Speichert ihr die Domains und Ergebnisse, die ich prüfe?

Server-Tools verarbeiten Anfragen im Speicher und persistieren weder Domain noch Ergebnis. Aufwändige Abfragen werden lediglich kurz technisch zwischengespeichert (z. B. Mail-Server-Check und Certificate-Transparency-Counts je eine Stunde), nicht einer Person zugeordnet. Browser-Helfer wie JWT-Decoder oder Encoder verlassen Ihren Computer gar nicht.

Was ist der Unterschied zwischen Server-Checks und Browser-Helfern?

Server-Checks fragen einen externen Host oder Dienst live von unseren EU-Servern ab (DNS, SSL, Mail, Security …) und unterliegen einem Fair-Use-Limit. Browser-Helfer rechnen rein lokal in Ihrem Browser, senden nichts und haben kein Rate-Limit — geeignet auch für sensible Eingaben wie API-Keys oder Tokens.

Gibt es ein Limit, wie oft ich ein Tool aufrufen darf?

Die meisten Server-Tools sind auf 30 Anfragen pro Minute und IP gedrosselt. Der Massen-IP-Lookup hat ein strengeres Limit von 10 pro Minute, weil eine Anfrage bis zu 50 Geo-Lookups auslöst. Der Speed-Test ist bewusst ausgenommen, damit die Durchsatzmessung nicht verfälscht wird.

Kann ich mit den Tools fremde Server scannen?

Die Tools sind für Diagnose-Zwecke gedacht, nicht für Bulk-Scraping oder Angriffe. Port-Scanner und aktive Mail-Relay-Tester bieten wir bewusst nicht an, weil beides rechtlich heikel ist oder Dritte schädigen kann. URL-abrufende Tools blockieren private und lokale Adressbereiche.

Sind diese Checks dieselben wie im Dashboard-Monitoring?

Teilweise. Einige Checks — DNSSEC, Open-Graph, IP-Blacklist, Cookie-Scanner und Subdomain-Inventur — laufen im Dashboard automatisch pro Website und wiederkehrend. Die öffentlichen Tools liefern dagegen eine Momentaufnahme auf Abruf. Starten Sie einen Scan im Dashboard, werden DNSSEC, Open-Graph, IP-Blacklist und Cookie-Scanner direkt mitausgeführt.

Kostenlose Network- & DevOps-Tools

59 kostenlose Tools für DevOps, SRE und Web-Admins — keine Anmeldung, EU-gehostet, DSGVO-konform. Server-Checks (DNS, SSL, Mail, Security, DSGVO, BFSG, SEO, Performance, KI-Readiness) und Browser-Helfer (alle Daten bleiben im Browser), inklusive 10 Geo-Tools. Auf /tools sind alle Tools nach 7 Kategorien gruppiert.

# Server-Checks (35)

Diese Tools fragen externe Hosts oder Services live ab. Fair-Use-Limits, keine Anmeldung.

Was ist meine IP?

Eigene IP, Geo, ASN, Reverse-DNS, User-Agent

/tools/meine-ip

DNS-Lookup (Multi-Resolver)

A/AAAA/MX/NS/TXT/CAA bei Google, Cloudflare, AdGuard parallel via DoH

/tools/dns-lookup

DNSSEC-Validator

DNSKEY/DS/AD-Bit, KSK/ZSK + Algorithmus

/tools/dnssec

DNS-Propagation Multi-Region

6 globale JSON-DoH-Resolver gleichzeitig

/tools/dns-propagation

HTTP-Header-Inspektor

Alle Response-Header inkl. Redirect-Hops, 9 Security-Header bewertet

/tools/http-header

Security-Header-Score (A–F)

Gewichtete Schulnote über 10 Pillar-Header mit Mozilla-Observatory-CSP-Detail-Analyse

/tools/security-score

SSL/TLS-Inspektor

Zertifikat, Chain, SAN, OCSP-Stapling, HSTS-Preload-Status, TLS-Cipher-Probe (1.0/1.1/1.2/1.3), Certificate-Transparency-Logs

/tools/ssl-check

Mail-Server-Check

MX + Reverse-DNS, SPF, DMARC mit allen Tags (sp/aspf/adkim/rua/ruf/fo), 61 DKIM-Selektoren parallel, MTA-STS + Policy-File, TLS-RPT, BIMI mit VMC-Cert, Domain-DNSSEC

