Websites herunterladen, die RapidSec nutzen

Über RapidSec

Content Security Policy ist die Schutzmaßnahme, die jede Sicherheitsprüfung empfiehlt und die die meisten Teams nie vollständig ausrollen. Das Hindernis ist eine Frage der Arithmetik, nicht des Prinzips. Eine funktionierende Policy muss jede Quelle für Skripte, Frames, Schriften und Bilder aufzählen, die eine Website lädt, und bei jeder Website mit einer Marketingabteilung ist das, was sie lädt, ein bewegliches Ziel, das sich mit jeder neuen Kampagne ändert.

RapidSec automatisiert diese Arbeit, und dazu muss Code im Browser laufen. Für die Forschung interessant wird der Eintrag gerade durch diese Anforderung. Fast jede andere Sicherheitsanschaffung eines Unternehmens ist am Netzwerkrand, in einer Build-Pipeline oder in einer privaten Konsole angesiedelt und hinterlässt nichts, was ein Crawler beobachten kann. Ein Produkt zur Policy-Verwaltung muss die Seite instrumentieren, die es schützt, und wird so zu einer der ganz wenigen Entscheidungen eines Sicherheitsteams, die von außerhalb der Organisation ohne privilegierten Zugang sichtbar sind.

Sichtbarkeit geht mit Instabilität einher, und die Zahl ist nur mit diesem Vorbehalt zu lesen. Stand Oktober 2026 erkennen wir den Agenten auf 22 Websites. Installationen dieser Art decken häufig nur einen Teil der Websites eines Unternehmens ab, und reine Report-Only-Rollouts werden oft entfernt, sobald eine Policy fertiggestellt und durchgesetzt ist, sodass eine Website genau in dem Moment aus der Liste fallen kann, in dem der Kunde Erfolg hat. Bewegungen in dieser Zeile spiegeln daher ebenso sehr den Stand der Einführung wider wie die Zahl der Kunden, und eine Zeitreihe sollte man mit diesem Wissen lesen.

Aus demselben Signal lässt sich ein zweiter Schluss ziehen. Ein Unternehmen, das eine automatisierte Policy-Verwaltung braucht, ist in der Regel eines, dessen Seiten eine erhebliche Last an Drittanbieter-Skripten tragen, denn eine Website mit drei Skripten schreibt ihre Policy einmal von Hand und denkt nie wieder darüber nach. Eine Erkennung markiert deshalb tendenziell größere Webauftritte mit aktivem Marketingbetrieb, komplizierten Tag-Landschaften und einer Sicherheitsabteilung, die genug Gewicht hat, ihnen eine solche Schutzmaßnahme aufzuerlegen.

Das Produkt steht unter der Lizenz Proprietary, ist in JavaScript geschrieben, stammt aus dem Jahr 2019 und gehört damit zu den Werkzeugen, die entstanden sind, nachdem browserseitige Sicherheit vom Spezialthema zu einem Punkt auf den Checklisten geworden war, mit denen große Unternehmen ihre Anbieter prüfen. Jede Erkennung verweist auf eine Organisation, die entschieden hat, dass der manuelle Weg nicht funktioniert, und für die Alternative bezahlt hat, was einer klar umrissenen und recht fortgeschrittenen Kaufsituation entspricht. Die Adresse, die wir für den Anbieter hinterlegt haben, leitet inzwischen auf die Website eines anderen Sicherheitsunternehmens weiter und nicht auf eine Produktseite. Eine Erkennung lässt sich deshalb eher als Installation lesen, die diese Änderung überdauert hat, denn als Beleg für ein heute laufendes Abonnement.

Die Abfrage einer einzelnen Domain zeigt, welche Header diese Website heute sendet, und kostenlose Tools klären diese Frage bereits gut. Die Liste aus der Kategorie Security zeigt dagegen, wer ein Produkt gekauft hat, um diese Header zu verwalten, und das ist eine ganz andere Frage, auf die die Header selbst keine Antwort geben. Sicherheitsanbieter, die Wettbewerbsanalysen betreiben, Forscher, die die Verbreitung von Policies in freier Wildbahn untersuchen, und Käufer, die Referenzen von Unternehmen mit ähnlichem Reifegrad suchen, brauchen alle den gesamten Bestand statt der Antwort einer einzelnen Website.