Neben den Daten von Google kann SaaSMaestro Ihre Websites auch selbst aufrufen, um Probleme zu erkennen, die Google Ihnen nicht meldet. Die Prüfungen finden Sie unter Website-Zustand unter Einstellungen → Ihr Workspace → Datenverbindungen. Jede ist ein eigener Dienst, der ausgeschaltet bleibt, bis ein Inhaber oder Admin ihn in seinem Dialog einschaltet und dort auch wählt, welche Websites er abdeckt. Es muss nichts installiert werden.
Die Prüfungen kommen von unseren Servern unter 35.214.110.192. Wenn Ihre Website hinter einer Firewall, Cloudflare oder einem Sicherheits-Plugin liegt, setzen Sie diese Adresse zuerst auf die Whitelist. Siehe Unsere IP-Adresse auf die Whitelist setzen.
Die Dienste
| Dienst | Wie oft | Was geprüft wird |
|---|---|---|
| Uptime-Überwachung | Alle 15 Minuten | Ob die Startseite antwortet, aus anderen Regionen bestätigt, bevor ein Ausfall gemeldet wird, plus tägliche Prüfungen von Google-Tag, robots.txt, Sitemap und Seiten sowie ein Monatsbericht. |
| SSL-Zertifikatsüberwachung | Wöchentlich | Wann das Zertifikat abläuft, wer es ausgestellt hat und ob Besucher tatsächlich HTTPS erhalten. |
| Domain-Überwachung | Wöchentlich | Wann die Domain-Registrierung abläuft, der Registrar und Sperren der Registry. |
| DNS- & E-Mail-Sicherheit | Täglich | Änderungen an Nameservern und Mailservern sowie an SPF-, DMARC- und DKIM-Einträgen. |
| Blacklist & Malware | Täglich | Googles Web-Risk-Liste gefährlicher Websites und die URLhaus-Malware-Liste von abuse.ch. |
| Sicherheits-Header | Wöchentlich | Sechs gängige Sicherheits-Header, bewertet von A bis F, und über unverschlüsseltes HTTP geladene Dateien. |
| Labor-Performance | Wöchentlich | Ein PageSpeed-Insights-Test der mobilen Startseite mit dem Verlauf der Punktzahl. |
| Core Web Vitals | Täglich | Geschwindigkeit echter Besucher aus dem Chrome UX Report, gelesen bei den täglichen Prüfungen der Uptime-Überwachung, sobald der API-Schlüssel gesetzt ist. |
| Schlüsselseiten-Prüfungen | Alle 5, 15 oder 60 Minuten | Von Ihnen gewählte Seiten, etwa Preise oder Anmeldung, müssen laden und den von Ihnen angegebenen Text enthalten. |
| Heartbeat-Überwachung | So oft, wie Sie festlegen | Ihre eigenen Cron-Jobs, Backups und Worker rufen eine private Adresse auf; Sie werden benachrichtigt, wenn einer verstummt. |
Wenn eine neue Website hinzugefügt wird, werden Ihnen die Dienste angeboten, die für den Workspace bereits eingeschaltet sind. Warnungen aus den SSL-, Domain-, DNS-, Blacklist-, Sicherheits-Header- und Performance-Prüfungen werden als „Warnungen bei kritischen Problemen“ per E-Mail an Inhaber und Admins gesendet, sobald eine Prüfung sie findet, jeweils nur einmal, und an jeden Chat-Kanal, der sie empfängt.
Uptime
Die Startseite jeder Website wird alle 15 Minuten geprüft. Eine Website gilt erst nach zwei fehlgeschlagenen Prüfungen in Folge als ausgefallen, was Fehlalarme durch eine einzelne langsame Antwort vermeidet. Antworten wie „nicht autorisiert“ oder „zu viele Anfragen“ gelten als erreichbar, da der Server antwortet.
Bevor ein zweiter Fehlschlag als Ausfall gilt, laden auch Server in anderen Regionen die Website. Wenn die meisten sie laden können, liegt das Problem zwischen unserem Hauptserver und der Website, etwa an einem Netzwerkfehler oder einer Firewall-Regel, und es wird kein Ausfall gemeldet. Der Dialog Uptime-Überwachung listet die verwendeten Regionen auf.
Wenn eine Website ausfällt, erhalten Inhaber und Admins sofort eine Ausfall-E-Mail (höchstens einmal pro Ausfall und Woche), und ein kritisches Problem wird erstellt, bis sie wieder erreichbar ist. Am 1. jedes Monats erhalten sie außerdem einen monatlichen Uptime-Bericht mit Uptime und Ausfällen jeder Website im Vormonat; jeder kann ihn für sich selbst unter Benachrichtigungen ausschalten.
