API-Rate-Limiting & eine Managed WAF.
Automatisches API-Rate-Limiting deckelt Missbrauch pro Route, pro IP und pro Konto, und eine Managed WAF mit 50k+ Regeln blockiert SQL-Injection, XSS, SSRF und Scanner-Bots. So abgestimmt, dass sie nicht blockiert: Ihre echten Nutzer treffen nie auf einen Fehlalarm. Jede Anfrage erhält ein prüfbares Verdikt, die Regel, die Payload, den Grund. Installiert in einer Zeile und macht immer fail-open.
- Automatische API-Rate-Limits
- 50k+ verwaltete Regeln
- Keine Fehlalarme
- Immer fail-open
Eine Managed Firewall, die jede Anfrage im Blick hat.
Die WAF läuft in Ihrer App und entscheidet in rund vier Millisekunden. Sie fassen nie eine Signatur an: Die Policy kommt gestreamt von Defenso und aktualisiert sich wöchentlich, und sie fällt immer in den Fail-Open-Modus. Sollten wir einmal nicht erreichbar sein, fließt Ihr Traffic ungehindert weiter.
SQL Injection, XSS, SSRF, Command Injection, Path Traversal und Scanner-Bots, jede Regel getaggt mit ihrer MITRE ATT&CK- und OWASP-ID, damit ein Urteil nie eine Blackbox ist. Wöchentlich von uns aktualisiert.
Ihre Endpunkte werden aus echtem Traffic erkannt und erhalten Rate-Limits pro Route und pro IP. Login-Routen kommen ab Werk mit Brute-Force-Limits, sodass Credential Stuffing und Scraping schon an der Tür scheitern.
Bestätigte Angreifer bekommen stimmige Attrappen und Honeytokens statt Ihrer echten Daten. Die Beute ist wertlos, und in dem Moment, in dem sie den Köder anfassen, erhalten Sie eine Frühwarnung.
Was die Managed WAF für Sie blockiert.
Die Angriffe, die wir jeden Tag in der Produktion stoppen. Zum Pausieren und Lesen mit der Maus darüberfahren.
SQL Injection
Nutzereingaben, direkt in eine Query verkettet. Wir stoppen sie, bevor sie Ihre Datenbank erreichen.
Cross-Site-Scripting (XSS)
Ein Skript, das ein Angreifer einschleust und das bei Ihren Nutzern laufen würde. Blockiert am Edge.
SSRF
Der Server, ausgetrickst, interne URLs abzurufen, die er niemals anfassen sollte.
Command Injection
Shell-Befehle, durch ein Eingabefeld eingeschmuggelt. Von den Managed Rules abgefangen.
Path Traversal
Hinterlistige ../-Pfade, die nach Dateien außerhalb des Web-Roots greifen.
SQL Injection
Nutzereingaben, direkt in eine Query verkettet. Wir stoppen sie, bevor sie Ihre Datenbank erreichen.
Cross-Site-Scripting (XSS)
Ein Skript, das ein Angreifer einschleust und das bei Ihren Nutzern laufen würde. Blockiert am Edge.
SSRF
Der Server, ausgetrickst, interne URLs abzurufen, die er niemals anfassen sollte.
Command Injection
Shell-Befehle, durch ein Eingabefeld eingeschmuggelt. Von den Managed Rules abgefangen.
Path Traversal
Hinterlistige ../-Pfade, die nach Dateien außerhalb des Web-Roots greifen.
Scanner & böse Bots
Automatisierte Scanner und Headless-Browser, per JA4 und Verhalten identifiziert.
Credential Stuffing
Login-Fluten mit geleakten Passwörtern, gestoppt durch Velocity-Limits pro Konto.
Mass Assignment
Zusätzliche Felder, in eine Anfrage geschmuggelt, um zu überschreiben, was sie nicht sollten.
Brute Force
Login- und API-Dauerbeschuss, ab Werk pro IP und pro Konto gedeckelt.
NoSQL Injection
Operator-Injection-Payloads, gerichtet auf MongoDB und Konsorten.