/tools/mail-check

IP-Blacklist-Check

16 öffentliche DNSBLs (Spamhaus, Barracuda, CBL/Abuseat …)

/tools/ip-blacklist

Whois/RDAP-Lookup

Registrar, Status-Flags, Nameserver via RDAP

/tools/whois

ASN-Lookup

IP zu Provider, AS-Nummer, Land, IP-Range via Team Cymru

/tools/asn-lookup

Reverse-IP-Lookup

PTR + Geo + Co-hosted Domains (welche anderen Sites laufen auf der IP)

/tools/reverse-ip

Speed-Test

Download, Upload, Latenz und Jitter zu EU-Servern messen

/tools/speed-test

Ping-Test

30 Pings mit Min/Avg/Max/Jitter/Loss-Visualisierung

/tools/ping-test

Pagespeed-Test mit Web-Vitals

Server-RTT (TCP/TLS/TTFB/Total) ÜBER 3 Runs + echte Web-Vitals (LCP/CLS/FCP/TBT, Median über 3 Headless-Chromium-Runs)

/tools/pagespeed

robots.txt + Sitemap-Validator

Syntax-Check + recursive Sitemap-Index-Walk + URL-Stichproben-HEAD-Validation

/tools/robots-sitemap

Open-Graph & Social-Preview

Wie FB/X/LinkedIn/WhatsApp Ihren Link rendern

/tools/open-graph

Subdomain-Finder (passiv)

Certificate-Transparency-Logs (crt.sh, certspotter) und HackerTarget-Hostsuche, nacheinander abgefragt

/tools/subdomains

DSGVO-Cookie-Scanner

Pre-Consent-Cookies + Drittanbieter-Domains via Headless-Chromium (sieht JS-injizierte Tracker)

/tools/cookie-scan

Resource-Wasserfall

Vollständiges Page-Audit via Headless-Chromium: alle Resources inkl. JS-injizierter fetch/XHR, defer/async, Connection-Reuse

/tools/resource-waterfall

DMARC/DKIM/SPF-Validator

SPF, DMARC-Policy + Tags, DKIM-Selektoren per DNS-Lookup

/tools/dmarc-validator

Broken-Link-Checker

Alle Links einer Seite parallel prüfen, max 50 pro Aufruf

/tools/broken-links

Redirect-Checker

Vollständige Redirect-Kette mit Status + Location-Header pro Hop

/tools/redirect-checker

Core Web Vitals (CrUX)

LCP/CLS/INP aus echten Chrome-Nutzerdaten (75. Perzentil)

/tools/core-web-vitals

Tech-Stack-Detektor

CMS, Frameworks, Server-Software via Header + HTML-Patterns

/tools/tech-stack

BFSG-Barrierefreiheits-Check

Automatisierter WCAG-2.2-Test via axe-core in Headless-Browser

/tools/bfsg-check

Datenschutz-Crawler

DSGVO-Pflichtabschnitte per Keyword-Heuristik prüfen

/tools/datenschutz-crawler

Google-Fonts-Check

Externe Google-Fonts-Einbindung erkennen (DSGVO-Risiko)

/tools/google-fonts-check

Consent-Checker

Pre-Consent-Tracker im initialen HTML erkennen

/tools/consent-checker

BIMI-Validator

BIMI-DNS-Record + Logo-URL + DMARC-Prerequisite prüfen

/tools/bimi-validator

MTA-STS-Checker

DNS-Record, Policy-Datei (.well-known) und TLS-RPT validieren

/tools/mta-sts-checker

Sitemap-Validator (XML)

XML-Sitemap laden, Format validieren, URLs zählen

/tools/sitemap-validator

Online-cURL-Tool

HTTP-Request mit beliebiger Methode, Headern und Body senden

/tools/curl-tester

KI-Readiness-Check

KI-Crawler-Erlaubnis (robots.txt), llms.txt, strukturierte Daten und Sitemap → KI-Readiness-Score; SSRF-sicher, ohne Speicherung

/tools/ki-ready

IP-Adresse prüfen

Vollständiges IP-Profil: Standort mit Genauigkeitsradius, ASN/Provider/RIR, Zeitzone, Währung sowie VPN-, Tor- und Risiko-Hinweise

