add Strict-Transport-Security (max-age=300), X-Frame-Options (SAMEORIGIN), and Permissions-Policy via a Cloudflare Response Header Transform Rule.
Deploy a Content-Security-Policy-Report-Only header in Cloudflare and test sign-in, online ordering, contact uploads, and the booking widget.
Dëst Quartal
Review DMARC reports and step up _dmarc.bakery.example from p=none to p=quarantine and then p=reject, and replace goldencrust.bakery@gmail.com on the site with an @bakery.example address.
Switch Content-Security-Policy-Report-Only to an enforced Content-Security-Policy header and increase Strict-Transport-Security to max-age=31536000 (one year).
Publish /.well-known/security.txt and verify end-to-end DNSSEC chain validation between Cloudflare and OVH SAS.
Wat scho gutt ass
Your HTTPS security certificate is valid until December 29, 2026, and protects connections using modern TLSv1.3 encryption.
Visitors who type your web address without https:// are automatically redirected to the encrypted HTTPS website.
Your server sends the x-content-type-options: nosniff header so browsers do not misinterpret uploaded or served file types.
Public DNS includes CAA records limiting certificate issuance to letsencrypt.org, Google Workspace MX records, and a candidate DKIM key at google._domainkey.bakery.example.
Your website is not flagged as dangerous by Google Safe Browsing and uses safe default referrer behavior across linked pages.
Wierder, déi an dësem Rapport benotzt ginn
Content Security Policy (CSP)
An HTTP response header that tells browsers which scripts, frames, and connections are allowed to run on your pages, helping block injected malicious code.
DMARC
A DNS record that tells receiving email servers what to do with messages claiming to come from your domain that fail SPF or DKIM checks, and where to send summary reports.
DKIM
A digital signature added to outgoing emails by your mail provider (such as Google Workspace) so receivers can verify the message was genuinely sent by your domain.
DNSSEC
A system of digital signatures on your DNS records that prevents attackers from redirecting your domain name to a fake server.
HSTS
An HTTP header (Strict-Transport-Security) that instructs browsers to always connect to your website over encrypted HTTPS and never fall back to unencrypted HTTP.
Secure and HttpOnly cookie flags
Flags on browser cookies: Secure ensures the cookie is only sent over encrypted HTTPS, and HttpOnly blocks page scripts from reading session cookies.
SPF
A DNS TXT record listing every mail server and third-party service authorized to send email on behalf of your domain.
Transfer lock
A safety lock at your domain registrar (OVH SAS) that blocks your domain name from being moved to another registrar without your explicit approval.
This passive review examined public DNS records, HTTPS certificate settings, and publicly reachable pages on `bakery.example` (including your homepage, `/my-account/`, `/order/`, `/contact/`, `/privacy-policy/`, `/legal-notice/`, `/blog/`, `/robots.txt`, `/wp-sitemap.xml`, `/wp-sitemap-users-1.xml`, `/wp-sitemap-posts-page-1.xml`, and `/author/marie/`). Pages we could not reach (`/sitemap.xml`, `/my-account/lost-password/`, and `/.well-known/security.txt`) were not accessible. Because a passive check never signs in, submits forms, or tests for vulnerabilities, it cannot see inside your WordPress admin panel, Cloudflare or Google Workspace dashboards, server configuration, payment processing behind `/checkout/`, or whether DNSSEC signatures and DKIM email signing validate end to end. Geschriwwe vun engem KI-Agent an enger isoléierter Sandbox op Basis vun de Beweiser aus dësem Rapport an de Säiten, déi en exploréiert huet; d'Nott an d'Iwwerpréifunge weider ënne stamen aus deterministeschen Tester.
Assistent
Frot alles iwwer dëse Rapport
Beispillgespréich iwwer déi fiktiv Bäckerei. Ären eegene Rapport ëmfaasst den Assistent.
Ass meng Websäit gehackt ginn?
Dës Sécherheetsiwwerpréiwung kann Iech net soen, ob Är Websäit gehackt gouf. De Check war komplett passiv a kuckt nëmmen no ëffentlechen Astellungen, Ären Domain-Aschreiwungen an ëffentleche Websäiten, ouni Zougrëff op Äre privaten Hosting, Server oder WordPress-Admin-Beräich ze hunn.
Obwuel Google Är Homepage beim Zäitpunkt vun der Préifung net als geféierlech aklasséiert huet, heescht dat nëmmen, datt zu deem bestëmmte Moment keng ëffentlech Warnunge fonnt goufen, net awer, datt d'Websäit komplett sécher ass.
Fir ze kontrolléieren, ob Är Websäit eventuell kompromittéiert gouf, kuckt no dësen heefege Warnzeechen:
Onbekannt Administrateurs-Konten an Ärem WordPress-Dashboard (ënner Benotzer).
Onerwaart nei Säiten, komesch Blog-Artikelen oder Linken, déi Visiteuren op onbekannt Websäite weiderleeden.
Sécherheetswarnungen an der Google Search Console oder onerwaart Warnmeldungen am Browser.
Passwierder, déi op eemol net méi funktionéieren, oder onerwaart Ännerungen u Plugins a Dateien.
Well Är Websäit eng eeler Versioun vu WordPress mat bekannte Schwachplaze benotzt, sollt Dir Kontakt mat Ärer Webagence (Pixel Agency) oder Ärem Hosting-Provider (OVHcloud) ophuelen. Frot si, Är Server- a Benotzer-Logbicher z'iwwerpréiwen, e frësche Backup ze maachen an WordPress souwéi all Plugins direkt ze aktualiséieren.
Ëm wat soll ech meng Webagence als éischt bieden?
Baséierend op dem Rapport ass Är wichtegst direkt Prioritéit mat Ärer Webagence, Pixel Agency, déi veraltete Software ze aktualiséieren an den Administrateurszougrëff ofzesécheren.
D'Notzung vun eelere Versioune vu WordPress a senge Software-Bibliothéiken setzt Är Websäit bekannte Sécherheetsschwaachplazen aus, no deenen automatiséiert Ugräifertools aktiv sichen.
Kontaktéiert Pixel Agency a frot si ëm Folgendes:
E komplette Backup vun der Websäit an der Datebank ze maachen, ier Ännerunge virgeholl ginn.
