Weiterleitungs-Prüfung
Wir rufen die URL und jede Location ab, auf die sie zeigt, bis zu 10 Hops. Jeder Hop wird vor dem Verbinden neu aufgelöst und geprüft; Antwortinhalte werden nie gelesen.
Ein Link führt oft über mehrere Adressen, bevor eine Seite erscheint: http zu https, die nackte Domain zu www, ein Tracking- oder Kurzlink zu seinem Ziel. Jeder Schritt ist eine HTTP-Weiterleitung, ein 3xx-Statuscode mit Location-Header.
Das Tool folgt der Kette Hop für Hop und zeigt jeden Statuscode und jedes Ziel. Es markiert Wechsel zu und von HTTPS, Wechsel zu einem anderen Host sowie dauerhafte (301, 308) und vorübergehende (302, 303, 307) Weiterleitungen und stoppt bei einer Schleife oder nach zehn Hops.
Jeder Hop wird vor dem Verbinden neu aufgelöst und geprüft, sodass eine öffentliche URL unseren Server nicht in ein privates Netz umleiten kann; die Verbindung wird an die geprüfte Adresse gebunden. Nur die Ports 80 und 443 sind erlaubt, und Antwortinhalte werden nie gelesen.
Häufig gestellte Fragen
301 oder 302?
301 und 308 sind dauerhaft: Suchmaschinen übertragen den Wert der alten Adresse auf die neue, Browser können die Weiterleitung cachen. 302, 303 und 307 sind vorübergehend.
Warum stoppt die Kette bei einer privaten Adresse?
Eine Weiterleitung in ein privates oder reserviertes Netz ist genau das, was ein SSRF-Angriff ausnutzt. Solchen Weiterleitungen folgen wir nie.
Wie viele Weiterleitungen sind zu viele?
Jeder Hop kostet mindestens einen Umlauf. Eine Weiterleitung (http zu https oder Domain zu www) ist normal; Ketten ab drei Schritten sollte man verkürzen.
Verwandt
- Security-HeaderHSTS, CSP und die anderen Schutz-Header einer öffentlichen Website.
- HTTP-HeaderIhre Anfrage-Header und die Antwort-Header jeder öffentlichen URL.
- TLS-Zertifikat prüfenDas Zertifikat eines Servers, seine Kette und sein Ablaufdatum.
- DNS-AbfrageA, AAAA, MX, TXT, NS, SOA, CAA und mehr mit TTL.