PARC Network — Managed Hosting-Architektur für deinen Magento Shop! on Magento Managed Hosting von und für Shopbetreiber

A10 Networks — per-IP self-ID via a10protects.com

Mon, 01 Jan 0001 00:00:00 +0000

Research-Scanner von A10 Networks (a10protects.com). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS autoscan-*.research.a10protects.com. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (5). Teil unseres PARC-Security-Feeds.

a10.json — Feed ansehen www.a10networks.com →

Verifikation — jede IP einzeln

Den Reverse-PTR autoscan-*.research.a10protects.com kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

5 IPs → alle PTR a10protects.com

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Adyen — offizielle IP-Ranges (Webhook/API)

Mon, 01 Jan 0001 00:00:00 +0000

Adyen (NL) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Adyens Webhook-/API-Server senden bzw. erreichbar sind — aus der offiziellen Quelle zu PARC-Feed normalisiert (11 Einträge). Teil unseres PARC-Security-Feeds.

adyen.json — Feed ansehen www.adyen.com →

Quelle & Aktualisierung

Quelle: Adyen-Doku (Allowlisting) + out.adyen.com — offiziell publiziert. Aus der Anbieter-Doku übernommen. Adyen kann die Ranges jederzeit ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

Alpha Strike Labs — die /22 ist verzahnt, nicht block-fremd

Mon, 01 Jan 0001 00:00:00 +0000

Alpha Strike Labs GmbH (Deutschland) betreibt einen internet-weiten Security-Research-Scanner aus der eigenen ASN AS208843. Kein SEO-Tool. Identifiziert wird über ASN-Eigentum (BGP/RDAP) — aber der Knackpunkt: einer der zwei /22-Blöcke ist auf IP-Ebene mit fremden ASNs verzahnt. Nur die per-IP-Prüfung jeder einzelnen Adresse liefert die sauberen ~1.700 IPs. Teil unseres PARC-Security-Feeds.

alphastrike.json — Feed ansehen alphastrike.io →

Die Nadel im Heuhaufen — in beide Richtungen

Wir haben jede der 2.048 Adressen beider bei AS208843 gelisteter /22 einzeln auf ihre Origin-ASN geprüft (massdns gegen Team Cymru, mehrfach). Ergebnis:

BinaryEdge — offizielle Minion-API, FCrDNS-bestätigt

Mon, 01 Jan 0001 00:00:00 +0000

BinaryEdge (Coalition, US/PT) betreibt einen internet-weiten Security-Scanner. Kein SEO-Tool. Die Scan-Knoten („Minions“) sind offiziell per API gelistet (api.binaryedge.io/v1/minions). Wir haben jede der 6.412 gelisteten IPs per FCrDNS geprüft. Teil unseres PARC-Security-Feeds.

binaryedge.json — Feed ansehen www.binaryedge.io →

Verifikation — jede IP einzeln

Aus der offiziellen API kamen 6.412 IPv4-Minions. Wir vertrauen der Liste nicht blind, sondern haben jede IP per Forward-Confirmed Reverse DNS geprüft: PTR muss auf prod-*-<region>-N.awp.binaryedge.ninja zeigen und der Forward-A-Record wieder auf dieselbe IP.

BitSight Internet Census — die 17 Scanner-/24, ASN-Eigentum und FCrDNS-Methodik

Mon, 01 Jan 0001 00:00:00 +0000

BitSight betreibt unter der Marke „Internet Census Group" einen internet-weiten Security-/Asset-Discovery-Scanner — vergleichbar mit Shodan, Censys oder Driftnet. Anders als Driftnet publiziert BitSight aber keine offizielle IP-Liste, sondern nur eine FCrDNS-Methodik. Hier die empirisch ermittelten 17 /24 (Teil unseres PARC-Security-Feeds) und wie wir sie über ASN-Eigentum und Reverse-DNS verifiziert haben.

bitsight.json — Feed ansehen internet-census.org →

Die ermittelten Ranges

Insgesamt 4.352 IPs in 17 × /24:

45.156.128.0/24 185.180.142.0/24
45.156.129.0/24 185.180.143.0/24
45.156.130.0/24 185.226.196.0/24
45.156.131.0/24 185.226.197.0/24
109.105.208.0/24 185.226.198.0/24
109.105.209.0/24 185.226.199.0/24
109.105.210.0/24 185.117.225.0/24
109.105.211.0/24 185.180.140.0/24
185.180.141.0/24

Diese Liste gibt es nicht als offiziellen Download — wir haben sie aus dem ASN-Eigentum von AS211680 (NSEC, RIPE-Stat) abgeleitet und per FCrDNS gegen *.internet-census.org validiert. Alle 17 /24 sind NSEC-Eigentum (IRR + RPKI valid).

