Schnittstellen, API & Automationen › Öffentliche System-Endpunkte (unauthentifiziert)
Öffentliche System-Endpunkte (unauthentifiziert)
API-GruppeLive✓ Geprüft am Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit)Endpunkte ohne jeden Login: Server-Gesundheitscheck, die Kontaktformular-Anfrage von der Webseite, Fehlermeldungen des Browsers zur Sicherheitsrichtlinie (CSP) und die Sprachumschaltung. Bewusst offen, weil sie von jedem Besucher oder automatisierten Prüfsystem erreichbar sein müssen.
Bild folgt
Diese Endpunkte prüfen nicht, wer sie aufruft — sie müssen von jedem Besucher oder einem automatisierten Prüfsystem erreichbar sein, ohne vorherige Anmeldung. Der einfache Gesundheitscheck beantwortet nur, ob der Server überhaupt antwortet; eine ausführlichere Variante prüft zusätzlich Datenbank, Mail-Warteschlange, Aktivitätsprotokoll, Datensicherung und Datenbank-Migrationen — diese tiefere Prüfung verlangt aber dasselbe Passwort wie die zeitgesteuerten Hintergrundläufe, ist also trotz des Namens nicht offen für jeden. Das Kontaktformular verschickt bei jeder Anfrage zwei Mails (ans Büro und optional eine Bestätigung an den Absender) und ist deshalb je Adresse auf fünf Anfragen pro Stunde begrenzt, weil jede angenommene Anfrage einen echten Mailversand auslöst. Die Sprachumschaltung setzt nur ein Cookie im Browser. Ein Zähl-Beacon meldet einmal je Seitenaufruf den besuchten Pfad und ist auf 30 Aufrufe je Minute und Adresse gedrosselt. Meldet ein Browser einen Verstoß gegen seine Sicherheitsrichtlinie (CSP), landet das im Aktivitätsprotokoll.
- Die ausführliche Gesundheitsprüfung antwortet mit „unauthorized" → das Passwort für Hintergrundläufe fehlt oder stimmt nicht, dieselbe Absicherung wie bei den zeitgesteuerten Automationen.
- Kontaktformular meldet „zu viele Anfragen" → die stündliche Grenze pro Adresse ist erreicht, der telefonische Kontakt bleibt als Ausweg.
Erzeugt von
- Betriebs-Überwachung Teilweise
Enthält
Geschützt von
Nutzt
- Öffentliche Website Teilweise
Speist
- Betriebs-Überwachung Teilweise
- Ist /api/health von aussen (Internet) erreichbar oder nur intern via Docker-Healthcheck? Nicht geprueft.
- app/api/health
- app/api/health/ready
- app/api/csp-report
- app/api/locale
- app/api/contact
- app/api/track
| aufrufer | Browser (öffentlich), Uptime-Monitoring |
|---|---|
| routen | 6 |
| auth | KEINE für health, csp-report, locale, contact, track — bewusst öffentlich, mit Rate-Limit auf contact (5/h je Adresse) und track (30/min je Adresse); health/ready verlangt dagegen dasselbe Passwort wie die Cron-Läufe (verifyCronAuth) |
Beleg: app/api/health/route.ts — keinerlei Auth-Import (nur NextResponse.json); app/api/csp-report/route.ts — keinerlei Auth-Import
Tiefer fragen
Kontext aus dem KFZ-Bozo-Handbuch
Knoten: api-oeffentlich-system (API-Gruppe · Schnittstellen, API & Automationen · live · geprüft Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit) @ 0f0406a1)
Kurz: Endpunkte ohne jeden Login: Server-Gesundheitscheck, die Kontaktformular-Anfrage von der Webseite, Fehlermeldungen des Browsers zur Sicherheitsrichtlinie (CSP) und die Sprachumschaltung. Bewusst offen, weil sie von jedem Besucher oder automatisierten Prüfsystem erreichbar sein müssen.
Lies zuerst (Lesebereich, nicht der ganze Baum):
app/api/health
app/api/health/ready
app/api/csp-report
app/api/locale
app/api/contact
app/api/track
Hängt zusammen mit:
ops-monitoring (app/api/health) · sec-csp (middleware.ts) · sec-rate-limit (lib/rate-limit.ts) · app-website (app/layout.tsx) · ops-monitoring (app/api/health)
Offene Fragen der Seite:
Ist /api/health von aussen (Internet) erreichbar oder nur intern via Docker-Healthcheck? Nicht geprueft.
Hausregel 2: Vault-Daten sind für diese Session unsichtbar; Quellpfade auf Vault-Code sind keine Freigabe.
Frage: {{DEINE FRAGE}}
Antworte nur mit Belegen: nenne Datei und Zeile für jede Aussage.
Wenn die Quellen die Frage nicht beantworten, sag das und nenne, was du zusätzlich lesen müsstest.
Weicht die Seite vom Code ab, schlage den Seiten-Patch vor (wiki/seiten/schnittstellen-automation/api-oeffentlich-system.md).