/tools/ip-check

IP-Reputation & Abuse-Score

Abuse-Score 0–100, Risiko-Stufe sowie VPN-, Tor-, Hosting- und Bogon-Hinweise mit ASN/RIR-Kontext

/tools/ip-reputation

VPN- & Proxy-Erkennung

Hinweise auf VPN, Tor-Exit, iCloud-Relay, Satellit und Hosting-IPs — plus Abuse-Score, Risiko, ASN und Land

/tools/vpn-proxy-check

Rechenzentrum oder Privatanschluss?

Unterscheidet Hosting-/Rechenzentrums-Netze von Privatanschlüssen — inklusive Cloud-Anbieter, Anschlussart und ASN

/tools/rechenzentrum-check

Zeitzone & Land per IP

Zeitzone mit Offset und Ortszeit, Sommerzeit-Status, Telefon-Vorwahl, Währung, Amtssprachen, Kontinent und EU-Zugehörigkeit

/tools/ip-zeitzone

Bogon- & Anycast-Check

Prüft, ob eine IP aus einem reservierten Bogon-Bereich stammt und ob sie per Anycast betrieben wird — mit ASN- und RIR-Kontext

/tools/bogon-anycast

ASN- & Netz-Lookup

IP, CIDR-Block oder AS-Nummer zu Organisation, Provider-Domain, Netz-Präfix, RIR sowie Hosting- und Abuse-Hinweisen auflösen

/tools/asn-netz-lookup

Reverse-DNS / PTR-Lookup

PTR-Hostnamen einer IP plus ASN, Provider und Land — für FCrDNS-Prüfung und das Einordnen von Server-Logs

/tools/reverse-dns

Massen-IP-Geolokalisierung

Bis zu 50 IP-Adressen oder Log-Zeilen gleichzeitig — Land, Stadt, ASN/ISP, VPN-/Hosting- und Abuse-Hinweise, CSV-Export im Browser

/tools/massen-ip

E-Mail-Header-Analyse

Rohe E-Mail-Header analysieren: vermutliche Ursprungs-IP mit Geo- und Risiko-Einschätzung, Received-Hops sowie SPF/DKIM/DMARC

/tools/email-header

# Browser-Helfer (14)

Diese Tools rechnen rein lokal in Ihrem Browser. Kein Daten-Versand, kein Rate-Limit, geeignet für sensible Eingaben (API-Keys, Tokens).

Impressum-Checker (§ 5 DDG)

Pflichtangaben nach § 5 DDG per Keyword-Heuristik prüfen (Browser-only)

/tools/impressum-checker

JWT-Decoder

Header/Payload/Signatur, exp-Status, HS256+RS256-Verify

/tools/jwt-decoder

JSON-Formatter & Validator

Pretty-Print, Minify, Key-Sort, Fehler mit Zeile+Spalte

/tools/json-formatter

JSONL-Validator

JSON Lines zeilenweise prüfen, Statistik, bereinigte Datei exportieren

/tools/jsonl-validator

Encoder & Hash

Base64, URL, MD5, SHA-1/256/512, HMAC

/tools/encoder

UUID & ULID Generator

UUID v4/v7 + ULID, Bulk + Validator

/tools/uuid-generator

Subnet-Rechner (CIDR)

IPv4 + IPv6 vollständig, Range/Broadcast/Maske

/tools/subnet-calc

E-Mail-Header-Analyzer

Received-Hops, SPF/DKIM/DMARC, Phishing-Hinweise

/tools/mail-header

Passwort-Generator

Kryptografisch sicher (Web-Crypto-API), Bulk + Entropie-Score

/tools/password-generator

A/B-Test-Sample-Size-Calculator

Two-Proportion z-Test: Stichprobengröße + Tage-bis-Signifikanz aus Baseline, MDE, α, Power

/tools/sample-size

Regex-Tester

Live-Highlighting, Capture-Groups, Named-Groups, alle JS-Flags

/tools/regex-tester

Base64-Image-Konverter

Bild per Drag & Drop in Data-URI (PNG/JPG/GIF/SVG/WebP)