WordPress op déi lescht Versioun ze aktualiséieren an all Plugins (wéi WooCommerce, Contact Form 7 a Cookie Notice) en Update ze ginn.
Automatesch Sécherheets- an Ënnerhaltsupdates fir WordPress an déi aktiv Plugins anzeriichten.
All onbenotzt, inaktiv Plugins oder Theme(n) ze läschen.
E Plugin fir Zwee-Faktor-Authentifizéierung z'installéieren (en Tool, dat en zousätzleche Verifizéierungsschrëtt, wéi eng Ufro um Telefon, iwwer dat normaalt Passwuert eraus erfuerdert) a fir all Manager- an Administrateurs-Logins virzeschreiwen.
Iwwerpréift separat dozou Är Domain-Registréierung direkt haut an Ärem OVHcloud-Konto: Är Domain ass no bei hirem Erneierungsdatum. Wann se ofleeft, funktionéieren Är Websäit an Är E-Maile guer net méi.
Fir ze kontrolléieren, ob d'Aarbecht vun der Agence erfollegräich war, loosst Iech bestätegen, datt d'Updates ofgeschloss sinn, loggt Iech an, fir sécherzestellen, datt Äre Buttek an Är Formulare normal funktionéieren, a féiert dëse Sécherheetscheck nach eng Kéier duerch, fir ze kucken, ob d'Meldungen zu WordPress verschwonne sinn.
Vill Ugrëffer op kleng Entreprisen fänke mat engem geklaute Passwuert oder enger gefälschter Rechnung un, net mam Website. Eng passiv Iwwerpréifung kann dës net gesinn: huelt Iech e puer Minutten Zäit fir jidderee vun hinnen.
Zwee-Schrëtt-Login fir Är Konten (MFA)
Aktivéiert den Zwee-Schrëtt-Login fir Äre Websäite-Admin, Är E-Mailen, Ären Domain-Registrar an Är Hosting-Konten. Éier Dir dat maacht, späichert d'Erhuelungscodë sécher a stellt sécher, datt een den Zougrëff erëmkritt, fir datt Dir Iech net selwer ausschléisst.
Frot no, wat geséchert gëtt, wéi dacks, an ob eng Kopie getrennt vun der Websäit versuergt gëtt, sou datt en Hack oder e Läschen net dorunner kënnt. Test eng Restauratioun op enger getrennter Kopie, ni iwwer Är Live-Websäit, a schreift op, wie restauréiere kann a wéi.
Iwwerpréift, ob Är Adressen an enger Datepanne opgedaucht sinn
Have I Been Pwned an XposedOrNot erlaben Iech, Är Domain selwer ze verifizéieren an eng gratis Warnung ze kréien, wann Adresse mat där Domain an enger publizéierter Datepanne optrieden. Mir iwwerpréiwen dat net fir Iech a verfaasse ni geleckten Donnéeën. Wann eng Adress opdaucht, ännert hiert Passwuert an aktivéiert d'Zwee-Schrëtt-Umeldung.
Kopéiert d'Prioritéiten, den Hosting-Kontext an d'Léisungsschrëtt als eng Aufgab, oder lued se als Markdown erof.
Den Task-Prompt liesen oder kopéieren
Fournisseuren, déi mir erkannt hunn
Dës Hiweiser stamen aus gesammelten Headeren, dem Startsäit-HTML an DNS-Records. Bestätegt de Service an Ären Zougang, éier Dir Astellungen ännert. D'Routing vum erakommende Mail identifizéiert net all erausgoenden Absender.
Cloudflare — DNS-Provider
Cloudflare — Websäit-Ausliwwerung
Google Workspace — E erakommende Mail
WordPress — Websäit-Software
All Iwwerpréiwungen
Als éischt léisenVerbesserenGuttKonnt net confirméiert ginn
Sécher Verbindung Gesäit gutt aus
Sécherheetszertifikat (HTTPS)Gutt
D'HTTPS-Zertifikat ass gëlteg: Browser weisen eng sécher Verbindung un.
Firwat et wichteg ass
Wann Äert Zertifikat feelt oder ongëlteg ass, weise Browseren Äre Visiteuren eng Warnung wéi „Net sécher“ oder „Är Verbindung ass net privat“, a vill Leit verloossen de Site, ier se Iech kontaktéieren oder eppes kafen.
Wie kann et behiewen
Äre Webhoster oder Webentwéckler · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Dëst Resultat erfuerdert keng Ännerung. Behaalt déi funktionéierend Konfiguratioun bäi a benotzt dës Schrëtt fir se ze verifizéieren.
Wéi d'Behiewung iwwerpréift gëtt
Öffent Äre Website an enger privater Browserfënster: E sollt ouni Warnung lueden an d'Virhängschlass weisen. Féiert dësen Test duerno nach eng Kéier aus: Dëse Punkt sollt „Gutt“ weisen.
Wann Äert Zertifikat ofleeft, blockéiere Browseren Är Visiteure mat enger Sécherheetswarnung op der ganzer Säit, soudatt Äre Website quasi offline ass, bis en erneiert gëtt.
Wie kann et behiewen
Äre Webhoster (Zertifikater ginn normalerweis automatesch erneiert) · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Dëst Resultat erfuerdert keng Ännerung. Behaalt déi funktionéierend Konfiguratioun bäi a benotzt dës Schrëtt fir se ze verifizéieren.
Wéi d'Behiewung iwwerpréift gëtt
Féiert dësen Test no der Erneierung nach eng Kéier aus: Den Oflafdatum sollt méi spéit leien an dëse Punkt sollt „Gutt“ weisen.
Är Websäit schéckt dës Schutzastellung (HTTP-Header) net u Browser.
Firwat et wichteg ass
Ouni HSTS probéieren d'Browseren vun Äre Visiteuren eventuell fir d'éischt déi onverschlësselt Versioun vun Ärem Site, déi a gemeinsame Netzwierker wéi ëffentlechem Wi-Fi ofgefaange ka ginn.
