Website-Quellcode anzeigen — und was drinsteht
Strg+U unter Windows, Cmd+Alt+U auf dem Mac, oder Rechtsklick → Seitenquelltext anzeigen. Das ist der Anfang, und es ist die eine von zwei Ansichten, die man kennen muss.
Zwei Ansichten, und sie zeigen Verschiedenes#
Der Quelltext (Strg+U) ist, was der Server geschickt hat. Roh, unverändert, vor jedem JavaScript.
Das Elemente-Fenster in den Entwicklerwerkzeugen (F12) ist, was der Browser daraus gemacht hat — nach allen Skripten, allen Nachladungen, allen Einblendungen.
Bei einer klassischen Seite sind beide fast gleich. Bei einer Seite, die ihre Inhalte im Browser zusammenbaut, sind sie es überhaupt nicht: Der Quelltext ist dann fast leer, und alles Sichtbare steht nur im Elemente-Fenster.
Das ist der Grund, warum Prüfungen ins Leere laufen. Wer im Quelltext nach einem Text sucht, der per Skript eingesetzt wird, findet ihn nicht — und schließt fälschlich, es gebe ihn nicht. Umgekehrt ist der Quelltext die einzige Ansicht, die zeigt, was ein Suchmaschinen-Crawler beim ersten Blick bekommt.
Was man im Quelltext findet#
Die Meta-Angaben im <head>. Titel, Beschreibung, Canonical, robots. Wenn eine Seite nicht bei Google steht, ist ein noindex an dieser Stelle die häufigste Ursache — und sie ist in zehn Sekunden auszuschließen.
Die eingebundenen Fremdhosts. Jedes <script src= und jedes <link href= auf eine fremde Domain ist ein Dienst, der von diesem Besuch erfährt. Das ist die schnellste Bestandsaufnahme, die es gibt.
Die verwendete Technik. Ein /wp-content/ im Pfad ist WordPress, ein _next/ ist Next.js, cdn.shopify.com ist Shopify. Mehr dazu unter WordPress-Seite erkennen.
Strukturierte Daten. Ein application/ld+json-Block enthält, was die Seite Suchmaschinen über sich erzählt — Preise, Bewertungen, Öffnungszeiten. Gelegentlich steht dort mehr, als auf der Seite sichtbar ist.
Kommentare und Reste. Auskommentierte Bereiche, Pfade zu Testumgebungen, Versionsnummern von Erweiterungen. Nichts davon ist Absicht, alles davon ist manchmal da.
Die Suche im Quelltext#
Strg+F funktioniert auch dort. Was sich zu suchen lohnt:
| Suchbegriff | Sagt aus |
|---|---|
noindex | Seite soll nicht in den Index |
canonical | welche Adresse als Original gilt |
UA-, G-, GTM- | Analyse- und Tag-Manager-Kennung |
wp-content | WordPress |
ld+json | strukturierte Daten |
http:// | unverschlüsselt eingebundene Inhalte |
Die Analyse-Kennung ist der wertvollste Fund. Sie gehört zu einem Konto, nicht zu einer Seite — zwei Auftritte mit derselben Kennung gehören meist demselben Betreiber. Siehe Domainbesitzer herausfinden.
Auf dem Handy#
Beide Ansichten fehlen dort weitgehend. Der Umweg: view-source: vor die Adresse setzen — das funktioniert in den meisten mobilen Browsern und zeigt den rohen Quelltext.
Was der Quelltext nicht beantwortet#
Ob die Seite sicher ist. Was der Server an Schutz-Headern mitschickt, steht nicht im HTML, sondern in der Antwort davor. Der Security-Check liest das aus.
Was wirklich geladen wird. Ein Skript kann weitere Skripte nachladen, die im Quelltext nirgends stehen. Dafür ist der Netzwerk-Reiter der Entwicklerwerkzeuge zuständig — er listet jeden einzelnen Abruf.
Ob etwas eingeschleust wurde. Auffällig ist auffällig, aber ein guter Angreifer schreibt unauffällig. Woran man es trotzdem merkt, steht unter Seite auf Viren prüfen.