Tägliche Prüfungen
Diese laufen mit der Uptime-Überwachung, einmal täglich für jede Website, die sie abdeckt.
| Prüfung | Was geprüft wird |
|---|---|
| Google-Tag | Ob die Startseite das GA4-Tag dieser Website, eine andere GA4-ID, Google Tag Manager oder nichts davon enthält. |
| robots.txt | Ob sie existiert, ob sie sich geändert hat und ob sie alle Suchmaschinen blockiert. |
| Sitemap | Wie viele URLs sie aufführt; dabei werden bis zu 10 untergeordnete Sitemaps gelesen. |
| Core Web Vitals | Geschwindigkeit für echte Besucher aus dem Chrome UX Report: Largest Contentful Paint, Interaction to Next Paint und Cumulative Layout Shift. Erfordert einen Chrome-UX-Report-API-Schlüssel, der im Feld „Core Web Vitals“ im Tab „Datenverbindungen“ des Workspace hinterlegt wird. |
| Google-Indexstatus | Für mit Search Console verknüpfte Websites: ob jede beobachtete Seite im Google-Index ist, laut URL Inspection API. |
| Interne Links (wöchentlich) | Bis zu 40 Links von den beobachteten Seiten zu Ihrer eigenen Website werden verfolgt, und alle, die mit 404, 410 oder einem Serverfehler antworten, werden aufgelistet. |
Eine Website, die ihr Google-Tag über ein Consent-Tool oder Tag Manager lädt, zeigt möglicherweise „Google Tag Manager gefunden“ oder „Nicht gefunden“, obwohl das Tracking funktioniert. Prüfen Sie zur Sicherheit den Echtzeitbericht in GA4.
SSL-Zertifikate
Einmal pro Woche lesen unsere Server das Zertifikat, das jede Website ausliefert: wann es abläuft und wer es ausgestellt hat. Innerhalb von acht Tagen vor Ablauf oder solange HTTPS fehlt, schauen sie stattdessen täglich nach, damit eine Erneuerung bemerkt wird, bevor jemand gewarnt wird. Sie werden eine Woche vor Ablauf des Zertifikats gewarnt, noch einmal am Tag davor und nach dem Ablauf. Ab 14 Tagen vorher erscheint es als Problem auf der Seite der Website.
Sie prüfen außerdem, ob Besucher HTTPS erhalten: Sie werden gewarnt, wenn die Website nur über unverschlüsseltes HTTP antwortet oder wenn unverschlüsseltes HTTP die Website ausliefert, ohne auf HTTPS weiterzuleiten. Diese Warnungen wiederholen sich wöchentlich, bis das Problem behoben ist.
Domain-Registrierung
Einmal pro Woche wird die registrierte Domain (example.com für shop.example.com) bei ihrer Registry per RDAP abgefragt, oder per WHOIS, wenn die Registry kein RDAP bietet. Innerhalb eines Monats vor Ablauf geschieht dies täglich. Sie werden einen Monat, eine Woche und einen Tag vor Ablauf der Registrierung gewarnt und nach dem Ablauf. Außerdem werden Sie sofort benachrichtigt, wenn die Registry die Domain sperrt, wodurch Website und E-Mail nicht mehr funktionieren, oder wenn sie abgelaufen ist und bald gelöscht wird.
DNS- und E-Mail-Sicherheit
Einmal täglich werden die DNS-Einträge der Domain über DNS-over-HTTPS abgefragt, damit die Ergebnisse dem entsprechen, was der Rest des Internets sieht. Eine Änderung der Nameserver oder Mailserver löst sofort eine Warnung aus und bleibt eine Woche auf der Seite der Website sichtbar, denn so sieht eine gekaperte Domain oder eine missglückte Migration aus.
Bei Domains, die E-Mails empfangen, meldet die Prüfung außerdem einen fehlenden SPF-Eintrag, mehr als einen SPF-Eintrag, einen SPF-Eintrag, der jedem das Senden erlaubt (+all), und einen fehlenden DMARC-Eintrag. DKIM lässt sich nicht auflisten, daher wird wöchentlich unter den Selektoren gesucht, die gängige Mail-Dienste verwenden, und nur bei einem Fund angezeigt.
Blacklists und Malware
Einmal täglich wird jede Website auf Googles Web-Risk-Liste nachgeschlagen, wodurch Chrome und andere Browser Besuchern statt der Website eine rote Warnseite zeigen, sowie auf der URLhaus-Liste von abuse.ch mit Malware-Downloads. Beides bedeutet meist, dass die Website gehackt wurde, und Sie werden sofort benachrichtigt.
