SWPanel

SWPanel-Bots

SWPanelBot-Security

Betrachtet die Website von außen, so wie ein Angreifer sie sähe: das Zertifikat und die Verschlüsselung, die Sicherheits-Header und ob es Dateien gibt, die nie öffentlich sein sollten. Er bestätigt auch, dass eine Sicherheitskorrektur angewendet wurde.

User-Agent Mozilla/5.0 (compatible; SWPanelBot-Security/1.1; +https://www.swpanel.com/bots/security)

Funktion: Sicherheit 360 Betreiber: DeepThink Software SLU Kontakt: [email protected] Version: 1.1 Geprüft am: 17. Oktober 2026

Datenblatt

Alles, was SWPanelBot-Security tut

Aus dem Code des Moduls entnommen. Ändert der Bot, was er tut, ändern sich dieses Datenblatt und seine Version.

Identität

Name
SWPanelBot-Security. Das ist auch sein Name für robots.txt.
Familie
SWPanelBot: der gemeinsame Name aller SWPanel-Bots.
Version
1.1, die im User-Agent steht. Die Änderungen jeder Version stehen weiter unten.
Typ
Direkt: Er wird von SWPanel ausgeführt und kontrolliert, stets im Auftrag des Dienstinhabers.
Kategorie
Sicherheitstests
Betreiber
DeepThink Software SLU, Inhaberin von SWPanel. Rechtliche Informationen.
Kontakt
[email protected]
Frühere Namen
SWPanel-SOC/1.0 ohne Namen (Standard-HTTP-Client)

Wann und wie viel

Wann er kommt
Bei den Analysen des Security-360-SOC und der Code-Analyse sowie beim Anwenden oder Rückgängigmachen einer Korrektur.
Häufigkeit
Einmal pro Analyse, geplant oder manuell, und einmal pro angewendeter oder rückgängig gemachter Korrektur.
Pro Analyse
Eine TLS-Verbindung zu Port 443, ein GET auf die Startseite und ein GET auf jeden der 8 sensiblen Pfade: etwa zehn Anfragen.
Parallel
Nie. Eine Anfrage nach der anderen.

Wie er anfordert

Pfade, die er testet
/.git/config, /.git/HEAD, /.env, /wp-config.php.bak, /phpinfo.php, /server-status, /.svn/entries und /adminer.php.
Wie er entscheidet
Er sucht in der Antwort eine konkrete Signatur jeder Datei, etwa „[core]“ in .git/config. Ein 200 ohne diese Signatur zählt nicht als exponiert.
Eine Korrektur verifizieren
Er fordert die Startseite mit ?swsoc= und der Korrekturnummer ohne Cache an, um zu prüfen, dass sie angewendet wurde.
Methoden
GET. Für das Zertifikat nur der TLS-Handshake, ohne eine Seite anzufordern.
Weiterleitungen
Er folgt ihnen, um die Header der Startseite zu lesen. Bei sensiblen Pfaden nicht: Es zählt nur, was dieser Pfad selbst liefert.
Zertifikat
Er liest es für den Bericht: Protokoll, Verschlüsselung, Aussteller und Ablauf. Er bricht den Besuch nicht ab, wenn es fehlerhaft ist.
Cookies und JavaScript
Nein.
Wartezeiten
5 Sekunden für den TLS-Handshake, 4 und 6 für die Startseite, 3 und 5 für jeden Pfad und bis zu 20 für die Verifizierung einer Korrektur.
Herkunft
In Vorbereitung Von den Servern von SWPanel. Wir reservieren einige ausgehende IPs nur für die Bots; sobald sie vorhanden sind, veröffentlichen wir sie hier in einer JSON-Datei.
Reverse-DNS
In Vorbereitung Jede IP erhält einen Namen unter bots.swpanel.com, der zur selben IP zurückführt.

