DE EN IT

~/home / n8n-workflow-roentgen

n8n · Röntgen

Röntgenbild für deinen n8n-Workflow.

Exportiere einen Workflow, füge das JSON ein und sieh, was im schlimmsten Fall passieren kann: Welche Knoten Geld ausgeben, Mails verschicken, Daten löschen oder Befehle ausführen, und ob davor eine Schutzstufe steht. Als Karte, mit Note und konkreten Fixes.

Workflow einfügen

Beispiel laden:

In n8n: Workflow öffnen, Strg+A, Strg+C, hier einfügen. Höchstens 512 KB und 400 Knoten.

🔒 Datenschutz: Dein Workflow wird nicht gespeichert und nicht protokolliert. Keine Cookies, keine IP-Adresse im Bericht. Der Bericht wird 7 Tage aufbewahrt und lässt sich jederzeit löschen. Datenschutzerklärung

Diesen Bericht löschen?

Der Bericht wird unwiderruflich gelöscht. Links dazu funktionieren dann nicht mehr. Dein Workflow wurde nie gespeichert.

⚠ Kein Sicherheits-Zertifikat: «Nichts gefunden» heißt nicht «sicher». X-Ray prüft nur die unten genannten Regeln, deterministisch und ohne Garantie.

Wie funktioniert es?

  1. JSON einfügenDu exportierst den Workflow in n8n und fügst ihn hier ein. Er wird nur durchgereicht und nicht gespeichert.
  2. Regeln anwendenEin n8n-Workflow mit einem Code-Knoten prüft feste Regeln. Es entscheidet keine KI, ob etwas riskant ist.
  3. Blast Radius messenFür jeden gefährlichen Knoten wird der Weg vom Trigger verfolgt: Liegt davor eine Freigabe, Bedingung oder ein Limit?
  4. Karte und NoteDu bekommst Note A bis F, eine Karte als Röntgenbild und zu jedem Befund Warum und Fix. Eine KI ordnet höchstens die Prioritäten, nur anhand von Knotennamen und Regeln.

Welche Regeln prüft X-Ray?

Die Regeln sind fest und für alle Workflows gleich. Jede hat eine stabile Nummer.

  • R01
    Webhook ohne Anmeldung

    Jeder, der die Adresse kennt, kann den Workflow auslösen.

  • R02
    Geheimnis im Klartext

    Passwörter, API-Schlüssel oder Tokens stehen direkt in den Parametern statt in n8n-Credentials. Im Bericht erscheinen sie nur als «redacted».

  • R03
    Gefährliche Aktion ohne Schutz

    Vom Trigger oder KI-Agenten aus erreicht man Zahlung, Mail, Löschen oder Shell, ohne dass Freigabe, Bedingung oder Limit davor steht (die «3-Uhr-nachts-Regel»).

  • R04
    KI-Agent mit gefährlichen Tools

    Ein Agent darf Geld, Mails oder Löschen auslösen, ohne Iterationslimit und ohne menschliche Freigabe.

  • R05
    Kein Fehler-Workflow

    Es gibt weder einen Error-Workflow noch einen Error Trigger: Fehler bleiben unbemerkt.

  • R06
    HTTP-Aufruf ohne Wiederholung

    Weder Retry noch «bei Fehler weitermachen» ist gesetzt.

  • R07
    Doppelte Ausführung möglich

    Ein Webhook führt zu Zahlung oder Schreiben, ohne dass Dubletten geprüft werden.

  • R08
    Echte Testdaten im Export

    Der Export enthält angeheftete Daten (pinData), vielleicht mit personenbezogenen Angaben. X-Ray liest sie nicht, warnt nur.

  • R09
    Schleife ohne Bremse

    Eine Schleife ruft HTTP-Endpunkte auf, ohne Wait-Knoten oder kleine Batches.

  • R10
    Aufräumen

    Deaktivierte oder verwaiste Knoten, Standardnamen wie «HTTP Request1», keine Notizen, kein Ausführungs-Timeout.

  • R11
    Code mit eval oder Kindprozess

    Ein Code-Knoten nutzt eval, Function oder child_process und kann beliebigen Code ausführen.

Was gilt als gefährlich, was als Schutz?

Gefährlich sind Knoten, die Zahlungen auslösen, Mails oder Nachrichten senden, Daten löschen oder in Datenbanken schreiben, Befehle ausführen oder nach außen schreiben.

Als Schutz zählen Wait mit Freigabe, «Senden und warten» (Mensch im Kreis), IF, Switch und Filter mit Bedingung, Limits in Schleifen und eine Prüfung direkt nach dem Webhook.

Was X-Ray NICHT prüft

  • Ob die in n8n hinterlegten Zugänge (Credentials) selbst zu viele Rechte haben.
  • Ob Prompts anfällig für Prompt-Injection sind oder ob die Fachlogik stimmt.
  • Den Server, die n8n-Version, Netzwerk und Updates.
  • Aufgerufene Sub-Workflows: Geprüft wird nur der eingefügte Workflow.
  • Unbekannte Community-Knoten: Sie werden nur nach Namen und Typ eingeordnet.

Häufige Fragen

Was ist ein Blast Radius bei n8n?

Der Blast Radius ist der mögliche Schaden, wenn ein Workflow falsch oder missbräuchlich läuft: Welche Zahlungen, Mails, Löschungen oder Befehle können ausgelöst werden, und steht davor eine Schutzstufe wie Freigabe oder Bedingung.

Wird mein Workflow gespeichert?

Nein. Der eingefügte Workflow wird nur analysiert und weder gespeichert noch protokolliert. Der Bericht enthält gekürzte Knotennamen, Typen und Befunde, gefundene Geheimnisse sind geschwärzt. Er wird nach 7 Tagen gelöscht, du kannst ihn vorher selbst löschen.

Entscheidet eine KI, was riskant ist?

Nein. Die Regeln sind fest und laufen deterministisch in einem Code-Knoten. Eine KI schreibt höchstens zwei, drei Zeilen zu den Prioritäten, und nur aus Knotennamen und Regeln, nie aus Parameterwerten.

Heißt Note A, dass mein Workflow sicher ist?

Nein. X-Ray ist kein Sicherheits-Zertifikat. «Nichts gefunden» bedeutet nur, dass diese Regeln nichts gemeldet haben. Die Liste der nicht geprüften Dinge steht oben auf der Seite.

Kann ich X-Ray selbst betreiben?

Ja. Der Workflow liegt als JSON zum Download bereit und lässt sich in jede n8n-Instanz importieren.

Verwandte Werkzeuge

  • Website-Zeugnis Eine Note für Security-Header, E-Mail-Schutz und TLS-Zertifikat.
  • Website-DNA Welche Drittanbieter, Bibliotheken und Cookies lädt deine Startseite?
  • Alle n8n-Workflows Live ausprobieren und als JSON herunterladen.

← Startseite