Braintree — offizielle IP-Ranges (Webhook/API)

Mon, 01 Jan 0001 00:00:00 +0000

Braintree (US) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Braintrees Webhook-/API-Server senden bzw. erreichbar sind — aus der offiziellen Quelle zu PARC-Feed normalisiert (46 Einträge). Teil unseres PARC-Security-Feeds.

braintree.json — Feed ansehen www.braintreepayments.com →

Quelle & Aktualisierung

Quelle: assets.braintreegateway.com/json/ips.json — offiziell publiziert. Die Liste wird von einem maschinenlesbaren Endpoint nachgezogen. Braintree kann die Ranges jederzeit ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

bruteforceblocker — SSH-Bruteforce-Blacklist

Mon, 01 Jan 0001 00:00:00 +0000

Steckbrief zu bruteforceblocker

Kategorie / Angriffsfläche	SSH-Bruteforce (Port 22) — Host-Ebene
Was es ist	Angreifer-IP-Liste eines SSH-Bruteforce-Schutz-Tools
Wie IPs auf die Liste kommen	Das Tool wertet die `sshd`-Logs teilnehmender Server aus; überschreitet eine IP die Schwelle fehlgeschlagener SSH-Anmeldungen, wird sie lokal geblockt und an die zentrale Projekt-Datenbank gemeldet.
Aufnahme-Schwelle	mindestens 3 fehlgeschlagene Anmeldeversuche
Autor	Daniel Gerzo („danger“), FreeBSD-Committer, Slowakei
Seit wann	v1.0 seit 12.04.2005
Aktualisierungsintervall	Pull-Takt ~3 h; rollierendes 30-Tage-Fenster (Auto-Delisting inaktiver IPs)
Aggregiert in	FireHOL Level 3 · ipsum
Offizielle Seite	danger.rulez.sk/index.php/bruteforceblocker
Feed-Quelle	blist.php — Original-Liste (TXT)

Abgleich mit AbuseIPDB vom 25.06.2026

Alle 646 IP-Adressen aus dem bruteforceblocker-Feed wurden am 25.06.2026 gegen die AbuseIPDB für einen 30-Tage-Zeitraum abgefragt und mit zusätzlichen Informationen ergänzt.

BufferOver — per-IP self-ID via bufferover.run

Mon, 01 Jan 0001 00:00:00 +0000

Internet-weiter TLS-/Zertifikat- und DNS-Scanner (BufferOver / dns.bufferover.run, US). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS *.scan.bufferover.run. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (28). Teil unseres PARC-Security-Feeds.

bufferover.json — Feed ansehen bufferover.run →

Verifikation — jede IP einzeln

Den Reverse-PTR *.scan.bufferover.run kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

28 IPs → alle PTR bufferover.run

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Cdiscount (Octopia) — dokumentierte Caller-IPs

Mon, 01 Jan 0001 00:00:00 +0000

Cdiscount ist einer der größten französischen Marktplätze; die API läuft inzwischen über Octopia. Octopia ruft den Verkäufer-Server aktiv an (Bestell-/Flow-Verarbeitung) — und nennt dafür in der Doku zwei feste Quell-IPs: 62.122.8.8 und 62.122.15.8. Teil unseres PARC-Security-Feeds.

cdiscount-marketplace.json — Feed ansehen developer.octopia-io.net →

Quelle & Aktualisierung

Quelle: Octopia API — Best Practices. Wortlaut: „Our systems will be calling yours only from these public IPs." Beide Adressen liegen in Cdiscounts eigenem ASN AS48744 (RIPE, FR; 62.122.8.8 löst rückwärts auf cd-62.122.8.8.cdiscount.com auf — eigene Infrastruktur, per Team-Cymru-ASN-Lookup geprüft). Octopia merkt an, dass diese Calls ohne User-Agent-Header kommen. Der PARC-Feed bildet den dokumentierten Stand ab. Reine IP-Daten ohne Wertung — was damit geschieht, entscheidet der Betreiber.