Normen, die er anwendet

robots.txt
Ausgenommen, begründet Er konsultiert sie nicht. Es sind punktuelle Prüfungen im Auftrag des Inhabers, und die Pfade sind genau die, die nicht lesbar sein sollten.
Welche Websites er besucht
Erfüllt Er besucht nur Websites aktiver SWPanel-Dienste und hört auf, sobald der Dienst gekündigt wird: Er prüft das vor jeder Anfrage.
Wenn die Website um Drosselung bittet
Erfüllt Bei 429 oder 503 wartet er, was Retry-After angibt, wenn es 60 Sekunden oder weniger sind (10, wenn nichts angegeben ist). Wird mehr verlangt, verlässt er die Website bis zur nächsten Analyse. Nach 3 aufeinanderfolgenden 5xx-Fehlern verlässt er sie ebenfalls.
HTTP-Cache
Nicht anwendbar Er braucht die aktuelle Antwort. Die Verifizierung einer Korrektur fordert absichtlich ohne Cache an.
Signatur
Erfüllt Er signiert jede Anfrage mit Web Bot Auth (RFC 9421, Ed25519): Header Signature, Signature-Input und Signature-Agent. Der öffentliche Schlüssel liegt unter https://www.swpanel.com/.well-known/http-message-signatures-directory.
Kontakt in der Anfrage
Erfüllt Er trägt From: [email protected], wie es RFC 9110 von automatisierten Clients verlangt.

Was er mit den Daten macht

Was er liest
Die Header der Startseite, die Zertifikatsdaten und, pro Pfad, der Antwortcode und ob die Signatur erscheint.
Was er speichert
Nur das Ergebnis: welcher Pfad geantwortet hat und mit welcher Signatur. Findet er eine offene Datei, speichert er deren Inhalt nicht.
Wie lange
Zusammen mit dem Analyseverlauf des Dienstes, im SWPanel des Inhabers.
Wofür
Um den Inhaber zu benachrichtigen und ihm die Korrektur vorzuschlagen.
Datenschutz
Allgemeine Datenschutzerklärung von SWPanel.

Für den Bericht fragt er auch öffentliche Quellen ab, die deine Website nicht berühren: die Zertifikatsprotokolle von crt.sh und das DNS von Google.

So funktioniert es

Ein Durchlauf, Schritt für Schritt

  1. Prüft das Zertifikat

    Öffnet eine TLS-Verbindung zu Port 443 und liest Protokoll, Verschlüsselung, Aussteller und Ablauf.

  2. Liest die Header

    Fordert die Startseite an und prüft HSTS, CSP, X-Frame-Options und die übrigen Sicherheits-Header.

  3. Testet die Pfade

    Fordert, ohne Weiterleitungen zu folgen, jeden der 8 Pfade an, die nie öffentlich sein sollten.

  4. Sucht die Signatur

    In jeder Antwort sucht er die Signatur der Datei. Fehlt sie, gibt es keine Warnung, auch wenn der Pfad 200 antwortet.

  5. Warnt

    Findet er etwas, hinterlegt er es in Sicherheit 360 mit der vorgeschlagenen Korrektur.

  6. Verifiziert die Korrektur

    Beim Anwenden oder Rückgängigmachen fordert er die Startseite ohne Cache an, um zu bestätigen, dass es so geworden ist.

In deinen Logs

So sieht SWPanelBot-Security aus

Ein Beispiel im kombinierten Format von Apache und Nginx. IP und Domain sind Dokumentationswerte: Deine werden andere sein.

203.0.113.30 - - [17/Oct/2026:11:20:01 +0200] "GET / HTTP/1.1" 200 48211 "-" "Mozilla/5.0 (compatible; SWPanelBot-Security/1.1; +https://www.swpanel.com/bots/security)" 203.0.113.30 - - [17/Oct/2026:11:20:02 +0200] "GET /.git/config HTTP/1.1" 404 196 "-" "Mozilla/5.0 (compatible; SWPanelBot-Security/1.1; +https://www.swpanel.com/bots/security)" 203.0.113.30 - - [17/Oct/2026:11:20:02 +0200] "GET /.env HTTP/1.1" 404 196 "-" "Mozilla/5.0 (compatible; SWPanelBot-Security/1.1; +https://www.swpanel.com/bots/security)" 203.0.113.30 - - [17/Oct/2026:11:20:03 +0200] "GET /phpinfo.php HTTP/1.1" 404 196 "-" "Mozilla/5.0 (compatible; SWPanelBot-Security/1.1; +https://www.swpanel.com/bots/security)" 203.0.113.30 - - [17/Oct/2026:11:42:17 +0200] "GET /?swsoc=48213 HTTP/1.1" 200 48211 "-" "Mozilla/5.0 (compatible; SWPanelBot-Security/1.1; +https://www.swpanel.com/bots/security)"