Diese Prüfung benötigt einen Google-Web-Risk-API-Schlüssel, einen URLhaus-Auth-Schlüssel oder beides, gespeichert in ihrem Dialog. Ohne einen der beiden läuft sie nicht. Googles kostenlose Safe Browsing API ist nicht für die kommerzielle Nutzung lizenziert, weshalb die kostenpflichtige Web Risk API verwendet wird.
Sicherheits-Header und Mixed Content
Einmal pro Woche wird die Startseite über HTTPS geladen und anhand von sechs Headern bewertet: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (oder CSP frame-ancestors), Referrer-Policy und Permissions-Policy. Alle sechs ergeben ein A, fünf ein B und so weiter. Sie werden benachrichtigt, wenn HSTS fehlt oder weniger als vier gesendet werden.
Die Seite wird außerdem nach Dateien durchsucht, die über unverschlüsseltes HTTP geladen werden. Auf diese Weise geladene Skripte, Stile und Frames werden von Browsern blockiert und können die Seite beschädigen; bei Bildern und Medien geht das Schloss-Symbol verloren. Geprüft wird nur das ausgelieferte HTML, daher werden später von Skripten hinzugefügte Dateien nicht erfasst.
Labor-Performance
Einmal pro Woche testet Googles PageSpeed Insights jede mobile Startseite auf einem simulierten Smartphone und bewertet sie mit einer Punktzahl von 100, samt Zeiten für Laden, Blockieren und Layoutverschiebung. Die letzten 12 wöchentlichen Werte werden gespeichert. Sie werden benachrichtigt, wenn die Punktzahl unter 50 liegt oder seit dem vorherigen Test um 15 Punkte oder mehr fällt, oft bevor die Core Web Vitals echter Besucher nachziehen. Verwendet wird derselbe Google-API-Schlüssel wie für Core Web Vitals, wobei die PageSpeed Insights API für das zugehörige Projekt aktiviert sein muss. Der Test läuft auf Googles Servern, nicht auf unseren.
Schlüsselseiten-Prüfungen
Fügen Sie die wichtigsten Seiten hinzu, etwa Preise, Anmeldung oder Checkout, mit dem Text, den jede enthalten muss, und wählen Sie, ob alle 5, 15 oder 60 Minuten geprüft wird. Eine Seite schlägt fehl, wenn sie nicht geladen wird, mit einem Fehler antwortet oder den Text nicht mehr enthält. So fällt auch eine defekte Seite auf, die weiterhin „200 OK“ meldet. Der Text wird in der Seite gesucht, wie unser Server sie erhält, bevor Skripte laufen.
Nach zwei Fehlschlägen in Folge erhalten Inhaber und Admins eine Ausfall-E-Mail, Chat-Kanäle werden benachrichtigt und ein kritisches Problem wird erstellt. Sie hören wieder von uns, sobald die Seite funktioniert.
Heartbeats
Jeder Heartbeat erhält eine private Adresse, etwa https://saasmaestro.com/hooks/heartbeat/…. Lassen Sie einen Ihrer Jobs sie bei jeder Ausführung aufrufen, zum Beispiel indem Sie curl -fsS und die Adresse ans Ende einer Cron-Zeile setzen. GET-, POST- und HEAD-Anfragen zählen alle.
Legen Sie fest, wie oft ein Ping erwartet wird, von alle 5 Minuten bis einmal pro Woche, und eine Karenzzeit für Jobs mit langer Laufzeit. Trifft innerhalb von Intervall plus Karenzzeit kein Ping ein, erhalten Inhaber und Admins eine Ausfall-E-Mail, Chat-Kanäle werden benachrichtigt und ein kritisches Problem wird erstellt; sobald wieder ein Ping eintrifft, hören sie davon. Ein Heartbeat wird erst überwacht, wenn sein erster Ping eingetroffen ist.
Beobachtete Seiten und automatische Notizen
SaaSMaestro beobachtet die Startseite und die fünf meistbesuchten Landingpages. Wenn sich Status, Titel, Meta-Beschreibung, Robots-Anweisung oder Canonical-Adresse einer Seite oder die robots.txt ändern, wird automatisch eine Timeline-Notiz hinzugefügt und mit „Automatisch erkannt“ markiert. Ebenso bei einer Seite, die aus dem Google-Index fällt. So kommt eine unerwartete Traffic-Veränderung oft schon mit ihrer Erklärung im Diagramm.
Wo Sie es sehen
Das Feld jedes Dienstes unter Datenverbindungen zeigt, wann er zuletzt lief und bei wie vielen Websites Handlungsbedarf besteht; über das Uhr-Symbol öffnen Sie die letzten Ergebnisse. Die Seite jeder Website hat einen Abschnitt Website-Zustand mit den aktuellen Ergebnissen. Probleme erscheinen außerdem in der Problemliste; siehe Problemprüfungen und Schweregrade.