Website-DNA: Ein n8n-Workflow sequenziert deine Startseite und findet Drittanbieter und CVEs

Zuerst ausprobieren: die DNA deiner Website. Domain eingeben, auf „Sequenzieren“ drücken, und nach etwa zwanzig Sekunden dreht sich die Helix. Wer keine Domain zur Hand hat, nimmt den Demo-Knopf mit daniele-michelin.com.

So liest man die Helix

• Ein Basenpaar = ein Baustein: jede Bibliothek, jeder fremde Dienst, die eigenen Skripte und Stylesheets, Cookies und Server-Technik mit Version, dazu acht Paare für den Schutz (sechs Security-Header, HTTPS, TLS).
• Blau = eigener Code: alles, was vom eigenen Host oder einer eigenen Subdomain kommt.
• Violett = Drittanbieter: CDN, Analyse, Schriften, Video, Chat, Karten, Werbung. Jeder dieser Hosts bekommt beim Laden die IP-Adresse des Besuchers.
• Grün = Schutz aktiv, Orange = Schutz fehlt: die Security-Header und die Verschlüsselung.
• Rot und pulsierend = bekannte Schwachstelle: eine Bibliothek in einer Version mit CVE.
• Bedienung: Ziehen dreht die Helix, sonst dreht sie sich langsam allein. Mit der Maus über eine Base zeigt ein holografisches Etikett Name, Version, Host und die CVEs mit Schweregrad. Auf dem Handy tippt man, mit der Tastatur wählen die Pfeiltasten. Beim Start wird die Helix Base für Base sequenziert, mit Zähler wie im Labor.

Der nützliche Teil: der Genom-Bericht

Neben der Helix steht derselbe Befund als Text. Er ist die eigentliche Arbeitshilfe.

• Zusammensetzung: wie viel Prozent der Ressourcen eigen und wie viel fremd sind, aufgeteilt nach Skripten, CSS, Fonts, Iframes und Bildern.
• Drittanbieter und DSGVO: die Liste der fremden Hosts mit Dienst und Kategorie. Jeder lädt beim Seitenaufruf mit und erfährt dabei die IP-Adresse. Das braucht eine Rechtsgrundlage, bei Google Fonts, YouTube oder Analytics oft eine Einwilligung. Die Liste zeigt, was in die Datenschutzerklärung und ins Cookie-Banner gehört.
• Bibliotheken und CVEs: Versionen kommen aus dem Dateinamen (jquery-3.4.0.min.js), aus CDN-Pfaden, aus ?ver= bei WordPress und aus den Kommentar-Bannern eigener JavaScript-Dateien. Jede Version geht an OSV.dev. Jede gefundene Schwachstelle steht mit Schweregrad und Link auf die OSV-Akte im Bericht.
• Cookies: Name, Laufzeit und die Flags Secure, HttpOnly und SameSite der Cookies, die der Server mit der Startseite schickt. Die Werte liest der Workflow nie.
• Header und Technik: welche Schutz-Header fehlen, wie lange das Zertifikat noch gilt, und ob Server oder PHP ihre Versionsnummer verraten.
• Diagnose und drei Therapien: Ein KI-Genetiker fasst den Befund in drei, vier Sätzen zusammen und schlägt drei konkrete Schritte vor, etwa eine Bibliothek zu aktualisieren oder Schriften lokal zu hosten.

Grenzen: Gemessen wird nur die Startseite, so wie der Server sie ausliefert. Was JavaScript später nachlädt, und Cookies aus dem Browser fehlen. Gebündelte Dateien verraten ihre Bibliotheken oft nicht. Der Bericht ist ein schneller Befund, kein vollständiges Audit.

Der Workflow

• Probe entnehmen: Ein kleines PHP-Skript lädt die Startseite und höchstens fünf JavaScript-Dateien desselben Hosts (je 300 KB), nur um ihre Versions-Banner zu lesen. Jede Adresse wird vorher aufgelöst und muss öffentlich sein, Weiterleitungen folgt das Skript selbst und prüft jeden Schritt. Fremde Ressourcen lädt es nie herunter.
• Genom sequenzieren: Ein Code-Knoten liest aus dem HTML alle Skripte, Stylesheets, Fonts, Iframes und Bilder, ordnet die Hosts als eigen oder fremd ein und erkennt rund 70 Dienste und 50 Bibliotheken.
• Zwei Labore parallel: Der OSV-Zweig schickt alle Versionen in einem Aufruf an api.osv.dev/v1/querybatch und lädt danach die Akten der Treffer (CVE-Nummer, Schweregrad). Gleichzeitig misst die Prüfstelle Security-Header und TLS. Ein Merge-Knoten wartet auf beide.
• Befund und KI: Ein Code-Knoten baut daraus die Basenpaare. Der Genetiker ist gpt-oss-120b bei IONOS in Deutschland. Er bekommt nur die Messwerte und darf nichts erfinden. Antwortet er nicht, schreibt eine Vorlage Diagnose und Therapien aus denselben Zahlen.
• Teilen: Jede Probe bekommt einen Link und ein Vorschaubild mit der Helix und dem Zähler. Wer sie erstellt hat, kann sie wieder löschen.

Selbst bauen

Der Workflow liegt als JSON zum Importieren bereit. Platzhalter sind markiert: die Adresse der Probe, die Prüfstelle, der Token und die Seite, die das Ergebnis annimmt. Für die Probe brauchst du einen eigenen kleinen Endpunkt mit SSRF-Schutz. OSV.dev ist kostenlos und braucht keinen Schlüssel. Für die KI reicht jede OpenAI-kompatible API.

Das Muster taugt auch für den Alltag: einmal pro Woche die eigene Startseite sequenzieren und eine Mail schicken, wenn ein neuer Drittanbieter oder eine neue CVE auftaucht. Mehr Workflows zum Anklicken und Herunterladen gibt es in der n8n-Übersicht.