Checkout.com — offizielle IP-Ranges (Webhook/API)

Mon, 01 Jan 0001 00:00:00 +0000

Checkout.com (GB) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Checkout.coms Webhook-/API-Server senden bzw. erreichbar sind — aus der offiziellen Quelle zu PARC-Feed normalisiert (3 Einträge). Teil unseres PARC-Security-Feeds.

checkout.json — Feed ansehen www.checkout.com →

Quelle & Aktualisierung

Quelle: checkout.com/docs/files/ip-lists/webhooks-live.txt — offiziell publiziert. Die Liste wird von einem maschinenlesbaren Endpoint nachgezogen. Checkout.com kann die Ranges jederzeit ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

CINS Army (CI Army List) — Threat-Intel-Blacklist

Mon, 01 Jan 0001 00:00:00 +0000

Steckbrief zur CINS Army List

Kategorie / Angriffsfläche	Allgemeine bösartige IPs — Netzwerk-Ebene (Scans, Rogue-Traffic, Angriffe), keine Bot-/Crawler-Liste
Was es ist	Freie Threat-Intel-IP-Liste (`ci-badguys.txt`, „CI Army List“) aus dem CINS-Score-System
Betreiber	Sentinel IPS (Austin, Texas) — CINS = Collective Intelligence Network Security
Wie IPs auf die Liste kommen	Aus der eigenen Sentinel-IPS-Sensorik (IPS-Appliances bei Kunden weltweit). Jede IP erhält einen CINS-Score aus „Rogue-Packet“-Bewertung und Reputation über die Sensor-Flotte — unabhängig von Community-Reports.
Aufnahme-Kriterium	Schlechter CINS-Score; die freie Liste enthält bewusst nur IPs, die nicht bereits breit von anderen Reputationslisten erfasst sind
Umfang	~15.000 IPs
Aktualisierungsintervall	täglich
Verteilt über / aggregiert in	FireHOL · Emerging Threats (Proofpoint)
Offizielle Seite	cinsscore.com
Feed-Quelle	ci-badguys.txt — Offizielle Liste (TXT)

Abgleich mit AbuseIPDB vom 26.06.2026

Alle 15.000 IP-Adressen der aktuellen CI Army List (ci-badguys, Stand 26.06.2026) wurden gegen die AbuseIPDB für einen 30-Tage-Zeitraum abgefragt und mit zusätzlichen Informationen ergänzt.

CocCocBot (Cốc Cốc) — der verifizierte Crawler-Block und wie wir ihn per FCrDNS belegt haben

Mon, 01 Jan 0001 00:00:00 +0000

CocCocBot ist der Crawler von Cốc Cốc, der zweitgrößten Suchmaschine Vietnams (~574 Mio Suchanfragen/Monat) und zugleich eigenem Browser. Cốc Cốc publiziert keine offizielle IP-Liste und betreibt keine eigene ASN. Wir haben den aktiven Crawler-Block deshalb vollständig per bidirektionalem FCrDNS gegen *.coccoc.com verifiziert. Teil unseres PARC-Security-Feeds.

coccoc.json — Feed ansehen Cốc Cốc — robots.txt-Doku →

Der Block

Ein einziger Eintrag — 103.131.71.0/24 (256 Adressen):

103.131.71.0/24

In Bot-Trackern (udger.com) erscheinen 286 distinkte aktive Crawler-IPs (coccocbot-web + coccocbot-image, zuletzt aktiv am Tag der Recherche) — allesamt innerhalb dieses /24.

Cookie-Script — dokumentierte Scanner-IP

Mon, 01 Jan 0001 00:00:00 +0000

Cookie-Script ist eine Consent-Management-Plattform (Cookie-Banner, Cookie-Scan). Der Cookie-Scanner crawlt die Website von außen — Cookie-Script nennt dafür in der Doku eine feste Scan-Quell-IP: 80.240.129.194 (DigitalOcean Amsterdam, AS14061). Teil unseres PARC-Security-Feeds.

cookiescript.json — Feed ansehen cookie-script.com →

Quelle & Aktualisierung

Quelle: Cookie-Script-Hilfe. Der Cookie-Scanner sendet alle Anfragen von 80.240.129.194 (DigitalOcean, Amsterdam — per Team-Cymru-ASN-Lookup geprüft: AS14061). Cookie-Script empfiehlt in der eigenen Doku, mit „Always scan from same IP address" auf genau diese Adresse zu fixieren. Der PARC-Feed bildet den dokumentierten Stand ab. Reine IP-Daten ohne Wertung — was damit geschieht, entscheidet der Betreiber.

