Werkzeuge

Tools, die in deinem Browser laufen

Die vierundzwanzig browserbasierten Tools brauchen für ihre Kernarbeit keinen Server-Roundtrip. Die neuesten sind zwei Tools für den lokalen Umgang mit Geheimnissen und Installationspaketen: Die PGP-Suite erzeugt Schlüsselpaare, ver- und entschlüsselt Nachrichten und erstellt und prüft Signaturen in deinem Browser, weil private Schlüssel und Passphrasen nie in Chats eingefügt oder hochgeladen werden dürfen, und der APK-Analysator liest die Deklarationen und Signaturzertifikate eines Android-Installers, bevor du ihn installierst, wobei die Datei auf deinem Gerät geparst und nie hochgeladen wird. Davor kam die Paket-Triage: Der PCAP-Analysator liest .pcap- und .pcapng-Mitschnitte — Verbindungen, DNS, TLS-Metadaten, Klartext-Warnungen — nach derselben Regel wie alles andere auf dieser Liste, denn eine Mitschnittdatei ist Beweismaterial und wird nie zum Lesen hochgeladen. Davor kam ein Paar E-Mail-Forensik-Tools: Der DMARC-Bericht-Analysator öffnet die Aggregatberichte, die Empfänger senden (XML, gzip-komprimiert oder gezippt), und führt sie zu einer Tabelle pro Quelle zusammen, und der E-Mail-Header-Analysator zerlegt eine verdächtige Nachricht — Received-Kette, Authentifizierungsergebnisse, Domain-Diskrepanzen, entschärfte Links —, weil beide Aufgaben mit einer Datei voller Details deiner Infrastruktur beginnen und solche Dateien nicht zum Lesen hochgeladen werden sollten. Der Subnetzrechner ist reine Arithmetik; der Log-Parser und der Testdatengenerator laufen vollständig auf deinem Rechner, weshalb ein Produktionslog oder eine Staging-Datenbank gefahrlos durch sie laufen kann. Die neuesten fünf existieren für die Aufgaben, die Leute in KI-Chats versuchen und bereuen: Hashen (ein Chat erfindet Digests), Hashes identifizieren, JWTs dekodieren und verifizieren, Base64 konvertieren und Passwörter generieren — Arbeit, deren Eingaben Zugangsdaten sind und deren Antworten berechnet werden müssen, also laufen alle fünf lokal und übertragen nichts. Die Planungs-Gruppe arbeitet mit Eingaben, die nie auf den Server eines Fremden gehören: Der Bereitschaftsplaner arbeitet mit deiner Teamliste, der Zertifikat-Generator erstellt private Schlüssel — lokal, nie hochgeladen —, und die Rechner für Backup-Aufbewahrung und Fehlerbudget arbeiten mit deinen internen Richtlinien und Störungszahlen. Die neuesten drei erweitern dieselbe Regel: Der .env-Validator parst die geheimnisreichste Datei deines Stacks, ohne ein Byte davon zu übertragen, der Meetingplaner macht seine Zeitzonen-Arithmetik aus den Intl-Daten deines eigenen Browsers, und der Kapazitätsschätzer verwandelt deine internen Verkehrszahlen auf der Stelle in einen Flottenplan. DNS-Lookup, Zertifikat-Parser und Domain-Lookup rufen durchaus öffentliche Dienste auf — Google oder Cloudflare für DNS, crt.sh für die Zertifikat-Historie, RDAP-Register für Domain-Daten — und jede dieser Seiten nennt den Dienst, den sie abfragt, damit du immer weißt, wohin eine eingegebene Domain tatsächlich gegangen ist. Wo eine Aufgabe eine Browser- und eine Serverform hat, verlinken die Seiten aufeinander: Der Zertifikat-Parser zeigt auf den Live-SSL-Prüfer, der Domain-Lookup auf den Ablaufprüfer und der DNS-Lookup auf den Gesundheitscheck für das Gesamtbild.

So funktionieren die Prüfer

Jeder Prüfer nimmt einen bloßen Domainnamen — sonst nichts. Es gibt keine URLs, Pfade oder Ports anzugeben, und der Dienst verbindet sich nur mit den Standard-Webports der Domain, die du nennst. Danach arbeitet er seine Prüfungen unabhängig ab: eine HTTP-Sonde für Erreichbarkeit und Antwortzeit, ein TLS-Handshake für das Zertifikat, eine Registerabfrage (RDAP) für den Registrierungsdatensatz der Domain und DNS-Abfragen für die Datensätze, die Verkehr und Mail routen. Weil die Abschnitte unabhängig sind, verdeckt ein fehlschlagender Teil nie den Rest — eine Site mit kaputtem Webserver zeigt weiterhin ihr Zertifikat und ihre Ablaufdaten, was meist genau das ist, was du zur Reparatur brauchst. Zwei neuere Prüfungen brechen die Regel vom bloßen Domainnamen absichtlich: Die HTTP-Statuskette nimmt eine vollständige URL, weil eine Kette eine Eigenschaft einer Adresse ist, nicht einer Domain; und die DNS-Propagationsprüfung stellt vier öffentlichen Resolvern dieselbe Frage, weil Propagation eine Eigenschaft von Caches ist, nicht der Domain allein. Der CVE-Triage-Schreibtisch bricht sie auf eine dritte Art: Er nimmt eine Liste von Schwachstellen-IDs, weil seine Frage eine Patch-Warteschlange betrifft, keinen einzelnen Host — und seine Antworten stammen aus Datensätzen, die der Server täglich aktualisiert, statt irgendetwas zu sondieren.

Ergebnisse werden kurz zwischengespeichert, damit ein Bericht, den du mit einem Kollegen teilst, denselben Schnappschuss zeigt, den du gesehen hast, beschriftet mit dem Aufnahmezeitpunkt. Wenn ein Zertifikat oder eine Domain innerhalb von neunzig Tagen abläuft, sagt der Bericht das laut und bietet über myeventwatch kostenloses kontinuierliches Monitoring an, denn ein Countdown, an dessen erneute Prüfung du dich erinnern musst, ist nur die halbe Lösung.