Scanner & böse Bots
Automatisierte Scanner und Headless-Browser, per JA4 und Verhalten identifiziert.
Credential Stuffing
Login-Fluten mit geleakten Passwörtern, gestoppt durch Velocity-Limits pro Konto.
Mass Assignment
Zusätzliche Felder, in eine Anfrage geschmuggelt, um zu überschreiben, was sie nicht sollten.
Brute Force
Login- und API-Dauerbeschuss, ab Werk pro IP und pro Konto gedeckelt.
NoSQL Injection
Operator-Injection-Payloads, gerichtet auf MongoDB und Konsorten.
Aktive Täuschung, direkt in die Firewall eingebaut.
Blockieren verrät dem Angreifer, dass sein Test entdeckt wurde, und lädt zur leiseren Payload ein. Aktive Täuschung antwortet auf dieselbe bestätigte Bedrohung mit einer stimmigen, wertlosen Welt: gefälschte .env-Dateien, Köder-Adminpanels und Honeytokens statt Ihrer echten Daten. Der Honeypot läuft im Request-Pfad, den die WAF ohnehin schon inspiziert, ohne dass Sie etwas zusätzlich ausrollen müssen, und im Moment, in dem sie den Köder anfassen, erhalten Sie die frühestmögliche Warnung. Sie entschärft den Angriff (defang), statt ihn nur zu blockieren.
Die Täuschung greift nie bei normalem Traffic. Sie aktiviert sich erst, nachdem eine Anfrage bereits ein feindliches Urteil der Managed WAF kassiert hat: Exploit-Payloads, Path-Traversal-Tests, Scanner-Fingerprints, Credential-Stuffing-Wellen. Verifizierte Crawler wie Googlebot und Bingbot stehen auf einer dauerhaften Allowlist und bekommen nie einen Köder zu sehen, sodass Ihr SEO und Ihre echten Nutzer unberührt bleiben.
Tests auf .env, .git, Backup-Archive oder Adminpanels liefern plausible Dateien und Seiten statt eines Statuscodes. Die Attrappen sind in sich schlüssig, sodass ein Angreifer den Faden immer tiefer in eine Sandbox verfolgt, während Ihre echten Daten außer Reichweite bleiben. Das ist Täuschung, verwoben in den Live-Request-Pfad, kein Honeypot-Gerät, das abseits vor sich hinsteht.
Jede gefälschte Zugangsdaten, jeder API-Key und jeder Connection-String ist ein Honeytoken, das nirgends funktioniert. In der Sekunde, in der eines irgendwo im Internet benutzt wird, erhalten Sie eine Warnung mit dem Fingerprint des Angreifers. Weil nur ein Angreifer je den Köder anfasst, hat das Signal praktisch keine False Positives, die früheste und sauberste Einbruchserkennung, die Sie betreiben können.
Eine Firewall, die Sie nie babysitten müssen.
Die meisten Firewalls geben Ihnen eine Regel-Engine und ein Handbuch. Unsere bringt 50k+ verwaltete Regeln mit, läuft in Ihrer Anwendung, entscheidet in etwa vier Millisekunden und hält ihre eigene Policy aktuell, sodass Sie null Zeit mit dem Feintuning von Signaturen verbringen. Sie ist so abgestimmt, dass sie nicht blockiert: echte Nutzer und legitimer API-Verkehr lösen nie einen Fehlalarm aus.
Sobald eine Anfrage eintrifft, wird sie gegen eine Policy aus 50.000+ mit MITRE ATT&CK und OWASP getaggten Regeln geprüft, die wir jede Woche aktualisieren, samt frischer Regeln für die Angriffsmuster, die Apps genau jetzt treffen. Ist sie feindlich, wird sie gestoppt, bevor sie Ihren Code erreicht, und das Verdikt wird mit der exakten Regel und Payload protokolliert, sodass nichts eine Blackbox ist. Ist sie sauber, geht sie mit wenigen zusätzlichen Millisekunden durch.