Cortex Xpanse — ASN lügt, RDAP-Eigentum identifiziert

Mon, 01 Jan 0001 00:00:00 +0000

Cortex Xpanse (Expander) ist der internet-weite Attack-Surface-Scanner von Palo Alto Networks (US). Kein SEO-Tool. Der Knackpunkt: die Scan-IPs werden über Google Cloud announced (die ASN zeigt „Google"), aber die Netzblöcke sind im RDAP auf Palo Alto Networks / Expanse registriert. Weder ASN noch PTR taugen — nur das RDAP-Eigentum identifiziert Xpanse. Teil unseres PARC-Security-Feeds.

xpanse.json — Feed ansehen www.paloaltonetworks.com →

Verifikation — jede IP einzeln

Im CINS-Abgleich tauchten 858 Xpanse-IPs auf (AbuseIPDB-Score 0 trotz hunderter Reports). Verifikation:

Criminal IP — per-IP self-ID via criminalip.com

Mon, 01 Jan 0001 00:00:00 +0000

Criminal IP (AI Spera, KR) betreibt einen internet-weiten Security-Scanner / CTI-Dienst. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: PTR auf security.criminalip.com. Jede IP einzeln reverse-geprüft. Teil unseres PARC-Security-Feeds.

criminalip.json — Feed ansehen www.criminalip.io →

Verifikation — jede IP einzeln

Die Listen-IPs (185.216.140.x, 80.82.x, 89.248.x, 93.174.93.x, 94.102.x — IP Volume inc) tragen teils generische Hoster-PTR. Wir nehmen nur die self-identifizierenden:

584 IPs → 291 mit PTR security.criminalip.com (nur die kommen rein)

Keine Stichprobe, keine Hochrechnung.

CyberGreen — per-IP self-ID via cybergreen.net

Mon, 01 Jan 0001 00:00:00 +0000

Cyber-Risk-Mess-Scanner der gemeinnützigen CyberGreen Institute. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS scanner*.scanning.cybergreen.net. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (1). Teil unseres PARC-Security-Feeds.

cybergreen.json — Feed ansehen www.cybergreen.net →

Verifikation — jede IP einzeln

Den Reverse-PTR scanner*.scanning.cybergreen.net kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

1 IPs → alle PTR cybergreen.net

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

CyberResilience — per-IP self-ID via cyberresilience.io

Mon, 01 Jan 0001 00:00:00 +0000

internet-weiter Port-Scanner (CyberResilience). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS portscanner-*.prod.cyberresilience.io. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (8). Teil unseres PARC-Security-Feeds.

cyberresilience.json — Feed ansehen cyberresilience.io →

Verifikation — jede IP einzeln

Den Reverse-PTR portscanner-*.prod.cyberresilience.io kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

8 IPs → alle PTR cyberresilience.io

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Datenschutz

Mon, 01 Jan 0001 00:00:00 +0000

Als Verantwortlicher im Sinne der DSGVO informieren wir Sie nachfolgend über die Verarbeitung personenbezogener Daten beim Besuch dieser Website.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist die PARC Network GmbH & Co. KG. Den Namen und die Kontaktdaten des Verantwortlichen entnehmen Sie unserem Impressum.

DotBot (Moz) — die verifizierte Crawler-Range, Vier-Quellen-Methodik und warum das ganze /24

Mon, 01 Jan 0001 00:00:00 +0000

DotBot ist der Crawler von Moz für den Link-Index hinter Moz Link Explorer — er sammelt Backlink-Daten (Domain/Page Authority), die Moz an zahlende Kunden verkauft. Moz publiziert keine offizielle IP-Liste. Wir haben die aktive Range deshalb über vier unabhängige Quellen verifiziert — inklusive unserer eigenen WAF-Telemetrie — und auf ein einziges /24 festgenagelt. Teil unseres PARC-Security-Feeds.

dotbot.json — Feed ansehen Moz-Doku zu DotBot →

Die Range

Ein einziger Eintrag — 216.244.66.0/24 (256 IPs), Wowrack-Pool Seattle, AS23033:

