Damit Empcora nicht für unautorisierte Tiefen-Scans eingesetzt wird, dürfen nur verifizierte Domain-Inhaber tiefe technische Scans ihrer Website starten. Wir unterstützen vier Verifikations-Methoden — wählen Sie die für Sie einfachste.
Ein Scanner ohne Inhaber-Prüfung könnte von unautorisierten Dritten für tiefe Analysen fremder Websites eingesetzt werden. Das würde Ressourcen der betroffenen Domain beanspruchen und technische Fundstellen außerhalb eines nachgewiesenen Zugriffsverhältnisses erfassen.
Empcora begrenzt diesen technischen Missbrauch: Wer eine Domain im Konto anlegt, muss zunächst einen kontrollierbaren Inhaber-Nachweis hinterlegen. Erst danach kann der tiefe Scan starten. Empcora leitet aus diesem Nachweis keine rechtliche Eigentums- oder Nutzungsbewertung ab.
Eine Methode reicht. Welche für Sie am einfachsten ist, hängt von Ihrem Setup ab — die DNS-TXT-Variante ist unabhängig vom Webserver, während das Meta-Tag direkt im HTML der Startseite geprüft wird.
Genau wie bei Google Search Console: Fügen Sie ein einzelnes Meta-Tag in das <head> Ihrer Startseite ein.
<meta name="empcora-verify"
content="emp-abc123…">Geeignet für: WordPress mit „Insert Headers and Footers“, Webflow, Shopify-Themes, statische Seiten.
Web-Server (nginx, Apache) oder CDN (Cloudflare) sendet bei jedem Request einen Custom-Response-Header. Robust auch ohne HTML-Zugriff.
# nginx add_header X-Empcora-Verify "emp-abc123…" always;
Geeignet für: nginx/Apache mit eigenen Configs, Cloudflare Workers, AWS CloudFront / ALB Response-Header-Policies.
Eine kleine Text-Datei unter /.well-known/empcora-verify mit dem Token als Inhalt. RFC 8615-konform.
# Datei: /.well-known/empcora-verify emp-abc123…
Geeignet für: Single-Page-Apps (Next.js, React, Vue), JAM-Stack (Vercel, Netlify), Hosting ohne Code-Zugriff.
Gold-Standard: TXT-Eintrag auf _empcora-verify.IhreDomain.de. Unabhängig von Web-Server, CDN, Theme — funktioniert auch bei Multi-CDN-Setups.
Host: _empcora-verify.IhreDomain.de Typ: TXT Wert: empcora-verify=emp-abc123…
Geeignet für: Konzerne mit Multi-Origin-Architektur, Agenturen mit vielen Kunden-Domains, alle Setups mit Cloudflare/Route 53.
Stimmt die Domain Ihrer bestätigten Konto-E-Mail-Adresse mit der geprüften Domain überein, gilt die Inhaberschaft automatisch als nachgewiesen. Freemail-Adressen sind davon ausgenommen.
Token wird automatisch erzeugt
Sobald Sie eine Domain im Konto anlegen, erstellt Empcora einen kryptographisch zufälligen Token (256 Bit). Dieser ist einmalig und nur für diese eine Domain gültig.
Sie wählen Ihre Methode
Im Domain-Detail werden alle vier Anleitungen mit copy-paste-fertigen Snippets angezeigt. Sie müssen nur eine davon umsetzen.
Empcora prüft alle 4 Methoden parallel
Klick auf „Verifizierung prüfen" — wir laden Ihre Startseite (HTTP-Header + Meta-Tag), die .well-known-Datei und führen einen DNS-TXT-Lookup durch. Die erste erfolgreiche Methode gilt.
Strict-Modus blockt unverifizierte Scans
Mit aktivem Strict-Modus (Default für neue Domains) lehnt unsere API jeden Scan-Start ab, bis die Verifikation erfolgreich war. Audit-traceable, mit Rate-Limit gegen Brute-Force.
Token-Rotation jederzeit möglich
Über „Token rotieren" können Sie den Token jederzeit ungültig machen — z.B. wenn Sie Verdacht auf Leak haben oder eine Domain den Inhaber wechselt.
Der Gratis-Check (max. 5 Seiten) auf der Startseite ist absichtlich begrenzt und Rate-Limit-geschützt — kein vollständiger Crawl, kein PDF-Report. Ein tiefer technischer Scan wird erst nach erfolgreicher Domain-Verifikation freigeschaltet.
Ja, pro Domain einstellbar. Bestandsdomains aus der Zeit vor Mai 2026 stehen automatisch auf „Optional", damit nichts kaputt geht. Neue Domains starten auf „Strikt" — das empfohlene Sicherheits-Setting.
Ohne nachgewiesenen technischen Zugriff bleibt der tiefe Scan blockiert. Bei verwalteten Kundendomains kann der Domain-Inhaber eine der vier Methoden hinterlegen und den Scan im Konto freischalten; Empcora trifft keine Entscheidung über Vertretungs- oder Nutzungsrechte.
Der Schutz ist zweistufig: Ohne erfolgreichen technischen Inhaber-Nachweis startet kein tiefer Scan; zusätzlich protokollieren Audit-Logs, welche Organisation wann welche Domain mit welcher Methode verifiziert hat. Das ist eine technische Zugriffskontrolle und keine rechtliche Bewertung eines Nutzungsrechts.
Beim Meta-Tag und .well-known sind sie öffentlich lesbar (jeder der Ihre Website besucht). Das ist aber unkritisch: Der Token verifiziert nur, dass Sie Schreib-Zugriff auf den HTML-Code haben — kein Geheimnis, das man verbergen müsste. Beim HTTP-Header sind sie nur an HTTP-Response-Inspektor sichtbar; bei DNS-TXT wäre der Lookup öffentlich, aber außerhalb des „Beobachtungs-Horizonts" normaler Nutzer.
Die Domain bleibt verifiziert, solange der Eintrag/Header/Tag bestehen bleibt. Sie können den Token rotieren (z.B. nach Konto-Übergabe) — dann müssen Sie den neuen Token wieder hinterlegen. Wir bauen ein wöchentliches Re-Check-System, das Sie warnt, falls der Token plötzlich nicht mehr gefunden wird.
Starten Sie mit einem kostenlosen Quick-Check oder legen Sie direkt ein Konto an und verifizieren Ihre erste Domain.