Reeve Ist deine Cursor-App sicher?
Mit Cursor baust du echte Software, indem du beschreibst, was du willst, während die KI einen Großteil des Codes schreibt. Das ist mächtig — aber es bedeutet auch, dass Code ausgeliefert werden kann, den du nie genau gelesen hast, und ein verirrter Schlüssel oder eine Einstellung kann mit rausgehen.
Reeve prüft die häufigsten Probleme von außen, kostenlos, und erklärt in verständlichem Deutsch, was es findet. Keine Installation, kein Zugriff auf deine Konten — nur, was ohnehin öffentlich ist.
Füge den Link deiner App ein. Etwa 20 Sekunden. Sieh deine Note ohne Anmeldung.
Was bei einer mit Cursor gebauten App tatsächlich schiefgehen kann
Nichts davon bedeutet, dass du etwas falsch gemacht hast — es sind die normalen Nebenwirkungen davon, die KI schnell Code schreiben zu lassen. Das ist einen Blick wert:
Ein geheimer Schlüssel, direkt in den Code geschrieben
Wenn die KI einen Dienst anbindet, setzt sie den Schlüssel manchmal direkt in den Code, damit es funktioniert — und wenn dieser Code im Browser läuft, kann ihn jeder lesen. Manche Schlüssel sollen öffentlich sein, und das ist in Ordnung; Reeve liest den geladenen Code deiner App, findet alle Schlüssel und sagt dir, welche sicher sind und welche auf den Server umziehen müssen.
Eine committete .env oder ein offengelegter .git-Ordner
Schlüssel sollen in einer .env-Datei leben, die nie ausgeliefert wird. Aber es ist leicht, versehentlich .env zu committen — oder den versteckten .git-Ordner zu deployen — sodass die ganze Historie, Schlüssel inklusive, herunterladbar wird. Reeve prüft, ob eines von beiden von außen erreichbar ist.
Deine Datenbank offen gelassen (RLS aus)
Wenn deine App Daten speichert — oft in Supabase oder einem anderen Postgres — gibt es eine Regel (Row Level Security) dafür, wer jede Zeile lesen oder ändern darf. Ist sie aus, können deine Tabellen für jeden offen sein, der die Adresse findet. Es ist das häufigste ernste Problem, und es ist unsichtbar, wenn du nicht nachprüfst.
Öffentlicher Dateispeicher
Wenn deine App Uploads annimmt, leben diese in Speicher-„Buckets“. Ein öffentlicher Bucket bedeutet, dass jeder auflisten oder herunterladen kann, was drin ist, sodass eine private Datei für alle sichtbar werden kann. Reeve prüft, ob deine Buckets auflistbar sind; es lädt nie die Dateien von jemandem herunter.
Source Maps eingeschaltet gelassen
Eine „Source Map“ legt den Original-Code deiner App jedem offen, der nachsieht. Nützlich beim Bauen, aber in der Produktion gibt sie Fremden eine lesbare Kopie davon, wie deine App funktioniert, und macht andere Lücken leichter auffindbar. Es lohnt sich, aufzuräumen. Reeve prüft, ob deine offengelegt sind.
Fehlende Sicherheits-Header & offene Endpunkte
Kleine Einstellungen, die Browsern sagen, wie sie deine Besucher schützen sollen, plus ob deine Daten-Endpunkte jedem oder jeder Website antworten. Allein geringfügig; zusammen summieren sie sich. Reeve markiert, was fehlt.
Was Reeve ist — und was nicht
Reeve ist eine kostenlose, nur-lesende Prüfung von außen — wie ein Inspektor, der die Türen probiert, ohne hineinzugehen. Sie ist schnell und fängt die häufigen, folgenreichen Fehler ab. Sie ist kein vollständiges Sicherheitsaudit, und eine saubere Note ist keine Garantie — sie bedeutet, dass die offensichtlichen Türen zu sind.
Cursor ist ein Editor, kein Hoster, deployt oder bewacht deine App also nicht für dich — mehr davon liegt bei dir und dem Code, den die KI erzeugt hat. Cursors eigene Werkzeuge können helfen, Code beim Schreiben zu prüfen, und wenn du Supabase nutzt, meldet dessen Berater Datenbankprobleme. Was Reeve ergänzt: eine Außensicht auf die App, die du tatsächlich ausgeliefert hast, in verständlichen Worten, mit denen du etwas anfangen kannst. Und wenn du am liebsten nicht daran denken möchtest, können wir sie für dich im Blick behalten.
Willst du es erledigt, nicht nur geprüft?
Reeve Care behält deine App im Blick, sichert deine Daten und hilft dir, Dinge zu reparieren, wenn sie kaputtgehen — damit du weiterbauen kannst, statt dir Sorgen zu machen.
Mehr über Reeve Care erfahrenFragen, ehrlich beantwortet
Ist von Cursors KI geschriebener Code sicher?
Es kann guter Code sein, aber „von KI geschrieben“ bedeutet nicht „auf Sicherheit geprüft“. Die KI optimiert darauf, dass Dinge funktionieren, was manchmal einen Schlüssel am falschen Ort oder eine fehlende Datenbankregel bedeutet. Der einzige Weg, es zu wissen, ist zu prüfen, was offengelegt ist — Reeve macht das kostenlos in etwa 20 Sekunden.
Ich glaube, ich habe eine .env-Datei committet — ist das gefährlich?
Es kann es sein, wenn die Datei (oder der versteckte .git-Ordner) auf deiner deployten Seite erreichbar ist, denn sie kann Live-Schlüssel enthalten. Reeve prüft von außen, ob eines von beiden herunterladbar ist, sodass du weißt, ob du diese Schlüssel rotieren musst.
Woran erkenne ich, ob meine Cursor-App API-Schlüssel leakt?
Die übliche Ursache ist ein Schlüssel, der direkt in Code geschrieben ist, der im Browser läuft. Reeve liest den geladenen Code deiner App, findet alle Schlüssel und sagt dir, welche sicher öffentlich sein können und welche auf den Server umziehen müssen — ohne die echten Werte zu speichern.
Ändert das Scannen meiner App etwas?
Nein. Reeve sieht sich nur an, was von außen ohnehin öffentlich ist. Es loggt sich nie ein, ändert nie etwas und lädt nie deine Dateien herunter — nur lesend, wie das Prüfen, ob eine Tür abgeschlossen ist, ohne einzutreten.
Woanders gebaut? Wir haben denselben ehrlichen Überblick für:
Automatisierte externe Prüfung, kein vollständiges Audit. Das Fehlen von Funden ist keine Garantie für Sicherheit.