F6 Security — per-IP self-ID via f6.security

Mon, 01 Jan 0001 00:00:00 +0000

internet-weiter Security-Scanner (F6). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS scan.f6.security. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (7). Teil unseres PARC-Security-Feeds.

f6.json — Feed ansehen f6.security →

Verifikation — jede IP einzeln

Den Reverse-PTR scan.f6.security kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

7 IPs → alle PTR f6.security

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Group-IB — per-IP self-ID via group-ib.com

Mon, 01 Jan 0001 00:00:00 +0000

Group-IB betreibt einen internet-weiten Threat-Intelligence-/Scan-Dienst. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: PTR auf group-ib.com. Jede IP einzeln reverse-geprüft. Teil unseres PARC-Security-Feeds.

group-ib.json — Feed ansehen group-ib.com →

Verifikation — jede IP einzeln

Die 21 Listen-IPs (80.82.x, 89.248.x, 93.174.93.x, 94.102.x — IP Volume inc) tragen PTR group-ib.com:

21 IPs → 19 mit PTR group-ib.com (nur die kommen rein)

Keine Hochrechnung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

Impressum

Mon, 01 Jan 0001 00:00:00 +0000

PARC Network GmbH & Co. KG
Am Weidengraben 27
D-97297 Waldbüttelbrunn

Telefon: 0931 / 970 913 31
E-Mail: hallo@parc-network.de

Registergericht: AG Würzburg
Registernummer: HRA 7122

Umsatzsteuer-Identifikationsnummer gemäß § 27 a Umsatzsteuergesetz: DE292075424

Hinweis nach § 36 VSBG: Wir sind weder bereit noch verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.

Persönlich haftende Gesellschafterin

PARC Network Verwaltungs-GmbH
Am Weidengraben 27
D-97297 Waldbüttelbrunn

Registergericht: AG Würzburg
Registernummer: HRB 12076

Geschäftsführer: Paul Beck

Infrawatch — einen Scanner ohne Forward-DNS über autoritatives Reverse-DNS verifizieren

Mon, 01 Jan 0001 00:00:00 +0000

Infrawatch (infrawatch.com) ist ein internet-weiter Threat-Intel-Scanner — „Real Time Internet Intelligence“, trackt Proxies, VPNs und feindliche Netze. Kein SEO-Tool. Infrawatch mietet verstreute Einzel-IPs quer über das Netz von Hydra Communications (AS25369, ein ISP) — keine eigene Range, keine offizielle Liste. Ein klassischer FCrDNS-Beweis ist nicht möglich (keine Forward-Records). Identifiziert wird stattdessen über autoritatives Reverse-DNS *.infrawat.ch. 1.177 IPs: aus der CINS-Blacklist abgeleitet (581) und über einen Reverse-Scan der Nachbar-Ranges vervollständigt. Teil unseres PARC-Security-Feeds.

infrawatch.json — Feed ansehen infrawatch.com →

Internet Census Group — per-IP self-ID via internet-census.org

Mon, 01 Jan 0001 00:00:00 +0000

Die Internet Census Group betreibt einen internet-weiten Census-/Scan-Dienst. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: PTR auf internet-census.org. Jede IP einzeln reverse-geprüft. Teil unseres PARC-Security-Feeds.

internet-census.json — Feed ansehen www.internet-census.org →

Verifikation — jede IP einzeln

Die 630 Listen-IPs liegen auf diversen Hostern und tragen teils fremde PTR (singlehop.net, linodeusercontent.com u.a.). Nur die echten Self-ID kommen rein:

630 IPs → 267 mit PTR internet-census.org (nur die kommen rein)

Der Rest bleibt draußen.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

InternetData.io — per-IP self-ID via internetdata.io

Mon, 01 Jan 0001 00:00:00 +0000

internet-weiter Protokoll-Scanner (InternetData.io). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS *-scan-*.io.internetdata.io. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (2). Teil unseres PARC-Security-Feeds.

internetdata.json — Feed ansehen internetdata.io →

Verifikation — jede IP einzeln

Den Reverse-PTR -scan-.io.internetdata.io kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

2 IPs → alle PTR internetdata.io

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

InterneTTL Project — per-IP self-ID via internettl.org

Mon, 01 Jan 0001 00:00:00 +0000

Das InterneTTL Project betreibt einen internet-weiten Mess-/Scan-Dienst. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: PTR auf internettl.org. Jede IP einzeln reverse-geprüft. Teil unseres PARC-Security-Feeds.

