Ihre OpenAPI-Spec verlässt nie Ihr Netz.
Unsere Plattform sectestx.leanofy.de läuft in drei Modi: mit Ihrem eigenen Cloud-LLM-Key, 100% lokal mit Llama via Ollama/vLLM oder vollständig air-gapped im No-LLM-Modus. Wir wissen, dass eine API-Spezifikation Ihre Architektur dokumentiert — sie gehört nicht in fremde Hände. Das Tool ist aktuell in der Beta; produktive Einsätze laufen mit Beratungsbegleitung.
Die Lücke zwischen blindem DAST und teurem Pentest
Klassische Scanner suchen Patterns: SQL-Injection, XSS, fehlende Header. Sie übersehen aber die teuersten Bugs — BOLA, BFLA, Mass Assignment. Manuelle Pentests finden diese Logikfehler, kosten aber Tage und sind eine Momentaufnahme. Wir füllen die Lücke: semantische API-Security-Tests, generiert aus Ihrer OpenAPI-Spec, ausgeführt in Ihrer Pipeline, wiederholbar bei jedem Release.
sectestx — API-Security automatisiert
Aus Ihrer OpenAPI-Spec generieren wir vollautomatisch tiefgehende, logische OWASP-Sicherheitstests — in unter 10 Minuten von der Spec zum dokumentierten Finding.
sectestx.leanofy.de
Semantische API-Pentests: keine Pattern-Matching-Oberflächen-Scans, sondern echte Logik-Tests gegen BOLA, BFLA und Mass Assignment — die teuersten OWASP-API-Klassen.
- OWASP API Top 10 — Fokus auf Logik (BOLA, BFLA, Mass Assignment)
- Multi-Account-Testing via User-Tokens — echte Privilege-Escalation-Probes
- Bruno-Collections (.bru) als Output — versionierbar in Git, wiederausführbar in CI
- HTML- und PDF-Reports — audit-tauglich, mit OWASP-Mapping und Reproduktion
$ sectestx run ./openapi.yaml \ --tokens ./users.json \ --llm local:llama-3-8b [09:42:11] Parsing OpenAPI spec ... 38 endpoints [09:42:18] Token validation ... 3 users ok [09:42:30] BOLA-Testfälle generiert ........ 128 [09:43:14] Mass-Assignment-Testfälle ........ 64 [09:44:02] BFLA-Probes ........ 42 [!] BOLA-FINDING · OWASP API1 · kritisch GET /orders/{id} User-A liest Order von User-B CVSS 8.1 · horizontal privilege escalation [~] MASS ASSIGNMENT · OWASP API3 · mittel PATCH /users/me · Feld "role" akzeptiert → Bruno-Collection: out/sectestx.bru → Report: out/report.pdf
„We wish to fulfill needs — to make clients happy.“
Sicherheit ist kein Produkt aus der Schublade. Sie ist das Ergebnis eines kontinuierlichen Dialogs zwischen Ihrem Team, unserer Erfahrung und einem Werkzeug, das beide Seiten versteht. Genau deshalb bauen wir sectestx selbst — um auf Ihre Anforderungen zu reagieren, statt sie in ein fremdes Tool zu pressen.
Wenn etwas in Ihrer Pipeline fehlt, einen Report-Typ braucht es noch nicht oder eine Compliance-Regel ist neu — sagen Sie es uns. Wir bauen es. Schnell, transparent, und ohne Roadmap-Lotterie.
Vier Säulen logik-getriebener API-Security
Wir prüfen die Klassen, die Standard-Scanner systematisch übersehen — und dort, wo es weh tut.
BOLA & BFLA
Multi-Account-Tests: User-A versucht Ressourcen von User-B zu lesen, verändern, löschen. Vertikale & horizontale Privilege Escalation.
Mass Assignment
Akzeptiert PATCH /users/me heimlich das Feld role? Wir generieren gezielt Mutations-Probes aus dem Schema.
Datensouveränität
On-Premise mit lokalem Llama oder air-gapped im No-LLM-Modus. Ihre Spec, Ihre Tokens, Ihre Findings — nichts geht raus.
CI-Integration
Output als Bruno-Collection (.bru): versionierbar in Git, wiederausführbar in jeder Pipeline. Findings als Quality-Gate.
API-Security gehört in dieselbe Pipeline wie Functional Tests
sectestx erzeugt Bruno-Collections (.bru), die sich in jeden CI-Job einbinden lassen — neben den funktionalen API-Tests, mit eigenem Quality Gate. So liefert jeder Build neben Funktion auch ein Security-Signal: BOLA-Regression entdeckt bevor der PR mergt.
Warum Ehlert.Consulting?
Über 18 Jahre Testerfahrung in stark regulierten Branchen (Banking, Energie, Industrie) — gepaart mit der Eigenentwicklung einer Sicherheits-Plattform, die wir selbst maintainen. Keine Black-Box-Tools, keine Wiederverkauf-Provisionen, kein Vendor-Lock-in.
- Eigenes Tool (sectestx) — volle Methodik-Transparenz
- EU-Hosting, DSGVO-konform, kein US-Cloud-Zwang
- Beratung mit Hands-on-Pentest — keine reinen PowerPoint-Reports
Beta-Zugang sichern
Wir nehmen aktuell Beta-Kunden auf, die sectestx unter direkter Begleitung testen wollen. Engerer Kontakt, früher Einfluss auf die Roadmap, vergünstigte Konditionen für die Beta-Phase.
Gespräch vereinbaren