Es wirkt wie ein Scan, sind aber nur diese Pfade, unter diesem Namen, einer nach dem anderen. Die letzte Zeile ist die Verifizierung einer Korrektur.

Prüfen

Ist es wirklich SWPanelBot-Security?

Ein User-Agent lässt sich kopieren. Deshalb muss man ihn zusammen mit dem Rest prüfen. Die Beispiele verwenden eine Dokumentations-IP.

Reverse-DNS In Vorbereitung

$ host 203.0.113.10 10.113.0.203.in-addr.arpa domain name pointer crawl-203-0-113-10.bots.swpanel.com. $ host crawl-203-0-113-10.bots.swpanel.com crawl-203-0-113-10.bots.swpanel.com has address 203.0.113.10

Die IP muss zu einem Namen unter bots.swpanel.com auflösen, und dieser Name zur selben IP. Trifft nur der erste Teil zu, ist er nicht unserer.

IP-Liste In Vorbereitung

$ curl -s https://www.swpanel.com/bots/ips.asp {"formatVersion": "1.0", "creationTime": "…", "prefixes": [{"ipv4Prefix": "203.0.113.0/28", "service": "SWPanelBot"}]}

Eine JSON-Datei im vom IETF vorgeschlagenen JAFAR-Format, von dieser Seite verlinkt.

Signatur der Anfrage Verfügbar

Signature-Agent: "https://www.swpanel.com" Signature-Input: sig1=("@authority" "signature-agent"); created=1792224000;expires=1792224300; keyid="…";alg="ed25519";tag="web-bot-auth" Signature: sig1=:…:

Web-Bot-Auth-Header. Der öffentliche Schlüssel liegt unter /.well-known/http-message-signatures-directory auf www.swpanel.com: Damit prüft jede Firewall, die Web Bot Auth versteht, dass die Anfrage von uns stammt.

Was er anfordert Verfügbar

Vergleiche, was du siehst, mit dem Datenblatt: die Pfade, die Häufigkeit und den Umfang. Ein Bot namens SWPanelBot-Security, der etwas anderes tut, ist nicht unserer.

Wenn du an einem Besuch zweifelst, schreib uns an [email protected] mit Domain, Uhrzeit samt Zeitzone, IP und Logzeile, und wir prüfen es.

Ihn stoppen

Der Inhaber fordert ihn an. Er schaltet ihn ab.

Unsere Bots besuchen nur Websites aktiver SWPanel-Dienste, nur für die Funktionen, die ihr Inhaber aktiviert hat, und hören auf, sobald der Dienst gekündigt wird.

Wenn du der Inhaber bist

Deaktiviere die Sicherheit-360-Analysen des Dienstes in deinem SWPanel.

Wenn du es nicht bist

Wenn die Domain nicht mehr in SWPanel liegt, sollte dich kein geplanter Besuch erreichen. Wenn doch, schreib uns an [email protected] und wir stoppen ihn.

In der Firewall

Um ihn durchzulassen, verwende den Namen zusammen mit der IP oder der Signatur, nicht nur den Namen. Vorsicht bei generischen Regeln: Ein Muster wie „bot“ trifft auch SWPanelBot.

Wenn du ihn blockierst

Sicherheit 360 kann nichts bestätigen und seine Korrekturen nicht verifizieren.

robots.txt stoppt ihn nicht: Das erklären wir unter Normen. Sein Inhaber stoppt ihn, in SWPanel.

