Kann ich das von außen prüfen?

Teilweise. MLVibeScan prüft Runtime-Header sowie Node-, Vercel-, Netlify- und nginx-Konfiguration; Quellcode- und Deep-Prüfungen benötigen Kauf, Domainnachweis und ausdrückliche Freigabe.

Reicht es, wenn die Oberfläche den Zugriff verhindert?

Nein. Sicherheitsentscheidungen müssen serverseitig für jede Anfrage gelten, unabhängig davon, welchen Client ein Angreifer verwendet.

Wann gilt der Befund als behoben?

Erst wenn die Schutzgrenze im kontrollierten Nachtest greift und keine widersprüchliche Code-/Runtime-Beobachtung offen bleibt.

Sicherheitswissen für Vibe-Apps

CORS ist eine Browsergrenze, keine Anmeldung

CORS entscheidet, welche Website Browserantworten lesen darf. `Access-Control-Allow-Origin: *` ist für öffentliche Daten möglich, aber für private APIs oder zusammen mit Credentials ungeeignet.

Fachlich geprüft von René Matis · MATIS LABS · Aktualisiert am 15. August 2026

Der Scan ist kostenlos und dauert etwa zwanzig Sekunden. Du siehst sofort, wie viele Befunde es gibt und wie schwer sie wiegen.

Eigene App kostenlos scannen

Woran du das Problem erkennst

Gefährlich sind reflektierte Origins ohne Allowlist, Wildcards auf privaten APIs und widersprüchliche Cache-Antworten ohne korrektes `Vary: Origin`.

Ein funktionierender Happy Path beweist diese Grenze nicht. Prüfe immer mit einem zweiten Nutzer, im abgemeldeten Zustand oder mit einer absichtlich unzulässigen Eingabe.

So wird es belastbar behoben

Erlaube nur konkrete Produktions-Origins, validiere sie exakt und setze `Vary: Origin`, wenn Antworten je Herkunft wechseln.

Die Behebung gehört an die serverseitige Vertrauensgrenze. Eine ausgeblendete Schaltfläche, ein anderer Client-Text oder ein nur im Browser geprüftes Feld ist keine Sicherheitskontrolle.

Nachtest statt Hoffnung

MLVibeScan prüft dazu Runtime-Header sowie Node-, Vercel-, Netlify- und nginx-Konfiguration. Ein Nachtest vergleicht den stabilen Schutzgegenstand mit dem vorherigen Ergebnis und zeigt behoben, teilweise behoben, unverändert oder Regression.

Automatisierte Checks decken wiederkehrende Muster ab. Komplexe Geschäftslogik braucht bei hohem Schutzbedarf zusätzlich einen individuell geplanten Penetrationstest.

Das prüfen wir automatisch

Runtime-Header sowie Node-, Vercel-, Netlify- und nginx-Konfiguration
Konfidenz und Gegenprüfung
Stabiler Fingerprint für Nachtests

Häufige Fragen

Kann ich das von außen prüfen?: Teilweise. MLVibeScan prüft Runtime-Header sowie Node-, Vercel-, Netlify- und nginx-Konfiguration; Quellcode- und Deep-Prüfungen benötigen Kauf, Domainnachweis und ausdrückliche Freigabe.
Reicht es, wenn die Oberfläche den Zugriff verhindert?: Nein. Sicherheitsentscheidungen müssen serverseitig für jede Anfrage gelten, unabhängig davon, welchen Client ein Angreifer verwendet.
Wann gilt der Befund als behoben?: Erst wenn die Schutzgrenze im kontrollierten Nachtest greift und keine widersprüchliche Code-/Runtime-Beobachtung offen bleibt.