Wie kann et behiewen
Äre Webhoster oder Webentwéckler · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Aktivéiert HSTS eréischt, wann HTTPS zouverlässeg op Ärem ganze Site funktionéiert: Browseren mierken sech dat, och nodeems Dir et ewechgeholl hutt. Frot Ären Hoster no engem Strict-Transport-Security-Header fir d'éischt mat enger kuerzer Dauer (max-age=300, fënnef Minutten), an erhéicht se dann Schrëtt fir Schrëtt op op d'mannst 180 Deeg (max-age=15552000), am beschten ee Joer (max-age=31536000). Füügt includeSubDomains oder preload eréischt derbäi, wann all Subdomain iwwer HTTPS funktionéiert: Dës sinn schwéier réckgängeg ze maachen.
Wéi d'Behiewung iwwerpréift gëtt
Féiert dësen Test nach eng Kéier aus: Dëse Punkt sollt „Gutt“ weisen. Kontrolléiert duerno, ob Är Haaptsäiten nach normal lueden.
Schrëtt fir de virgeschloene Provider
Strict-Transport-Security op Cloudflare setzen
Viraussetzungen
Gesammelt Hiweiser deiten op Cloudflare hin. Bestätegt, datt Dir de betraffene Service geréiert, éier Dir dës Schrëtt benotzt.
Bestätegt d'Kontroll iwwer d'Cloudflare-Zon, den aktive Proxy-Betrib fir dësen Hostnumm an déi disponibel Transform-Rule-Kapazitéit. Späichert existent Äntwert-Headere a Reegelen; iwwerpréift méi spéit Reegelen, déi dës Ännerung kéinten iwwerschreiwen.
Fir en neien HSTS-Rollout bestätegt fir d'éischt en zouverlässegt HTTPS an d'Erneierung vum Zertifikat. Behaalt all méi streng existent Richtlinn bäi. Dëse Fënnef-Minutte-Test schléisst Subdomänen a Preload aus.
Fir WordPress notéiert déi aktuell WordPress- an Websäit-Adress-URLen souwéi d'Proxy-Astellungen. No der approuvéierter Ännerung kontrolléiert d'Startsäit, d'Umeldungssäit an d'Theme-Ressourcen op Schläifen oder Mixed Content. Ännert d'Websäit-URLen net a vertraut weidergeleete Headeren net ouni d'Origin-Konfiguratioun ze kontrolléieren.
Schrëtt
Erstellt ënner Rules → Overview eng Response Header Transform Rule. Ersetzt YOUR_HOSTNAME am Ausdrock hei drënner duerch de geneeën autoriséierten Hostnumm; filtert nëmmen op HTTPS.
Wielt Set static fir Strict-Transport-Security, mam Wäert max-age=300. Späichert et als Draft, iwwerpréift déi genee Reegel a loosst se genehmegen, ier Dir op Deploy klickt. Ännert nëmmen dësen Header; aktivéiert net déi matagebonne Transformatioun Add security headers.
Match: (http.host eq "YOUR_HOSTNAME" and ssl)
Operation: Set static
Header: Strict-Transport-Security
Value: max-age=300
D'Ännerung iwwerpréifen
Iwwerpréift um virgesinnenen Hostnumm genee een Äntwert-Header Strict-Transport-Security: max-age=300 iwwer HTTPS. Kontrolléiert representativ Säiten an Assets, inklusiv Viruleedungen a kontrolléiert Feeleren, a vergewëssert Iech, datt aner Hostnimm net betraff sinn.
Zerécksetzen
Setzt déi vireg Richtlinn zeréck, falls eng existéiert huet. Fir nëmmen dës nei Hostnumm-Richtlinn zeréckzezéien, liwwert max-age=0 iwwer gëltegt HTTPS aus; d'Ewechhuele vum Header läscht den HSTS-Cache net. Halt HTTPS iwwer déi vireg maximal Dauer a Betrib. Iwwergeuerdent Richtlinnen a Preload erfuerderen eng separat Behandlung.
Dëst gëllt um Cloudflare-Edge, net um Origin-Server. E passende Nameserver eleng beweist kee Proxy-Betrib oder d'Kontroll iwwer d'Zon. Méi spéit Reegele kënnen d'Resultat iwwerschreiwen; tëschegespäichert HSTS ka méi laang wéi e Rollback bestoen.
Är Websäit schéckt dës Schutzastellung (HTTP-Header) net u Browser.
Firwat et wichteg ass
Eng Content Security Policy seet de Browseren, wéi eng Skripter a Ressourcen Äre Site luede däerf. Ouni eng Richtlinn leeft béisaartege Code, deen an Äre Site ageschleust gouf (zum Beispill iwwer e vulnerabele Plugin), ongehënnert am Browser vun Äre Visiteuren a ka klauen, wat se antippen.
Wie kann et behiewen
Äre Webentwéckler · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Dëst erfuerdert Virsiicht, well eng Richtlinn, déi ze streng ass, Äre Site beschiedege kann. Frot Ären Entwéckler, d'Skripter, Schrëften a Servicer opzelëschten, déi Äre Site benotzt (Analys, Bezuelungen, Chat), an test dann eng Richtlinn am Modus „report-only“, dee Problemer mellt, ouni eppes ze blockéieren. Wiesselt eréischt op déi strikt Ëmsetzung, wann Är wichteg Säite funktionéieren, a behalt déi viregt Astellung prett, fir se kënnen zréckzesetzen.
Wéi d'Behiewung iwwerpréift gëtt
Féiert dësen Test nach eng Kéier aus: Dëse Punkt sollt „Gutt“ weisen. Test duerno Är wichteg Säiten (Kontaktformular, Kassa, Buchung), fir sécherzestellen, datt näischt futti ass.
Schrëtt fir de virgeschloene Provider
Eng CSP-Observatiounsreegel a Cloudflare virbereeden
Viraussetzungen
Gesammelt Hiweiser deiten op Cloudflare hin. Bestätegt, datt Dir de betraffene Service geréiert, éier Dir dës Schrëtt benotzt.
Bestätegt, datt Dir dëse proxied Hostnumm kontrolléiert an iwwer Kapazitéit fir Response-Header-Reegele verfügt. Dokumentéiert existent erzwonge a Report-Only-Policies, inklusiv Client-side-Sécherheetsreegelen. Iwwerschreift se net.