/tools/base64-image

Cron-Parser

Cron-Ausdrücke analysieren, nächste 10 Ausführungen berechnen

/tools/cron-parser

HTTP-Statuscode-Referenz

Durchsuchbare Referenz aller HTTP-Statuscodes (1xx–5xx)

/tools/http-status

robots.txt + llms.txt Generator

KI-Crawler erlauben/blocken + Sitemap-Referenz → robots.txt und llms.txt, im Browser

/tools/robots-llms-generator

# Datenschutz & verantwortungsvolle Nutzung

Kein Logging: Server-Tools verarbeiten Anfragen im Speicher, persistieren weder Domain noch Ergebnis. Browser-Tools (JWT, JSON, Encoder, UUID, Subnet, Mail-Header) verlassen Ihren Computer nicht.
Feste Kategorien statt Nutzungs-Tracking: Die Tool-Übersicht /tools ist nach festen Kategorien gruppiert — wir führen keine Nutzungszähler pro Tool und sortieren nichts nach Beliebtheit. Kein personenbezogenes Tracking, keine Speicherung Ihrer IP-Adresse.
Fair-Use: Die Tools sind für Diagnose-Zwecke gedacht, nicht für Bulk-Scraping. Wer mehrere Tausend Anfragen pro Stunde fahren möchte, nutzt unsere authentifizierte API mit Plan.
EU-Hosting: Alle Tools laufen auf unseren Servern in Rechenzentren in der EU (Falkenstein, Nürnberg) — DSGVO-konform, kein Drittlandtransfer.
Bewusst nicht angeboten: Port-Scanner und Mail-Relay-Tester sind nicht enthalten — beides ist juristisch heikel oder kann Dritten schaden.

Auf der öffentlichen Tool-Übersicht /tools sind alle 59 Tools (inklusive der 10 Geo-Tools) nach 7 Kategorien gruppiert, damit Sie das passende Tool schneller finden.

# Wie tief die Server-Checks prüfen

Die Kurzbeschreibung auf der Kachel zeigt nur die Spitze. Drei Beispiele, was hinter den Kulissen wirklich abgefragt wird.

SSL/TLS-Inspektor — weit mehr als Ablaufdatum

Ein Aufruf öffnet einen TLS-Socket, liest Zertifikat und komplette Aussteller-Kette aus und ergänzt sie um aktive Probes: Schlüsseltyp und -länge (RSA/ECDSA inkl. Kurve), alle SAN-Einträge mit Hostname-Abgleich, OCSP-Stapling, HSTS-Header plus Preload-Listen-Status über die offizielle hstspreload.org-API, eine Cipher-Probe gegen TLS 1.0/1.1/1.2/1.3, die Anzahl der Certificate-Transparency-Log-Einträge über crt.sh, den HTTP-zu-HTTPS-Redirect sowie einen Mixed-Content-Scan der Startseite (aktiv und passiv getrennt).

Security-Header-Score — 10 gewichtete Pillar-Header

Bewertet werden zehn Header: Strict-Transport-Security (Gewicht 20), Content-Security-Policy (25), X-Frame-Options (10), X-Content-Type-Options (10), Referrer-Policy (8), Permissions-Policy (8), Cross-Origin-Opener-Policy (7), Cross-Origin-Embedder-Policy (5), Cross-Origin-Resource-Policy (4) und ein Server/X-Powered-By-Versions-Leak (3). Jeder Header wird abgestuft bepunktet — eine CSP mit unsafe-inline zählt weniger als eine strikte. Die gewichtete Summe ergibt eine Prozentzahl und daraus eine Schulnote von A bis F. Die CSP wird zusätzlich Direktive für Direktive analysiert (angelehnt an Mozilla Observatory), auch wenn sie nur im Report-Only-Modus gesetzt ist.

Mail-Server-Check — eine Domain, ein Klick, die ganze Zustellbarkeit

Parallel via DNS-over-HTTPS werden geprüft: MX-Records inklusive Reverse-DNS der ersten Mailserver, SPF, DMARC mit allen Tags (Policy p, Subdomain-Policy sp, pct, aspf, adkim, rua, ruf, fo), 61 gängige DKIM-Selektoren gleichzeitig, MTA-STS samt nachgeladener Policy-Datei unter .well-known, TLS-RPT, BIMI inklusive Logo- und VMC-Zertifikats-URL sowie der DNSSEC-Status der Domain. Aus diesen Signalen wird eine Bewertung gebildet (z. B. dmarc_strict, mta_sts_enforce). Das Ergebnis wird eine Stunde zwischengespeichert.