internettl.json — Feed ansehen www.internettl.org →

Verifikation — jede IP einzeln

Der /24-Block 104.152.52.0/24 liegt bei Rethem Hosting (AS14987). Den Reverse-PTR internettl.org setzt der Betreiber selbst:

254 IPs (/24) → 221 mit PTR internettl.org (nur die kommen rein)

Keine Hochrechnung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

Intrinsec — per-IP self-ID via intrinsec.com

Mon, 01 Jan 0001 00:00:00 +0000

CTI-/Security-Scanner der Intrinsec SA (FR). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS scan*.intrinsec.com. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (36). Teil unseres PARC-Security-Feeds.

intrinsec.json — Feed ansehen www.intrinsec.com →

Verifikation — jede IP einzeln

Den Reverse-PTR scan*.intrinsec.com kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

36 IPs → alle PTR intrinsec.com

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

IPIP.net — nur die eigene ASN (AS136180), Linode-Mietblocks ausgeschlossen

Mon, 01 Jan 0001 00:00:00 +0000

IPIP.net (Beijing Tiantexin, CN) betreibt internet-weite Mess-/Scan-Knoten für IP-Geolocation. Kein SEO-Tool. Beweisbar über ASN-Eigentum: AS136180. Wir nehmen nur die eigene ASN — die gemieteten Linode-IPs der Liste lassen sich nicht IPIP zuordnen. Teil unseres PARC-Security-Feeds.

ipip.json — Feed ansehen en.ipip.net →

Verifikation — jede IP einzeln

Die Connie-Wild-Liste mischt zwei Dinge: IPIPs eigene CN-Blöcke (AS136180) und gemietete Linode-IPs (AS63949). Wir trennen per-IP:

5 /24-Blöcke → 1.280 IPs, alle AS136180 (ASN-Eigentum, per-IP geprüft)
+ 35 Linode-IPs → PTR scan-N.security.ipip.net (reverse-only Self-ID)
übrige Linode → kein ipip-PTR / generisch → raus

Ehrlich: die 1.280 CN-IPs stehen auf ASN-Eigentum — das Reverse zeigt auf den Netzbetreiber misaka.io, kein DNS-Self-ID (Beweis-Stufe wie Shadowserver/umich). Die 35 Linode-IPs self-identifizieren per Reverse-PTR scan-N.security.ipip.net — forward nicht prüfbar (Zone ohne A-Records), also reverse-only wie bei Shodan. Gesamt 1.315.

Kaufland Global Marketplace — offizielle Egress-IPs

Mon, 01 Jan 0001 00:00:00 +0000

Kaufland Global Marketplace ist der Marktplatz von Kaufland (ehemals real.de). Die Marketplace Seller API schickt Push-Notifications an angebundene Shops, lädt Dateien herunter und macht weitere ausgehende Calls — dies sind die 20 offiziellen Egress-IPs aus der Kaufland-API-Doku, alle in Google Cloud (AS396982). Teil unseres PARC-Security-Feeds.

kaufland-marketplace.json — Feed ansehen sellerapi.kaufland.com →

Quelle & Aktualisierung

Quelle: Kaufland Marketplace Seller API Documentation (Abschnitt zu Egress-/Notification-IPs). Die 20 Adressen sind diejenigen, von denen die Seller-API ausgehend kommuniziert — Push-Notifications, Datei-Downloads und sonstige Outbound-Calls. Alle liegen in Google Cloud (AS396982, einzeln per Team-Cymru-ASN-Lookup geprüft). Der PARC-Feed bildet den dokumentierten Stand 1:1 ab. Reine IP-Daten ohne Wertung — was damit geschieht, entscheidet der Betreiber.

