Über den Vitrina-Engine-Monitor

Vitrina Engine prüft, ob eine Website erreichbar ist, wie lange sie zum Antworten braucht und ob ihr Zertifikat bald abläuft. Eine Prüfung ist eine einzelne Anfrage nach festem Zeitplan — meist einmal pro Minute und nie häufiger. Er crawlt nicht: er ruft genau die angegebene URL ab, folgt keinen Links und indiziert nichts.

Dieselbe Kennung wird verwendet, wenn wir einen Webhook an einen von einem Kunden konfigurierten Endpunkt senden — ein einzelner POST in dem Moment, in dem sich der Zustand von etwas Überwachtem ändert.

Jede Anfrage trägt diesen User-Agent:

VitrinaEngine/1.0 (+https://vitrinaengine.com/bot)

Ein User-Agent ist nur eine Behauptung, und jeder kann ihn kopieren. Verlassen Sie sich also nicht allein darauf — es gibt zwei Wege, eine Anfrage tatsächlich als unsere zu verifizieren.

Signaturen — der verlässliche Weg

Jede Anfrage ist kryptografisch signiert, mit HTTP Message Signatures (RFC 9421) in der Form, die Web Bot Auth definiert. Drei Header tragen das:

Signature-Agent: "https://vitrinaengine.com"
Signature-Input: sig1=("@authority" "signature-agent");…;tag="web-bot-auth"
Signature: sig1=:…:

Unsere öffentlichen Schlüssel werden als JSON Web Key Set veröffentlicht unter /.well-known/http-message-signatures-directory. Das ist die Prüfung, die Sie bevorzugen sollten. Eine Signatur lässt sich nicht gegen einen anderen Host wiederverwenden, nicht ohne unseren privaten Schlüssel fälschen und hängt von niemandes aktuellem DNS ab.

Reverse DNS — eine zusätzliche Prüfung

Unsere Sonden lösen rückwärts auf Hostnamen unter infinitycurve.com auf. Zur Prüfung lösen Sie die verbindende Adresse zu einem Namen auf, prüfen, ob der Name auf dieses Suffix endet, und lösen den Namen dann zurück auf, um dieselbe Adresse zu erhalten. Erst dieser Rundlauf ist der Beweis — ein Reverse-Eintrag allein wird von demjenigen gesetzt, der den Adressblock kontrolliert.

$ dig +short -x 203.0.113.10
host1234.infinitycurve.com.

$ dig +short host1234.infinitycurve.com
203.0.113.10

Nutzen Sie das, wenn Ihr Edge keine Signaturen prüfen kann. Es ist eine Bestätigung, kein Beweis, und es hängt von Einträgen ab, die derjenige veröffentlicht, der den jeweiligen Adressblock betreibt — nicht unser System, und nicht immer vorhanden.

Wir veröffentlichen keine Adressliste, und uns wäre lieber, Sie legten keine an. Sonden wechseln Hosts, Anbieter und Standorte, je nachdem wo wir sie platzieren — alles, was Sie an eine bestimmte Adresse oder ein bestimmtes Rechenzentrum binden, passt irgendwann nicht mehr, ohne dass etwas den Grund nennt. Prüfen Sie stattdessen die Signatur; sie stimmt unabhängig davon, woher die Anfrage kam.

Wenn Ihre robots.txt uns namentlich nennt, befolgen wir sie. Das stoppt unsere Prüfungen auf diesem Pfad innerhalb einer Stunde:

User-agent: VitrinaEngine
Disallow: /

Eine Platzhalterregel behandeln wir bewusst nicht als für uns geltend. Ein Monitor ist kein Crawler — er ruft eine URL ab, die jemand eingetragen hat, entdeckt nichts und speichert nichts —, und Websites mit pauschalem Verbot sind meist Staging-Umgebungen, Admin-Oberflächen und interne Werkzeuge, also genau das, was man uns zu überwachen bittet. Eine Regel, die uns nennt, ist eindeutig; eine an Suchmaschinen gerichtete nicht.

Fragen Sie denjenigen, der ihn eingerichtet hat. Ein Monitor existiert, weil jemand Ihre URL eingetragen hat, und diese Person kann ihn entfernen — meist eine Kollegin, eine Agentur oder ein Hosting-Anbieter, der für Sie handelt. Das ist mit Abstand der schnellste Weg.

Wenn Sie sie nicht finden, schreiben Sie an support@vitrinaengine.com mit der geprüften URL, und wir stellen es ein. Sie müssen nicht nachweisen, dass Ihnen die Domain gehört; wir hören lieber auf und werden gebeten, wieder anzufangen.

Den User-Agent zu sperren, die obige robots.txt-Regel oder die Hostnamen zu blockieren funktioniert ebenfalls und erfordert nichts von uns. Bedenken Sie, was das bedeutet: Der Monitor meldet die Website als nicht erreichbar, und wer ihn eingerichtet hat, wird es bemerken.

• Er crawlt nicht, durchsucht nicht und folgt keinen Links.
• Er sammelt keine Inhalte, trainiert nichts und speichert keine Antwortinhalte.
• Er versucht keine Anmeldung, sendet keine Formulare und sucht nicht nach Schwachstellen.
• Er ignoriert keine Sperre. Abgelehnt ist ein Ergebnis und wird als solches erfasst.