Ist der Scan für Webflow-Apps kostenlos?

Ja. Der Außen-Scan ist vollständig kostenlos und anonym — ihr gebt nur die URL eurer Webflow-App ein.

Braucht decivo Zugang zu eurem Webflow-Account?

Nein. Der Scan prüft nur, was eure App öffentlich ausliefert. Tiefer geht es optional per read-only-Repo-Zugang oder nach einem Domain-Nachweis — beides ausdrücklich freiwillig.

Webflow Sicherheit prüfen

Ist eure Webflow-App produktionsreif?

Kostenloser, plattformunabhängiger Scan speziell für Webflow-Apps. Er prüft die für Webflow typischen Lücken — Zugriffsschutz, sichtbare Schlüssel, DSGVO — und liefert ein nachvollziehbares Go/Iterate/Stop-Verdikt mit versionierten Regel-Codes.

Webflow-App jetzt kostenlos prüfen

Typische Schwachstellen bei Webflow-Apps

Webflow-Sites sind meist statisch — Risiken liegen bei Formular-Handling, eingebetteten Skripten und DSGVO (Tracker, Fonts, Cookies).

Diese Regeln gewichtet der Scan bei Webflow

RSC-SEC-010

Supabase service_role-Schlüssel im Client

Dekodiert JWTs im Bundle und meldet den Rollen-Claim `service_role`, der RLS vollständig umgeht.

RSC-SEC-015

Datenbank-Tabellen der anon-Rolle zugeteilt

Fragt mit dem von der App selbst veröffentlichten Client-Schlüssel den Schema-Endpunkt ab und listet die Tabellen, die der anon-Rolle zugeteilt sind — ohne einen Datensatz oder eine Zeilenzahl abzurufen. Zugeteilt heißt noch nicht lesbar: ob Zeilen herauskommen, entscheidet Row Level Security.

RSC-SEC-018

Geschützter Bereich nur im Browser abgesichert

Erkennt Admin-/Konto-Routen, die der Client-Router kennt, deren Schutz aber ausschließlich als Bedingung im Bundle steht — wer die URL kennt, ist drin.

RSC-SEC-050

Tabellen ohne Row Level Security

Sammelt alle `create table` und alle `enable row level security` über sämtliche Migrationen und meldet Tabellen, die nie geschützt werden.

RSC-SEC-051

RLS-Policy erlaubt allen Zugriff

Findet Policies mit `using (true)` — RLS ist aktiv, wirkt aber nicht.

RSC-PRV-001

Google Fonts zur Laufzeit geladen

Findet Einbindungen von fonts.googleapis.com/gstatic.com, bei denen die IP der Nutzer an Google geht.

RSC-PRV-002

US-Tracking ohne sichtbare Einwilligung

Erkennt Analytics- und Pixel-Skripte mit Drittland-Transfer im ausgelieferten Markup.

Häufige Fragen

Ist der Scan für Webflow-Apps kostenlos?: Ja. Der Außen-Scan ist vollständig kostenlos und anonym — ihr gebt nur die URL eurer Webflow-App ein.
Braucht decivo Zugang zu eurem Webflow-Account?: Nein. Der Scan prüft nur, was eure App öffentlich ausliefert. Tiefer geht es optional per read-only-Repo-Zugang oder nach einem Domain-Nachweis — beides ausdrücklich freiwillig.