API Scanner – Selbstgehosteter Betrieb

API Scanner ist ein automatisiertes API-Sicherheitstest-Tool, das REST- und SOAP-APIs mithilfe von OpenAPI-/Swagger-Spezifikationen und WSDL-Dateien auf Schwachstellen überprüft.

Voraussetzungen

• Docker Engine 20.10+
• Docker Compose v2
• Python 3.6+ (für das Setup-Skript)
• 8 GB RAM mindestens (16 GB empfohlen)
• 20 GB Festplattenspeicher

Schnellstart

1. Dieses Repository klonen

git clone https://github.com/CSPF-Founder/api-scanner-docker.git
cd api-scanner-docker

2. Setup ausführen

python3 setup.py

Das Skript wird:

• Sichere zufällige Passwörter für alle Dienste generieren
• Ihre Zeitzone automatisch erkennen
• Ein selbstsigniertes TLS-Zertifikat generieren (oder Ihr eigenes verwenden, falls bereits in ./certs/)
• Die Konfigurationsdatei .env schreiben
• Anbieten, den Docker-Compose-Stapel zu starten

3. Auf das Panel zugreifen

Öffnen Sie https://localhost:4455 in Ihrem Browser.

Wenn Sie ein selbstsigniertes Zertifikat verwenden, zeigt Ihr Browser eine Sicherheitswarnung an – fahren Sie fort und akzeptieren Sie diese.

Manuelle Einrichtung

Falls Sie die Konfiguration lieber manuell statt mit dem Setup-Skript durchführen möchten:

1. Beispiel-Umgebungsdatei kopieren:

cp .env.example .env

2. .env bearbeiten und folgendes aktualisieren:

   • Alle change_me_*-Passwörter durch sichere, zufällige Werte ersetzen
   • CSRF_KEY durch eine zufällige Zeichenfolge von 32+ Zeichen ersetzen
   • ZAP_API_KEY durch eine zufällige Zeichenfolge ersetzen
   • TRUSTED_ORIGINS mit Ihrer Domain angeben (z. B. https://scanner.yourcompany.com)
   • Sicherstellen, dass die Passwörter in DATABASE_URI und MONGO_DATABASE_URI mit den einzelnen Passwortvariablen übereinstimmen

3. Stapel starten:

docker compose up -d

Architektur

Konfiguration

Die gesamte Konfiguration erfolgt über die .env-Datei. Siehe .env.example für alle verfügbaren Optionen.

Wichtige Einstellungen

Datenpersistenz

Alle Daten werden in benannten Docker-Volumes gespeichert:

• mariadb_data – Benutzerkonten, Rollen, Sitzungen
• mongodb_data – Scanaufzeichnungen, Ergebnisse, Berichte
• scanner_data – Arbeitsdateien, hochgeladene Spezifikationen, generierte Berichte

Aktualisierung

docker compose pull
docker compose up -d

Stoppen

docker compose down

Um alle Daten zu entfernen (zerstörerisch):

docker compose down -v

Fehlerbehebung

Logs prüfen:

docker compose logs api-scanner
docker compose logs zap

Dienststatus prüfen:

docker compose ps

ZAP startet nicht: Stellen Sie sicher, dass mindestens 4 GB freier Arbeitsspeicher vorhanden sind. ZAP benötigt ~3 GB.

Panel nicht erreichbar: Überprüfen Sie, ob sich TLS-Zertifikate in ./certs/ befinden und TRUSTED_ORIGINS mit Ihrer URL inklusive Port übereinstimmt (z. B. https://localhost:4455).

Datenbankverbindungsfehler: Warten Sie 30–60 Sekunden nach dem ersten Start, bis die Datenbanken initialisiert sind.

Dokumentation

Vollständiges Benutzerhandbuch: https://cspf-founder.github.io/api-scanner-docker/