Klarna — offizielle IP-Ranges (Webhook/API)

Mon, 01 Jan 0001 00:00:00 +0000

Klarna (SE) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Klarnas Webhook-/API-Server senden bzw. erreichbar sind — aus der offiziellen Quelle zu PARC-Feed normalisiert (10 Einträge). Teil unseres PARC-Security-Feeds.

klarna.json — Feed ansehen www.klarna.com →

Quelle & Aktualisierung

Quelle: Klarna-Doku (Callbacks) — offiziell publiziert. Aus der Anbieter-Doku übernommen. Klarna kann die Ranges jederzeit ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

LinkedInBot — IP-Ranges, ASN-Verifikation und der Microsoft-/AI-Kontext

Mon, 01 Jan 0001 00:00:00 +0000

LinkedIn betreibt den LinkedInBot für Link-Previews beim Posten auf LinkedIn. Wie Meta und X publiziert LinkedIn keine offizielle IP-Liste — Verifikation läuft per ASN plus Reverse-DNS gegen *.fwd.linkedin.com. Hier die aggregierten Ranges (Teil unseres PARC-Security-Feeds), die Herleitung und der Microsoft-/AI-Kontext.

linkedin.json — Feed ansehen LinkedIn Post Inspector →

Die Ranges

Insgesamt 51 Prefixes (29 IPv4 + 22 IPv6), aggregiert aus zwei LinkedIn-eigenen ASNs. Die vollständige Liste steht im Feed; abgeleitet aus dem ASN-Eigentum (keine offizielle LinkedIn-Liste) und gegen aktive Crawler-IPs per FCrDNS validiert.

M2E Pro — offizielle Server-IPs (Cron/API/Repricer)

Mon, 01 Jan 0001 00:00:00 +0000

M2E Pro ist eine Magento-Extension für die Marktplatz-Anbindung (Amazon, eBay, Walmart u.a.). Der M2E-Cloud-Server kommuniziert mit dem Shop — dies sind die offiziellen Server-IPs aus der M2E-Pro-Hilfe-Doku (3 Einträge: Cron, API, Repricer). Teil unseres PARC-Security-Feeds.

m2epro.json — Feed ansehen m2epro.com →

Quelle & Aktualisierung

Quelle: M2E-Pro-Hilfe-Doku. 35.202.39.212 (Cron-Server, eingehende Calls zum Shop), 34.27.176.50 (api.m2epro.com), 159.69.64.61 (Repricer, repricer.m2e.cloud). API/Repricer laufen über Hostnamen und sind per DNS auflösbar; der PARC-Feed bildet den dokumentierten Stand ab. Reine IP-Daten ohne Wertung.

Magento Hosting Architektur-Modelle

Mon, 01 Jan 0001 00:00:00 +0000

Wir bauen die Hosting-Architektur passend zu deinem Shop — vom schlanken Einstieg auf einem dedizierten Server bis zur geo-verteilten Architektur mit voller Ausfallsicherheit. Hier die Modelle im Überblick.

Magento Managed Hosting Architektur Beispiel 1

Unser Standard und so ausgelegt, dass es schnell um weitere VMs erweitert oder zu Beispiel 2 ausgebaut werden kann.

Internet

Eingehender Traffic wie echte Kunden, Suchmaschinen-Bots, Security-Scanner, Brute-Force-Versuche, böse IPs, Spam-Bots und sonstiges Hintergrundrauschen aus dem Internet. Aktuell sind über 30% aller HTTP-Requests weltweit Bot-Traffic — bis 2027 wird Bot-Traffic den menschlichen überholen!

Sicherheit

Diese Schicht hält den unerwünschten Traffic von den nachfolgenden Schichten fern, schont so Ressourcen und sorgt vor allem für ein ungestörtes Einkaufserlebnis. OPNsense, SafeLine und PARC Security ergänzen sich gegenseitig: Die OPNsense Firewall blockt auf Layer 3/4 (Ports, IP-Bereiche, ungewollte Verbindungen). Die SafeLine Web Application Firewall mit semantischer Angriffs-Erkennung filtert auf Layer 7 (SQL-Injection, XSS, Bot-Traffic, Credential-Stuffing). Das PARC Security-Modul versorgt OPNsense und SafeLine mit aktuellen Blacklists und stellt IP-Gruppen für gute wie böse Bots bereit, auf denen viele WAF-Regeln basieren. Interessant zu wissen: Klassische CDN-WAFs wie Cloudflare, Akamai oder AWS CloudFront terminieren TLS auf ihrer Edge — der Traffic wird dort zur Inspektion entschlüsselt und ist dadurch technisch einsehbar. SafeLine terminiert TLS und entschlüsselt auf eurer eigenen Infrastruktur!