Das Schwere an jeder WAF ist nicht, Angriffe zu blockieren, sondern Ihre Kunden nicht zu blockieren. Unsere ist gegen False Positives ausgelegt: Regeln werden bewertet und gefiltert, sodass eine legitime Anfrage nie auf einen bloßen Verdacht hin verworfen wird, und das API-Rate-Limiting deckelt Missbrauch pro Route, pro IP und pro Konto, ohne die normale Nutzung zu drosseln. Sie erhalten Schutz, der still bleibt, bis es darauf ankommt.
Weil die Policy bei uns liegt, sind Sie nie die letzte Site mit einem veralteten Regelsatz. Neue Angriffsmuster werden zentral hinzugefügt und greifen noch am selben Tag auf Ihrer Site, ganz ohne Deploy auf Ihrer Seite. Und sie ist fail-open by Design: Sollte unser Dienst je nicht erreichbar sein, wird jede Anfrage durchgelassen und Ihre App liefert weiter aus. Bestätigte Angreifer werden nicht nur blockiert, sie werden aktiv getäuscht: stimmige Fake-Dateien und Honeytokens statt Ihrer echten Daten, sodass ein Einbruch wertlos ist und Sie die frühestmögliche Warnung erhalten.
Den Angriff blockieren oder ihn wertlos machen.
Blockieren und Täuschung sind keine Rivalen. Defenso macht beides in einem Request-Pfad: Feindlicher Traffic wird blockiert, wo eine Blockade genügt, und getäuscht, wo der Angreifer Stunden vergeuden und Ihnen einen Fingerprint hinterlassen soll. So schneidet aktive Täuschung, in die App eingebaut, gegenüber reinem Blockieren und gegenüber einem klassischen eigenständigen Honeypot-Gerät ab.
| Fähigkeit | Reine Block-WAF | Eigenständiger Honeypot | Defenso Aktive Täuschung |
|---|---|---|---|
| Stoppt den Exploit vollständig | ✓ | × | ✓ |
| Angreifer merkt, dass sein Test entdeckt wurde | Ja | Nein | Nein |
| Liefert stimmige gefälschte Dateien und Köder-Panels | × | Teilweise | ✓ |
| Honeytokens, die bei Wiederverwendung warnen | × | ✓ | ✓ |
| Markierte Exfiltration, die Sie später zurückverfolgen | × | × | ✓ |
| Greift nur bei bestätigten Angreifern | k. A. | × | ✓ |
| Verifizierten Crawlern wird nie ein Köder gezeigt | k. A. | × | ✓ |
| Läuft in Ihrer App, nichts auszurollen | ✓ | × | ✓ |
| In jedem Tarif enthalten, auch Free | Unterschiedlich | × | ✓ |
Automatisches API- Rate-Limiting.
Die Firewall blockiert mehr als nur Payloads. Sie erkennt Ihre API-Endpunkte aus echtem Traffic und deckelt Missbrauch pro Route, pro IP und pro Konto, ganz ohne Regeln, die Sie schreiben müssten.
Endpunkte für Sie gefunden
Ihre Routen werden aus echtem Traffic gelernt, sodass Sie nie eine Liste pflegen. Neue Endpunkte werden automatisch erfasst und die, die Schutz brauchen, markiert.
Pro Route, pro IP, pro Konto
Limits greifen dort, wo es zählt: eine Login-Route, eine Such-API, ein Schreib-Endpunkt. Ausbrüche von einer IP oder einem Konto werden gedrosselt, ohne Ihre legitimen Nutzer anzurühren.
Brute-Force-Limits ab Werk
Login- und Token-Routen kommen ab Tag eins mit Credential-Stuffing- und Brute-Force-Limits, sodass Password Spraying und Scraping schon an der Tür scheitern, bevor Sie irgendetwas konfigurieren.
Eine Managed WAF vs. ein CDN oder eine Edge-Firewall.
