Überwachung einer Website hinter einer Firewall oder WAF

Wenn deine Website durch eine WAF, ein CDN oder ein Bot-Schutzsystem geschützt ist – etwa Cloudflare, AWS WAF, Sucuri oder eine Hosting-Firewall – kann diese die Überwachungs-Anfragen von Hoppla herausfordern (Challenge), drosseln oder blockieren, obwohl deine Website für echte Besucher einwandfrei erreichbar ist.

Typische Symptome:

• Eine Prüfung ist erfolgreich, wenn du die Seite im Browser öffnest, aber Hoppla meldet sie als nicht erreichbar, Zeitüberschreitung oder beeinträchtigt.
• Die SSL-Prüfung zeigt „Zertifikat konnte nicht geprüft werden (keine Verbindung)", obwohl das Zertifikat gültig ist.
• Sporadische Fehler oder Warnungen, die bei einem manuellen Jetzt ausführen verschwinden und dann wiederkommen.

Ursache ist, dass Sicherheitssysteme Verbindungen aus Rechenzentrums-IP-Bereichen oder von Nicht-Browser-Clients häufig blockieren. Die Lösung: Hoppla freigeben (allowlisten), damit deine Monitore korrekt melden.

Es gibt zwei Wege, Hoppla freizugeben – je nach Prüfungstyp.

1. Über den User-Agent – empfohlen für HTTP-basierte Prüfungen

Die HTTP-basierten Prüfungen von Hoppla identifizieren sich mit einem selbsterklärenden User-Agent:

HopplaBot/1.0 (+https://hoppla.dev/bot)

Das Freigeben dieses User-Agents deckt alle Prüfungen ab, die über HTTP laufen: Uptime, Security Headers, Robots.txt, Sitemap, Defekte Links, Mixed Content, Weiterleitungen, Application Health, Core Web Vitals, Lighthouse und das GEO-Audit.

White-Label- / Reseller-Portale

Wenn du Hoppla über ein Reseller- oder White-Label-Portal nutzt, hat dein Anbieter möglicherweise einen eigenen Überwachungs-User-Agent konfiguriert. Gib in diesem Fall den vom Anbieter genannten User-Agent frei statt HopplaBot.

Cloudflare

1. Öffne dein Cloudflare-Dashboard und wähle die überwachte Zone (Domain).
2. Gehe zu Security → WAF → Custom rules → Create rule.
3. Vergib einen Namen, z. B. Allow Hoppla monitoring.
4. Lege den Abgleich fest:
   • Field: User Agent
   • Operator: contains
   • Value: HopplaBot
5. Setze Action auf Skip und aktiviere unter „Skip the remaining …":
   • All remaining custom rules
   • Rate limiting rules
   • Super Bot Fight Mode / Bot Fight Mode (unter „Also skip")
6. Deploy die Regel und ziehe sie an den Anfang deiner Custom-Rules-Liste, damit sie vor allen Block-/Challenge-Regeln ausgewertet wird.

Wenn du Bot Fight Mode oder Super Bot Fight Mode verwendest, verhindert die obige Skip-Regel, dass diese HopplaBot herausfordern. Aktiviere den „Under Attack Mode" möglichst nicht für die gesamte Zone – er zeigt jedem Client (auch Monitoren) eine JavaScript-Challenge. Falls nötig, beschränke ihn auf einzelne Pfade statt auf die gesamte Website.

Andere WAFs

Das Prinzip ist überall gleich – erlaube Anfragen, deren User-Agent-Header HopplaBot enthält:

• AWS WAF: füge eine String-Match-Regel auf den User-Agent-Header hinzu (contains HopplaBot) mit Aktion Allow, angeordnet vor deinen Block-Regeln.
• Sucuri / Hosting-Firewalls: füge HopplaBot in den User-Agent-Allowlist (Whitelist) der Firewall-Einstellungen hinzu.

2. Über die IP-Adresse – erforderlich für SSL-, TCP- und Ping-Prüfungen

Die Prüfungen SSL-Zertifikat, TCP-Port und Ping (ICMP) verbinden sich auf Netzwerk-/Transportebene – ein reiner TLS-Handshake, eine TCP-Verbindung oder ein ICMP-Echo. Sie senden keinen User-Agent und können daher nur über die Quell-IP freigegeben werden.

Da sich die Überwachungs-IP-Bereiche von Hoppla ändern können, sind sie nicht öffentlich gelistet. Fordere die aktuellen Überwachungs-IPs bei [email protected] an (oder bei deinem Reseller/Anbieter, falls du ein White-Label-Portal nutzt) und gib sie dann frei:

• Cloudflare: Security → WAF → Tools → IP Access Rules → füge jede IP mit Aktion Allow hinzu, beschränkt auf die betreffende Zone. (Alternativ eine WAF-Custom-Rule mit IP Source Address is in deiner Liste und Aktion Skip.)
• Andere WAFs / Firewalls: füge die IPs zu deiner Allowlist / Firewall-Ausnahmeliste hinzu.

Wie Hoppla eine blockierte SSL-Prüfung behandelt

Ein reiner Verbindungsfehler (Zeitüberschreitung, Ablehnung oder Reset beim Aufbau der TLS-/TCP-/ICMP-Verbindung) wird nicht als Zertifikatsproblem oder harter Ausfall gewertet – die Erreichbarkeit misst die Uptime-Prüfung. Eine getarpittete SSL-Prüfung wird daher als nicht-alarmierende Warnung erfasst („Zertifikat konnte nicht geprüft werden"), nie als „Zertifikat ungültig"-Vorfall. Das Freigeben von Hoppla entfernt auch diese Warnungen und hält deine Prüfungen sauber grün.

Überprüfung

Nachdem du die Freigabe-Regel hinzugefügt hast, öffne den betroffenen Monitor, wechsle zum entsprechenden Prüfungs-Tab und klicke auf Jetzt ausführen (oder warte auf den nächsten geplanten Lauf). Die Prüfung sollte grün werden. Falls nicht, prüfe, ob die Allow-/Skip-Regel über allen blockierenden Regeln in deiner WAF steht.