Maacht zesumme mam Entwéckler en Inventaire vun den erfuerderleche Ressourcen a wichtege Parcoursen. Notzt en Endpunkt fir HTTPS-Rapporten, deen vum Proprietaire approuvéiert ass a mat Zougangskontrollen a limitéierter Späicherzäit verseet ass; Rapporte kënne Säite-URLen opdecken.
Fir WordPress notéiert déi aktuell WordPress- an Websäit-Adress-URLen souwéi d'Proxy-Astellungen. No der approuvéierter Ännerung kontrolléiert d'Startsäit, d'Umeldungssäit an d'Theme-Ressourcen op Schläifen oder Mixed Content. Ännert d'Websäit-URLen net a vertraut weidergeleete Headeren net ouni d'Origin-Konfiguratioun ze kontrolléieren.
Schrëtt
Bereet ënner Rules → Overview eng Response Header Transform Rule vir, déi nëmme fir dëse geneeën Hostnumm gëlt. Späichert en Entworf; setzt keng Platzhalter live.
Passt d'Beispill nëmmen als Observatiouns-Policy un. Wann Header scho existéieren, loosst hire Proprietaire d'Policy an d'Reporting-Ziler zesummeféieren. Iwwerpréift d'Reegeleveruerdnung a kritt eng Zoustëmmung virum Live-Gank.
Test déi wichtegst Parcoursen an iwwerpréift déi erhalene Rapporten. Fir WordPress bezitt de Login, Editor, Pluginen an all Checkout mat an. Bereet eng getrennt iwwerpréiften, erzwonge Policy eréischt vir, wann legitim Verstéiss geléist sinn.
Iwwerpréift déi zwee Response-Headeren an den Empfang vun engem kontrolléierte Verstoussrapport an engem ënnerstëtzte Browser. Report-Only blockéiert keng Ressourcen a léist dësem Rapport säi Befond iwwer eng feelend erzwonge CSP net.
Zerécksetzen
Deaktivéiert nëmmen déi nei Observatiounsreegel oder setzt déi dokumentéiert Headeren zréck; behaalt all virdrun existent erzwonge Policy bäi.
Dëst ass e restriktiven Ausgangspunkt fir d'Observatioun, keng Policy fir d'Duerchsetze. D'Ënnerstëtzung vun der Reporting API variéiert. Cloudflare DNS eleng stellt keng Kontroll iwwer déi ëffentlech Äntwert hier.
Bei verschiddene Cookië feelt Secure, oder bei engem Login- oder Sessiouns-Cookie feelt HttpOnly; frot no, fir wat jidderee geduecht ass.
Firwat et wichteg ass
Cookië kënnen Är Visiteuren oder Mataarbechter ageloggt halen. Ouni de Secure-Flag ka Cookie onverschlësselt iwwerdroe ginn, an ouni HttpOnly ka béisaartege Code op der Säit en ausliesen, wat et engem erméigleche kéint, eng Sessioun z'iwwerhuelen.
Wie kann et behiewen
Äre Webentwéckler · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Frot Ären Entwéckler, fir wat all Cookie do ass. Login- a Sessiouns-Cookië sollten souwuel Secure wéi och HttpOnly hunn. Verschidde Cookien, wéi Consent-Banneren oder Analytics, musse berechtegterweis vun der Säit kënnen ausgelies ginn; ännert se dofir net all op eemol: Test d'Aloggen an Är Integratiounen fir d'éischt, a behalt e Wee, fir d'Ännerungen zréckzesetzen.
Wéi d'Behiewung iwwerpréift gëtt
Féiert dësen Test nach eng Kéier aus a gitt d'Cookie-Lëscht mat Ärem Entwéckler duerch. Bestätegt duerno, datt d'Aloggen an Är aner Funktiounen nach ëmmer funktionéieren.
Keng security.txt-Datei war op der Standardplaz verfügbar.
Firwat et wichteg ass
Wann een e Sécherheetsproblem op Ärer Websäit entdeckt, deelt e security.txt-Fichier dëser Persoun mat, wéi si Iech erreeche kann. Ouni dëse Fichier kënnt eng hëllefräich Warnung Iech eventuell ni zou oder geet un déi falsch Persoun.
Wie kann et behiewen
Äre Webentwéckler oder Websäite-Verwalter · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Verëffentlecht en Text-Fichier (Plain Text) ënner /.well-known/security.txt op Ärem HTTPS-Site. E brauch eng Contact:-Linn mat enger Adress, déi iwwerwaacht gëtt (zum Beispill mailto:security@your-domain.example), an eng Expires:-Linn mat engem zukünftegen Datum am RFC 3339-Format (wéi 2027-12-31T23:59:59Z). Setzt Iech en Erënnerungsvermerk, fir en virun deem Datum ze aktualiséieren, a gitt nëmme Kontaktdaten un, déi Dir gär ëffentlech maache wëllt.
Wéi d'Behiewung iwwerpréift gëtt
Öffent https://your-domain/.well-known/security.txt an engem Browser: Et sollt den Text-Fichier mat Ärem Kontakt an engem zukünftegen Datum ugewise ginn. Féiert dësen Test duerno nach eng Kéier aus. Wann Dir eng Canonical:-Linn derbäi setzt, muss se genee dës Adress enthalen.
Schéckt dës Léisung un Ären Entwéckler oder AI-Assistent
Visiteuren op déi sécher Säit weiderleeden (HTTPS-Weiderleedung)Gutt
Visiteuren, déi d'Adress ouni https:// antippen, ginn op déi sécher Säit weidergeleet.
Firwat et wichteg ass
Visiteuren, déi Är Adress ouni „https://“ antippen, kënnen op enger onverschlësselter Säit bleiwen, wou dat, wat se liesen oder aginn (wéi Informatiounen aus Kontaktformularen), matgelies oder geännert ka ginn, zum Beispill an engem ëffentleche Wi-Fi.
Wie kann et behiewen
Äre Webhoster oder Webentwéckler · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Dëst Resultat erfuerdert keng Ännerung. Behaalt déi funktionéierend Konfiguratioun bäi a benotzt dës Schrëtt fir se ze verifizéieren.
Wéi d'Behiewung iwwerpréift gëtt
Tippt an enger privater Fënster Är Adress un, déi mat http:// ufänkt: Dir sollt op der https://-Versioun vun der selwechter Adress landen. Féiert dësen Test duerno nach eng Kéier aus: Dëse Punkt sollt „Gutt“ weisen.