Normen

Was die Standards verlangen, und wie es SWPanelBot-Security geht

Unsere Lage bei jedem Punkt, ohne Beschönigung.

Was die Standards verlangen, und wie es SWPanelBot-Security geht
Ein eigener Name im User-Agent, mit der Adresse seiner Seite RFC 9110, 10.1.5, und IETF-Entwurf „Crawler best practices“, 2.2 Erfüllt
Ein gültiger Name für robots.txt: Buchstaben, Bindestriche und Unterstrich RFC 9309, 2.2.1 Erfüllt
Nur Websites aktiver SWPanel-Dienste besuchen und aufhören, sobald der Dienst gekündigt wird Eigene Verpflichtung von SWPanel Erfüllt
robots.txt lesen und beachten RFC 9309 und „Crawler best practices“, 2.1. Der Entwurf erlaubt die dokumentierte Ausnahme für Crawler, die im Auftrag arbeiten. Der Inhaber fordert ihn an und es ist eine punktuelle Prüfung. Ausgenommen, begründet
Die Website nicht behindern: eine Anfrage nach der anderen, Seiten- und Zeitlimits und kurze Wartezeiten „Crawler best practices“, 2.3 Erfüllt
Drosseln, wenn die Website 429 oder 503 antwortet „Crawler best practices“, 2.3, und RFC 9110, 15.6 Erfüllt
HTTP-Cache beachten „Crawler best practices“, 2.4, und RFC 9111. Er braucht die aktuelle Antwort. Nicht anwendbar
Ein Kontakt in der Anfrage: From-Header RFC 9110, 10.1.2 Erfüllt
Die ausgehenden IPs als JSON veröffentlichen, von dieser Seite verlinkt „Crawler best practices“, 2.5, im JAFAR-Format In Vorbereitung
Bestätigbarer Reverse-DNS Praxis von Google, Bing und Cloudflare zur Verifizierung von Bots In Vorbereitung
Anfragen signieren (Web Bot Auth) IETF-Entwurf „HTTP Message Signatures for Bots“, September 2026 Erfüllt
Öffentliche Seite mit dem, was er tut, was er speichert, Kontakt, wie man ihn stoppt, und den Ausnahmen „Crawler best practices“, 2.6 Erfüllt

Teilweise: erfüllt mit einer Einschränkung, die in der Zeile erklärt wird. In Vorbereitung: hängt vom Netzwerk ab, etwa eigene IPs und deren Reverse-DNS. Ausstehend: noch kein Datum.

Versionen

Was sich geändert hat

Die Version steht im User-Agent. Ändert der Bot, was er tut, ändern sich die Version und dieses Datenblatt.

Was sich geändert hat
1.0 12-10-2026 Neuer Name, SWPanelBot-Security, mit Link zur Bot-Seite. Ersetzt SWPanel-SOC und die Prüfungen, die ohne Namen liefen.
1.1 17-10-2026 Verlinkt auf dieses Datenblatt. Drosselt bei 429 und 503, signiert Anfragen, trägt den From-Header und besucht nur aktive Dienste.

Häufige Fragen

Fragen zu SWPanelBot-Security

Nein. Es ist eine Prüfung im Auftrag des Dienstinhabers: etwa zehn Anfragen an bekannte Pfade, nacheinander, unter diesem Namen. Wenn du nicht der Eigentümer bist und sie nicht erwartet hast, schreib uns.

Um zu prüfen, dass sie nicht aus dem Internet lesbar sind. Findet er sie, benachrichtigt er den Eigentümer; den Inhalt speichert er nicht.

Weil viele Websites die Startseite oder eine Fehlerseite mit dem Code 200 zurückgeben. Er gilt nur als offengelegt, wenn in der Antwort die Signatur der Datei auftaucht.

Er liest sie nicht: Die geprüften Pfade sind genau die, die nicht lesbar sein sollten, und es ist eine Prüfung im Auftrag des Eigentümers. Um ihn zu stoppen, deaktiviert der Eigentümer die Analysen.

Die anderen Bots

Jeder mit seinem Datenblatt