# Limits, SSRF-Schutz und Caching

Die Server-Checks sind öffentlich, aber nicht ungeschützt. Was dabei technisch greift:

Rate-Limit: Die meisten Server-Tools laufen unter 30 Anfragen pro Minute und IP. Der Massen-IP-Lookup ist auf 10 Anfragen pro Minute gedrosselt, weil eine einzige Anfrage bis zu 50 Geo-Lookups auslöst. Der Speed-Test ist bewusst ausgenommen — ein echter Durchsatz-Test braucht in kurzer Zeit viele Requests.
SSRF-Schutz: Tools, die eine fremde URL abrufen (Header, Security-Score, SSL, Cookie-Scan, Sitemap …), gehen über einen abgesicherten HTTP-Client, der private und lokale Adressbereiche blockiert und jeden Redirect-Hop samt verbundener IP erneut validiert. Eingaben werden vorab gegen einen Hostname-Filter geprüft.
Caching: Aufwändige Abfragen werden kurz zwischengespeichert — Mail-Server-Check und Certificate-Transparency-Counts eine Stunde, der Subdomain-Aggregator ebenso. So bleibt das Tool auch dann benutzbar, wenn eine externe Quelle (z. B. crt.sh) gerade langsam antwortet.
Mehrere Quellen statt einer: Vergleichende Tools fragen mehrere Anbieter ab — DNS-Lookup bei Google, Cloudflare und AdGuard und DNS-Propagation an 6 globalen DoH-Resolvern parallel, der Subdomain-Finder nacheinander bei crt.sh, certspotter und HackerTarget. Fällt eine Quelle aus, bleibt das Ergebnis verwertbar.

# Erweitertes Monitoring im Dashboard

Diese Checks laufen automatisch pro Website und sind in der „Erweitertes Monitoring“-Card auf der Website-Detail-Page sichtbar.

Check	Frequenz	Was geprüft wird
DNSSEC-Status	alle 6 Stunden	DNSKEY, DS-Record in Eltern-Zone, AD-Bit (validated/unsigned/no-ds)
Open-Graph	täglich	og:title, og:description, og:image, twitter:card, canonical
IP-Blacklist	täglich	MX-IPs der Domain gegen 11 DNSBLs (Spamhaus, Barracuda, CBL/Abuseat …)
Cookie-Scanner	täglich	Drittanbieter-Domains und Pre-Consent-Cookies
Subdomain-Inventur	auf Klick	Bekannte Subdomains aus Certificate-Transparency-Logs (crt.sh)

Wenn Sie selbst einen Scan über Scan → URL eingeben starten, werden DNSSEC, Open-Graph, IP-Blacklist und Cookie-Scanner direkt mitausgeführt — die Werte sind sofort aktuell, ohne auf die nächste tägliche Prüfung warten zu müssen.

# API-Endpoints

Die öffentlichen Endpoints liegen unter api.xictraq.com/api/tools/* und liefern JSON. Sie sind nicht offiziell als API dokumentiert — Schemas können sich ändern.

GET https://api.xictraq.com/api/tools/security-score?url=example.com

{
  "grade": "B",
  "percent": 78,
  "checks": [
    { "key": "hsts", "name": "Strict-Transport-Security", "present": true, "score": 1, "weight": 20 },
    { "key": "csp",  "name": "Content-Security-Policy",   "present": true, "weight": 25 }
  ],
  "waf": null,
  "checked_at": "2026-06-20T09:14:07+00:00"
}

Für stabile API-Nutzung mit Authentifizierung, History und SLA empfehlen wir den XICTRAQ-Plan. Die Server-Checks dieser Tools sind dort als Monitoring-Funktionen integriert.

Häufige Fragen zu den Tools

Nein. Alle 59 Tools sind ohne Anmeldung nutzbar. Für dauerhafte Überwachung mit Verlauf, Alerting und Authentifizierung gibt es die kostenpflichtigen XICTRAQ-Pläne — die Tools selbst bleiben frei.