Ouni dës Astellung kënne Browseren roden, wat fir eng Zort Datei se kréien, soudatt eng Datei, déi aus Verseehen eropgeluede oder falsch bezeechent gouf, als Code am Browser vun Äre Visiteure lafe kéint.
Wie kann et behiewen
Äre Webentwéckler oder Webhoster · hei festgestallt: Cloudflare (Websäit), WordPress (Websäit)
Wat ze maachen ass
Dëst Resultat erfuerdert keng Ännerung. Behaalt déi funktionéierend Konfiguratioun bäi a benotzt dës Schrëtt fir se ze verifizéieren.
Wéi d'Behiewung iwwerpréift gëtt
Féiert dësen Test nach eng Kéier aus: Dëse Punkt sollt „Gutt“ weisen. Kontrolléiert duerno, ob Är Säiten nach ëmmer normal ausgesinn a funktionéieren.
Autoriséiert E-Mail-Ofsender (SPF)Als éischt léisen
Ären Domain empfänkt E-Mailen, verëffentlecht awer kee SPF-Record, soudass jiddereen vill méi einfach E-Maile verschécke kann, déi virstellen, vun Iech ze kommen.
Firwat et wichteg ass
SPF lëscht d'Déngschter op, déi E-Maile fir Ären Domain verschécken dierfen. Ouni dat, oder mat méi widderspréchleche SPF-Records, kënne Krimineller méi einfach E-Mailen an Ärem Numm verschécken, an Är legitim E-Maile landen éischter am Spam.
Wie kann et behiewen
Ären E-Mail-Administrateur an DNS-Manager · hei festgestallt: Google Workspace (E-Mail), Cloudflare (DNS)
Wat ze maachen ass
Lëscht all Déngscht op, deen E-Maile fir Iech verschéckt: Äre Mailbox-Fournisseur, awer och Websäite-Formularen, Newsletteren, Fakturatiouns- oder Buchungstools. Behaalt genee ee SPF-Record, deen se all ofdeckt, an notzt d'Wäerter, déi all Fournisseur dokumentéiert; fusionéiert Duplikater amplaz en zweeten Record derbäizesetzen. Ersetzt existent Einträg net duerch e strenge „Blockéier alles“-Record, well soss Är legitim E-Maile kéinte refuséiert ginn.
Wéi d'Behiewung iwwerpréift gëtt
Soubal d'DNS-Ännerung a Kraaft getrueden ass, féiert dës Iwwerpréifung nach eng Kéier duerch: dëse Punkt sollt Gutt uweisen. Schéckt duerno eng Test-E-Mail vun all Déngscht a kontrolléiert, datt d'Headere vun der empfaangener Noriicht spf=pass uweisen.
Schrëtt fir de virgeschloene Provider
SPF fir Google Workspace iwwerpréiwen
Viraussetzungen
Gesammelt Hiweiser deiten op Google Workspace hin. Bestätegt, datt Dir de betraffene Service geréiert, éier Dir dës Schrëtt benotzt.
Bestätegt, datt Google Workspace E-Maile fir dës genee Domän verschéckt, an net nëmmen empfänkt. Maacht en Inventaire vu Websäite-Formulairen, Newsletteren, Gateways an allen anere Senderen. Späichert existent TXT-Androungen an TTLen; behaalt MX, DKIM an net betraffe DNS-Androunge bäi.
Bestätegt d'Envelope-Senderdomän, déi vu SPF benotzt gëtt, an déi siichtbar From-Domän, déi vun DMARC benotzt gëtt; si kënnen ënnerschiddlech sinn.
Behaalt genee eng SPF-Richtlinn pro Senderdomän bäi. Eng eragiddeg MX-Androung kann net déi komplett Lëscht vun den Ausgangs-Sendere festleeën.
Schrëtt
Féiert beim autoritativen DNS-Provider duebel SPF-Androungen zu enger eenzeger, iwwerpréifter Richtlinn zesummen. D'Beispill hei drënner ass nëmme fir eng nei Richtlinn geduecht, wann Google Workspace deen eenzege Sender ass. Behaalt soss all bestätegt Senderen an de bestehende Schutz bäi; ersetzt d'Androung net blann.
Iwwerpréift déi komplett SPF-Evaluatioun géint d'Limit vun zéng DNS-Ofruff-Termen, inklusiv verschatelten Includes a Viruleedungen. Kuckt den Diff duerch a loosst en ofhuelen, ier Dir publizéiert.
No der DNS-Propagatioun iwwerpréift den autoritativen TXT-Wäert an d'Authentifikatiounsresultater vum Empfänger-Server fir all Déngscht, deen E-Maile verschéckt.
TXT at the SPF sending domain:
v=spf1 include:_spf.google.com ~all
D'Ännerung iwwerpréifen
Nodeems dës Ännerung am DNS propagéiert ass, notzt eng nei empfaangen Noriicht an enger separater Mailbox, fir spf=pass an déi evaluéiert Envelope-Domän fir all Sender z'iwwerpréiwen. Bestätegt genee eng publizéiert Richtlinn a valabelt Lookup-Verhalen. Méi al Noriichte sinn nëmmen eng Referenzbasis; eng DNS-Androung eleng garantéiert keng Liwwerung an d'Inbox.
Zerécksetzen
Setzt déi gespäichert SPF-Richtlinn zeréck a korrigéiert d'Autorisatioun, wärend Dir net betraffe DNS-Androunge bäibehaalt. Tëschegespäichert Androunge verzögeren d'Wierkung; kontrolléiert tatsächlech Noriichte vun all Sender vu Neiem.
SPF iwwerpréift d'Envelope-Domän a kann no enger Weiderleedung feelchloen. Et ierft net automatesch eng Richtlinn vun der iwwergeuerdenter Domän. Eng erfollegräich validéiert Provider-Domän stëmmt net automatesch mat Ärer siichtbarer From-Adress iwwereneen.
Är DMARC-Richtlinn ass „p=none“: Si mellt gefälscht E-Mailen, léisst se awer trotzdem duerch. Nodeems Dir Är Berichter gepréift hutt, wiesselt op „p=quarantine“, duerno op „p=reject“.