Ein CDN wie Cloudflare schützt den Edge vor Ihrer App. Defenso schützt die App selbst und übernimmt die Sicherheitsarbeit, für die ein CDN nie gedacht war. Die meisten Teams betreiben beides.
| CDN / Edge-Firewall | Defenso Managed WAF | |
|---|---|---|
| Blockiert SQLi, XSS, SSRF | ✓ | ✓ |
| Prüfbare Regel + Payload pro Anfrage | manchmal | ✓ |
| Erkennt Ihre APIs automatisch & limitiert sie | × | ✓ |
| Aktive Täuschung & Honeytokens | × | ✓ |
| Website- & Repo-Sicherheitsscans | × | ✓ |
| Pentest & Compliance im selben Konto | × | ✓ |
| Arbeitet neben Ihrem bestehenden CDN | — | ✓ |
Häufige Fragen.
Alles, was man vor dem Start fragt. Noch unsicher? Wir sind eine Nachricht entfernt.
Nein. Die Managed WAF kommt mit einer Policy aus nach MITRE und OWASP getaggten Regeln, die wir wöchentlich aktualisieren. Sie funktioniert ab Werk, und ab Pro aufwärts können Sie eigene Regeln hinzufügen, wenn Sie möchten.
Sollte sie nicht. Verifizierte Crawler wie Google und Bing stehen auf der Allowlist, und die Regeln sind gegen echten Traffic abgestimmt. Wird eine Anfrage blockiert, sehen Sie genau, welche Regel gegriffen hat, und die Payload, sodass sich ein False Positive leicht erkennen und anpassen lässt.
Rund vier Millisekunden pro Anfrage. Die Prüfung läuft in Ihrer App und liefert das Urteil schnell zurück, und sichere GET-Antworten lassen sich am Edge cachen, um das wieder hereinzuholen.
Nichts geht kaputt. Die WAF ist Fail-Open by Design: Ist unser Dienst nicht erreichbar, wird jede Anfrage durchgelassen und Ihre App liefert normal weiter aus. Ihre App liefert die ganze Zeit weiter aus; nur unsere Live-Policy-Updates pausieren, bis wir wieder da sind.
Nein, sie ergänzt es. Ein CDN schützt den Edge; die Managed WAF schützt die App dahinter und ergänzt Scans, Pentest, Täuschung und Compliance. Die meisten Kunden betreiben beides, und wir halten unsere Checker-IPs von Ihrer CDN-Firewall fern, damit eine Regel nie einen falschen Downtime-Alarm auslöst.
Fügen Sie eine Zeile Code mit dem SDK hinzu oder klicken Sie einmal mit dem WordPress-Plugin. Die Managed Firewall, die Rate-Limits und die Täuschung schalten sich gemeinsam ein, ohne Config-Datei, die Sie pflegen müssten.
Aktive Täuschung antwortet einem bestätigten Angreifer mit einer stimmigen gefälschten Umgebung statt eines Fehlers: plausible gefälschte Dateien, Köder-Adminpanels und Honeytokens, sodass der Angreifer Zeit an wertlosen Daten vergeudet, während Sie einen Frühwarn-Einbruchsalarm erhalten. Anders als bei einem klassischen eigenständigen Honeypot, den Sie abseits aufstellen und überwachen, läuft die Defenso-Täuschung in Ihrer echten App auf dem Request-Pfad, den die WAF ohnehin inspiziert, sodass sie den tatsächlichen Angreifer erwischt, der Ihre Live-Website trifft, ohne dass Sie etwas zusätzlich ausrollen müssen. Sie ist in jedem Tarif enthalten, auch Free.
Nein. Die Täuschung greift erst, wenn eine Anfrage ein feindliches Urteil der WAF kassiert hat. Normale Besucher und verifizierte Crawler wie Googlebot und Bingbot stehen auf einer dauerhaften Allowlist und bekommen nie einen Köder zu sehen, sodass Ihre Nutzer und Ihr Suchranking nie beeinträchtigt werden. Honeytokens funktionieren nirgends, sodass keine legitime Person sie je anfasst, weshalb der Alarm praktisch keine False Positives hat.
Schalten Sie die Firewall in einer Zeile ein.
Kostenlos zum Starten, keine Karte nötig. Fügen Sie eine Zeile hinzu, und die Managed WAF, die Rate-Limits und die Täuschung beginnen in der Produktion zu blockieren.