TutadorScan: der Prüfdienst hinter der Kennung in Ihrem Protokoll

Sie haben in den Zugriffsprotokollen Ihres Servers die Kennung TutadorScan/0.1 (+https://tutador.de/scanner) gefunden und sind der Adresse gefolgt. Diese Seite sagt, wer dahintersteht, was der Dienst abruft, was er nie tut und wie Sie ihn aussperren.

TutadorScan ist der Prüfdienst von Tutador, einem Angebot für Website-Sicherheit mit Nachweis; der Anbieter steht im Impressum. Der Dienst prüft Websites von außen, so wie ein Besucher sie sieht, und bewertet Verschlüsselung, Sicherheits-Header, Datenschutzpflichten und E-Mail-Absicherung. Er ist kein Crawler: Er sammelt keine Inhalte und folgt keinen Links.

Warum der Dienst Ihre Website aufgerufen hat

Es gibt genau zwei Wege.

• Ein Kunde hat die Website bei Tutador eingetragen

  Dafür muss er die Verfügungsbefugnis über die Domain per DNS-Eintrag nachweisen. Solche Websites prüfen wir je nach Tarif einmal täglich oder einmal wöchentlich, nachts, und wiederholen den DNS-Nachweis regelmäßig.

• Jemand hat Ihre Domain in den kostenlosen Sofort-Check eingegeben

  Das kann unter /pruefen jeder, auch ohne Konto. Das Ergebnis wird nicht gespeichert, keiner Website zugeordnet und begründet kein Siegel. Geprüft wird nur, was jeder Besucher ohnehin sieht. Je Domainname und je erreichter Serveradresse lassen wir drei solcher Läufe pro Stunde zu, je anfragender Adresse fünf in zehn Minuten.

Was der Dienst abruft

• Die Startseite über https und über http, Letzteres, um die Weiterleitung auf https zu prüfen. Weiterleitungen folgt er höchstens dreimal im Sofort-Check und höchstens zehnmal bei Kundenwebsites, und nur innerhalb derselben Domain.
• Die Datei /.well-known/security.txt.
• Die MTA-STS-Richtlinie unter https://mta-sts.ihre-domain/.well-known/mta-sts.txt, aber nur, wenn ein DNS-Eintrag _mta-sts sie ankündigt.
• Einen TLS-Verbindungsaufbau auf Port 443, um das Zertifikat zu lesen.
• Öffentliche DNS-Einträge: A und AAAA, TXT für SPF, _dmarc, _mta-sts, _smtp._tls und bei Kundenwebsites _tutador für den Eigentumsnachweis, dazu CAA, NS und MX. Bleibt die gezielte Abfrage nach CAA oder nach dem Eigentumsnachweis leer, folgt für diesen einen Namen eine Gegenprobe über alle Satzarten, höchstens einmal je Prüfung: Eine leere Antwort auf eine einzelne Satzart ist kein Beweis dafür, dass der Eintrag fehlt, und ohne diese Gegenprobe würden wir Ihnen einen Mangel bescheinigen, den Sie nicht haben.

Nur bei Kundenwebsites mit nachgewiesener Verfügungsbefugnis kommen zwei Dinge hinzu. Erstens ein Verbindungsversuch je Datenbank-Port 3306 und 5432 an jede Serveradresse des Domainnamens, die für diesen Namen ein gültiges Zertifikat ausliefert; ob sie das tut, prüft je Adresse ein weiterer TLS-Verbindungsaufbau auf Port 443. Angefasst werden höchstens 4 Adressen je Adressfamilie (IPv4 und IPv6), und auf die Datenbank-Ports wird dabei kein Byte gesendet. Zweitens, sobald der Kunde die Dateisuche in seinem Kundenbereich eingeschaltet oder unseren Konnektor in seinem Redaktionssystem installiert hat, Abrufe der Pfade /.env, /.git/config, /phpinfo.php, um offen liegende Konfigurationsdateien zu finden. Der Sofort-Check tut beides nie.

Was der Dienst nie tut

• Er meldet sich nirgends an, probiert keine Passwörter und füllt keine Formulare aus.
• Er nutzt keine Schwachstelle aus. Er stellt fest, er greift nicht an.
• Er führt kein JavaScript aus und sendet keine Cookies.
• Er ruft keine Unterseiten ab und folgt keinen Links auf Ihrer Website.
• Er speichert keine Seiteninhalte. Bei Kundenwebsites werden die Prüfergebnisse je Kriterium gespeichert, beim Sofort-Check nichts.

Woher die Abrufe kommen

Von unserem Server bei der Hetzner Online GmbH in Deutschland, demselben Server, der tutador.de ausliefert. Verlassen Sie sich für Firewall-Regeln trotzdem auf die Kennung, nicht auf eine IP-Adresse: Die Adresse kann sich bei einem Serverwechsel ändern, der Name TutadorScan im User-Agent nicht.

Wie Sie den Dienst aussperren

Eine Sperre nach User-Agent genügt; der Dienst tarnt sich nicht. Beispiel für Apache in der .htaccess:

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} TutadorScan
RewriteRule ^ - [F]

Für nginx:

if ($http_user_agent ~ TutadorScan) {
    return 403;
}

Die Folge: Der Sofort-Check meldet dem Anfragenden, dass Ihre Website nicht geprüft werden konnte. Ist Ihre Website bei einem unserer Kunden eingetragen, ruht ihr Siegel nach drei Fehlversuchen in Folge, weil sich ohne erreichbare Website nichts belegen lässt; der Kunde wird darüber benachrichtigt.

Eine robots.txt wertet der Dienst nicht aus. Sie richtet sich an Programme, die Inhalte einsammeln und weiterverwenden; TutadorScan liest die Antwort auf einen einzelnen Seitenaufruf und verwendet keinen Inhalt weiter.

Rückfragen

Wenn Sie wissen wollen, warum Ihre Website geprüft wurde, oder wenn Ihnen ein Abruf auffällt, der zu keinem der beiden Wege passt: Schreiben Sie uns. Sicherheitsforscher finden unseren Meldeweg unter /sicherheit und in unserer security.txt.

Jetzt kostenlos prüfen