Firwat et wichteg ass
Ouni eng DMARC-Richtlinn kënne Krimineller méi einfach E-Maile verschécken, déi ausgesinn, wéi wa se vun Ärer Entreprise kéimen, an d'Mailbox-Fournisseuren hu keng Instruktioun, fir se ze blockéieren. Wann et méi DMARC-Records gëtt, gëtt kee applizéiert.
Wie kann et behiewen
Ären E-Mail-Administrateur an DNS-Manager · hei festgestallt: Google Workspace (E-Mail), Cloudflare (DNS)
Wat ze maachen ass
Richtung fir d'éischt SPF an DKIM fir all Déngscht an, deen E-Maile fir Iech verschéckt. Publizéiert dann een eenzegen DMARC-Record (_dmarc.your-domain) mat p=none an enger iwwerwaachter Berichterstattungsadress: dëst iwwerwaacht ouni ze blockéieren. No e puer Woche mat proppere Berichter wiesselt Schrëtt fir Schrëtt op p=quarantine, duerno op p=reject; ze fréi ze streng ze ginn, kann Är eegen E-Maile blockéieren.
Wéi d'Behiewung iwwerpréift gëtt
Soubal d'DNS-Ännerung a Kraaft getrueden ass, féiert dës Iwwerpréifung nach eng Kéier duerch: dëse Punkt weist Gutt un, soubal d'Richtlinn p=quarantine oder p=reject ass. Kontrolléiert duerno an den DMARC-Berichter, datt Är legitim E-Maile passéieren.
Schrëtt fir de virgeschloene Provider
DMARC fir Google Workspace iwwerpréiwen
Viraussetzungen
Gesammelt Hiweiser deiten op Google Workspace hin. Bestätegt, datt Dir de betraffene Service geréiert, éier Dir dës Schrëtt benotzt.
Bestätegt, datt Google Workspace E-Maile fir dës genee Domän verschéckt, an net nëmmen empfänkt. Maacht en Inventaire vu Websäite-Formulairen, Newsletteren, Gateways an allen anere Senderen. Späichert existent TXT-Androungen an TTLen; behaalt MX, DKIM an net betraffe DNS-Androunge bäi.
Bestätegt d'Envelope-Senderdomän, déi vu SPF benotzt gëtt, an déi siichtbar From-Domän, déi vun DMARC benotzt gëtt; si kënnen ënnerschiddlech sinn.
Iwwerpréift déi zoustänneg DMARC-Richtlinn vun der iwwergeuerdenter Domän a validéiert d'SPF/DKIM-Alignment fir legitim Senderen, ier Dir d'Richtlinn ännert. Eenegt Iech op eng Mailbox fir aggregéiert Berichter, déi dem Bedreiwer gehéiert oder vun him genehmegt ass; erfant keng Adress.
Iwwerpréift déi aktuell DKIM-Signatur, ier Dir d'Schlësselen ännert. Keng Äntwert fir e geleefegen Selektor ass kee Beweis dofir, datt DKIM feelt. Halt funktionéierend Selektoren an d'Signéieren aktiv; e Mailbox-Alias leet d'Signaturdomän net fest.
Schrëtt
Wielt ënner Google Admin → Apps → Google Workspace → Gmail → Authenticate email déi genee Senderdomän aus. Nëmme fir en neie Setup: Loosst e Super-Administrator en 2048-Bit-Schlëssel generéieren (falls DNS dat ënnerstëtzt), andeems Dir en onbenotzte Selektor huelt. Kopéiert dem Google säi kompletten TXT-Numm/-Wäert; behaalt e bestehenden, funktionéierende Schlëssel bäi.
Publizéiert dee geneeën TXT beim autoritativen DNS-Provider an iwwerpréift, ob d'Domän automatesch drugehaange gëtt. Wielt duerno Start authentication a bestätegt Authenticating email with DKIM. En nei aktivéierte Gmail ka 24–72 Stonnen daueren, ier Schlëssele generéiert kënne ginn; DNS/Authentifikatioun ka bis zu 48 Stonnen daueren.
Schéckt no der Propagatioun an Aktivéierung en autoriséierten neien Test vun all Déngscht an all From-Adress un eng separat extern Mailbox, déi Dir kontrolléiert. Kuckt an den Authentication-Results vum Empfänger no dkim=pass an an der DKIM-Signature no der tatsächlecher d=-Domän an dem s=-Selektor; iwwerpréift d'Alignment mat der siichtbarer From-Adress. En aneren Alias vun der selwechter Mailbox a méi al Noriichte gëllen net als Beweis no der Ännerung.
Konsolidéiert beim autoritativen DNS-Provider duebel _dmarc TXT-Richtlinnen zu enger eenzeger, vum Inhaber genehmegter Richtlinn. Behaalt eng etabléiert méi streng Richtlinn bäi; d'Beispill hei drënner ass nëmme fir en neie Monitoring-Rollout geduecht.
Ersetzt YOUR_APPROVED_REPORT_ADDRESS duerch déi ofgeschwat Mailbox, a kuckt an approuvéiert duerno den DNS-Diff. Extern Bericht-Destinatiounen erfuerderen eng Empfänger-Autorisatioun am DNS. Füügt forensesch Berichter standardméisseg net bäi.
Waart bei Google Workspace no der SPF/DKIM-Ariichtung op d'mannst 48 Stonnen virun DMARC, a maacht dann ongeféier eng Woch laang Monitoring. Iwwerpréift all legitime Sendestroum, ier Dir schrëttweis op quarantine a reject ëmstellt.
TXT at _dmarc.YOUR_MAIL_DOMAIN:
v=DMARC1; p=none; rua=mailto:YOUR_APPROVED_REPORT_ADDRESS
D'Ännerung iwwerpréifen
Nodeems dës Ännerung sech am DNS propagéiert huet, iwwerpréift genee eng applicabel DMARC-Policy, alignéierten SPF oder DKIM, dmarc=pass an den Authentifikatiounsresultater vun enger nei empfaangener Noriicht, a brauchbar aggregéiert Rapporten, déi déi geännert Policy ofdecken. Fréier Noriichte sinn nëmmen eng Referenzbasis. p=none iwwerwaacht nëmmen; et erzwingt keng Ofleenung.
Zerécksetzen
Setzt déi virdru vum Proprietaire approuvéiert Policy zréck, typescherweis p=none wärend engem neie Rollout, wärend Dir d'Alignéierung korrigéiert. Behaalt funktionéierend SPF/DKIM bäi. DNS-Cachen verzögeren de Rollback an ofgeleent Noriichte ginn net automatesch recuperéiert. Behaalt DKIM-TXT-Schlësselen wärend der Enquête; Google réit dozou, se ze behalen nodeems d'Ënnerschreiwe gestoppt gouf a mindestens véier Deeg ze waarden, ier en nei bäigefügte Record ewechgeholl gëtt. Generéiert kee funktionéierende Schlëssel als Rollback nei.
Dës Schrëtt erfuerderen Äre Mail-Administrator an iwwerpréiwen d'Tenant-Astellunge net. Entréeënd MX-Recorde leeën keng erausgoend Senderen fest. En DNS-Record oder e feelende gängege Selektor beweist weeder aktiv Ënnerschreiwe nach d'Feele dovun; iwwerpréift tatsächlech empfaange Messagen.
MX-Records si verëffentlecht. Hir Ziler, d'Disponibilitéit an d'Mailbox-Zoustellung goufen net getest.
Firwat et wichteg ass
MX-Records deelen anere Mailservere mat, wou se d'E-Maile fir Ären Domain ofliwwere sollen. Wann se falsch oder widderspréchlech sinn, kënnen d'E-Maile vun Äre Clienten zréckgewisen ginn oder verluer goen. Eng Webadress, déi net fir E-Mail genotzt gëtt, dierf berechtegterweis guer keng hunn.
Wie kann et behiewen
Ären E-Mail-Fournisseur oder wien och ëmmer den DNS vun Ärem Domain geréiert · hei festgestallt: Google Workspace (E-Mail), Cloudflare (DNS)
Wat ze maachen ass
Dëst Resultat erfuerdert keng Ännerung. Behaalt déi funktionéierend Konfiguratioun bäi a benotzt dës Schrëtt fir se ze verifizéieren.
Wéi d'Behiewung iwwerpréift gëtt
Soubal d'DNS-Ännerung a Kraaft getrueden ass, féiert dës Iwwerpréifung nach eng Kéier duerch. Schéckt duerno separat eng Test-E-Mail un an aus Ärer eegener Mailbox, fir d'Zoustellung ze bestätegen.
E méigleche Schlëssel gouf op engem gängege Selekter fonnt. D'Messagë-Signéierung an d'Schlësselvaliditéit goufen net getest.
Firwat et wichteg ass
DKIM füügt Ären E-Mailen eng digital Signatur bäi, sou datt d'Empfänger iwwerpréife kënnen, ob se wierklech vun Ärer Entreprise kommen an net verännert goufen. Ouni dëst landen Är E-Mailen éischter am Spam an DMARC schützt Ären Domain manner gutt.
Wie kann et behiewen
Ären E-Mail-Administrateur · hei festgestallt: Google Workspace (E-Mail), Cloudflare (DNS)
Wat ze maachen ass
Dëst Resultat erfuerdert keng Ännerung. Behaalt déi funktionéierend Konfiguratioun bäi a benotzt dës Schrëtt fir se ze verifizéieren.
Wéi d'Behiewung iwwerpréift gëtt
Soubal DKIM ageschalt ass an d'DNS-Ännerung a Kraaft getrueden ass, schéckt eng nei E-Mail un eng extern Adress, déi Dir kontrolléiert (kee Pseudonym an net un e Kolleeg). Kuckt an den Headeren vun der empfaangener Noriicht no dkim=pass an notéiert d'Wäerter d= an s= am DKIM-Signature: s= ass de Selekter, deen am DNS nogekuckt gëtt.
DNS-Ënnerschrëften (DNSSEC)Konnt net bestätegt ginn
En DS-Record ass publizéiert; DNSSEC-Signaturë an d'Vertrauenskette goufen net validéiert.
Firwat et wichteg ass
DNSSEC ënnerschreift d'DNS-Äntwerte vun Ärem Domain digital, wat et fir Ugräifer méi schwéier mécht, Är Visiteuren oder Är E-Mailen op e gefälschte Server ëmzeleeden. Et ass en zousätzleche Schutz an net eng Basisfuerderung.
Wie kann et behiewen
Deejenegen, deen den DNS vun Ärem Domain verwalt, zesumme mat Ärem Registrar · hei festgestallt: Cloudflare (DNS)
Wat ze maachen ass
DNSSEC schéngt ageschalt ze sinn: Äre Registrar publizéiert déi passend Verknëppung (DS-Record). Dir musst näischt änneren. Wann Dir Ären DNS zu engem anere Fournisseur plënnert, frot déi zwee Fournisseuren, d'DNSSEC-Ännerung fir d'éischt zesummen ze plangen.
Wéi d'Behiewung iwwerpréift gëtt
Frot Ären DNS-Fournisseur fir ze bestätegen, datt DNSSEC vun Ufank bis Enn richteg validéiert. Dësen Test ka weisen, datt DNSSEC publizéiert ass, awer net, datt et funktionéiert.
Schéckt dës Léisung un Ären Entwéckler oder AI-Assistent
CAA-Records goufe bei dësem Hostnumm verëffentlecht. Hir Aschränkungen an d'Veraarbechtung duerch den Aussteller goufen net evaluéiert.
Firwat et wichteg ass
E CAA-Record lëscht op, wéi eng Organisatiounen HTTPS-Zertifikater fir Ären Domain ausstelle dierfen, wat et méi schwéier mécht, e gefälschten Zertifikat ze kréien. En ass fakultativ, an e falsche Record kann d'Verlängerung vun Ärem eegenen Zertifikat verhënneren.
Wie kann et behiewen
Wien och ëmmer Ären DNS geréiert, zesumme mat Ärem Webhoster · hei festgestallt: Cloudflare (DNS)
Wat ze maachen ass
Dëst Resultat erfuerdert keng Ännerung. Behaalt déi funktionéierend Konfiguratioun bäi a benotzt dës Schrëtt fir se ze verifizéieren.
Wéi d'Behiewung iwwerpréift gëtt
Frot Äre Webhoster, déi effektiv CAA-Reegelen ze bestätegen, inklusiv all deenen, déi vun Ärem Haaptdomain oder Aliasen geierft goufen, an datt den Zertifikat vun Ärer Websäit nach ëmmer erneiert ka ginn.
Aus der selwechter Homepage-Äntwert ausgelies, plus d'Lëscht vu geféierleche Säite vu Google, mat Léisunge fir Är Plattform. Si fléissen de Moment nach net an d'Bewäertung an.
Net als geféierlech vu Google gemelltGutt
Firwat et wichteg ass
Wann Google Äre Site als geféierlech akläre géif, géife Browser Är Visiteure virum Besuch warnen.
Google ka net garantéieren, datt seng Informatioune vollstänneg a feelerfräi sinn: verschidde geféierlech Säite kënnen net erkannt ginn, an e puer sécher Säite kënnen iertemlecherweis als geféierlech aklasséiert ginn.
Domain am Viraus verlängert a géint Transferte gespaartVerbesseren
Firwat et wichteg ass
Ären Domain muss bis den Okt. 25, 2026 verlängert ginn. Wann en ofleeft, funktionéieren Är Websäit an Är E-Mailen net méi a默认een anere kann den Numm kafen. Ouni Transferschutz kann een, deen an Äre Registrar-Konto erakënnt oder Äre Registrar täuscht, Ären Domain méi einfach bei eng aner Entreprise transferéieren.
Wat mir festgestallt hunn
Verlängerung fälleg den Okt. 25, 2026 · kee Transferschutz · Registrar: OVH SAS
Wéi een et behieft
Mellt Iech bei Ärem Domain-Registrar un a kontrolléiert, ob déi automatesch Verlängerung aktiv ass an d'Bezuelkaart gëlteg ass, oder verlängert elo. Schalt am Dashboard vun Ärem Registrar den Transferschutz an (och Registrar Lock oder Transfer Protection genannt), wann dëst ugebuede gëtt.
Formulairen a Säiteninhalter benotzen HTTPSVerbesseren
Firwat et wichteg ass
Biller oder Medien op Ärer Homepage benotzen onverschlësselt http://-Adressen: Browser probéieren amplaz https:// a blockéieren se, wann dat feelgeschléit, soudatt se eventuell net ugewise ginn.
Wat mir festgestallt hunn
Biller oder Medien iwwer http://: 1
Wéi een et behieft
A WordPress, ännert béid Adressen ënner Astellungen → Allgemeng op https://, an ersetzt duerno al http://-Linke mat engem Search-and-Replace-Plugin (maacht virdrun e Backup).
Keng Websäite-Bibliothéike mat bekannte SchwachplazenVerbesseren
Firwat et wichteg ass
Al Versioune vun dëse Bibliothéiken hu bekannt Schwachplazen, déi Ugräifer géint Är Visiteuren ausnotze kënnen, zum Beispill fir hir eege Skripter op Äre Säiten auszeféieren.
Wat mir festgestallt hunn
jQuery 1.12.4 (CVE-2020-11022)
Wéi een et behieft
Aktualiséiert WordPress, Äert Theme an Är Pluginen; eng al Bibliothéik kënnt meeschtens vun engem veraltegten Theme oder Plugin. Frot Ären Entwéckler fir de Rescht z'entfernen oder z'aktualiséieren.
WordPress-Versioun ouni bekannt SchwachplazenVerbesseren
Firwat et wichteg ass
Dës WordPress-Versioun huet bekannt Sécherheetsschwachplazen, no deenen Ugräifer automatesch sichen.
Wat mir festgestallt hunn
WordPress 6.8 · neiste 7.1.3
Wéi een et behieft
Maacht e Backup, gitt duerno am WordPress op Dashboard → Updates an installéiert déi neiste Versioun; schalt automatesch Updates an. Wann eng Agence Äre Site erstallt huet, frot si, dat ze maachen.
Schutz géint verstoppt FramingVerbesseren
Firwat et wichteg ass
Ouni dëst kann en anere Site Är Säiten an engem onsiichtbare Frame uweisen an d'Visiteuren dozou verleeden, Knäppercher unzeklicken, déi si net gesinn (Clickjacking).
Wéi een et behieft
Füügt a Cloudflare eng Äntwert-Header Transform Rule X-Frame-Options: SAMEORIGIN bäi.
Begrenzungen op Kamera, Mikrofon a StanduertVerbesseren
Firwat et wichteg ass
Eng Permissions-Policy verhënnert, datt Skripter op Äre Säiten, och Drëttubidder-Skripter, Zougrëff op d'Kamera, de Mikrofon oder de Standuert ufroe kënnen.
Wéi een et behieft
Füügt a Cloudflare eng Transform Rule Permissions-Policy: camera=(), microphone=(), geolocation=() bäi.
Software-Versioune privat gehalenVerbesseren
Firwat et wichteg ass
Siichtbar Versiounsnummere verrode Sécherheetsugräifer genee, wéi eng bekannt Schwachplazen si ausnotze kënnen.
Wat mir festgestallt hunn
WordPress 6.8
Wéi een et behieft
Haalt WordPress a seng Pluginen automatesch aktuell, a verstoppt d'Versioun mat Ärem Sécherheets-Plugin.
Privat Säitenadresse privat gehalenGutt
Firwat et wichteg ass
Eng onsécher Referrer-Policy iwwerdréit voll Säitenadressen, déi privat Linken oder Token enthalen kënnen, un all Site, op deen Är Säite verlinken. Ouni dës Richtlinn benotze Browser e séchere Standardwäert.
Kuckt Ären eegene Rapport a 20 Sekonnen
Gratis, kee Kont néideg fir Är Bewäertung ze gesinn.
Mat Ärer Zoustëmmung moosst Google Analytics, wéi d'Besicher eis ëffentlech Säite benotzen, fir datt mir se verbessere kënnen. Kontrollen, Rapporten a Kontosäite lueden et ni. Näischt gëtt gelueden, ier Dir gewielt hutt, an Dir kënnt Är Wiel zu all Moment ënner Cookie-Astellungen am Footer änneren. Dateschutz a Cookien
Fmind