→ OPNsense Firewall → PARC Security

Cache

Varnish liefert Anfragen direkt aus dem Cache (Full-Page-Cache, FPC), ohne dass die nachfolgenden Schichten — Nginx, PHP-FPM, Datenbank — aktiv werden müssen. Das spart nicht nur Ressourcen, sondern hat als Konsequenz erheblichen Einfluss auf die Ausliefergeschwindigkeit der Seiten. Produkt- und Kategorieseiten werden beispielsweise blitzschnell ausgeliefert.

App

In unserer Architektur sind Frontend und Backend standardmäßig getrennt. Der Kunde wird durch Indexer, längere Crons oder große Import-/Export-Vorgänge nicht bei seinem Einkaufserlebnis gestört. Aber auch die Sicherheit wird durch die Trennung verbessert: Das Magento-Backend (Admin-Interface) ist beispielsweise nur über VPN oder IP-Restriktionen erreichbar. Außerdem ermöglicht die Trennung die horizontale Skalierung des Frontends — bei wachsendem Traffic werden mehrere Frontend-Nodes parallel betrieben, während Backend, Cron und Indexer zentral bleiben. RabbitMQ verteilt asynchrone Magento-Aufgaben (Massen-Attribut-Updates, Bilder-Generierung, Exports, ERP-Sync) auf einen oder mehrere Worker, damit der Server nicht überlastet wird — und macht eine horizontale Frontend-Skalierung erst sauber möglich.

Data

Die Hauptdatenbank ist MariaDB — bewusst statt MySQL, weil sie sich bei Bedarf direkt in einen Galera-Cluster (mit ProxySQL als Router) umwandeln lässt. OpenSearch übernimmt die Produktsuche und lässt sich analog durch eine Coordination-Node und weitere Such-Instanzen horizontal skalieren. Redis hält die Frontend- und Backend-Sessions.

Infrastruktur

Bei der Infrastruktur setzen wir grundsätzlich auf dedizierte Server auf Basis von Proxmox VE. Jeder Dienst läuft gekapselt in einer eigenen VM — Optimierung, Skalierung und Updates passieren gezielt dort, wo es nötig ist. Das Setup ist von Anfang an so ausgelegt, dass es sich jederzeit um weitere Cloud- oder dedizierte Server erweitern lässt, um mehr Ausfallsicherheit und Performance zu erreichen.

Beispielkonfiguration bei Hetzner: 1× EX44 (64 GB RAM) + Storage Box (BX11) — Stand 14.06.2026

Max-Planck-Institut für Informatik — per-IP self-ID via mpi-inf.mpg.de

Mon, 01 Jan 0001 00:00:00 +0000

akademischer Internet-Mess-Scanner des Max-Planck-Instituts für Informatik (DE). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS inet-research-scan-*.mpi-inf.mpg.de. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (26). Teil unseres PARC-Security-Feeds.

mpi-inf.json — Feed ansehen www.mpi-inf.mpg.de →

Verifikation — jede IP einzeln

Den Reverse-PTR inet-research-scan-*.mpi-inf.mpg.de kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

26 IPs → alle PTR mpi-inf.mpg.de

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Meta-Crawler (Facebook · Instagram · WhatsApp · Threads) — die 5 Bots, ASN-Verifikation und IP-Ranges

Mon, 01 Jan 0001 00:00:00 +0000

Meta Platforms betreibt für Facebook, Instagram, Messenger, Threads und WhatsApp fünf verschiedene Crawler — vom harmlosen Link-Preview-Bot bis zum AI-Training-Scraper. Meta publiziert die User-Agent-Tokens offiziell, aber keine IP-Liste: Verifikation läuft laut Meta-Doku über die ASN. Hier die fünf Bots, was man mit ihnen tun sollte, und wie unser PARC-Security-Feed die Ranges aller fünf Meta-ASNs zusammenfasst.

meta.json — Feed ansehen Offizielle Meta-Crawler-Doku →

Die fünf Meta-Crawler

Crawler	User-Agent	Zweck	robots.txt
FacebookExternalHit	`facebookexternalhit/1.1`	Link-Previews beim Teilen (Open Graph)	kann sie bei Security-/Integrity-Checks ignorieren
Meta-WebIndexer	`meta-webindexer/1.1`	Indexierung für Meta-AI-Search	befolgt robots.txt
Meta-ExternalAds	`meta-externalads/1.1`	Werbe-/Geschäfts-Optimierung	befolgt robots.txt
Meta-ExternalAgent	`meta-externalagent/1.1`	AI-Training (Llama u. a.) + AI-Indexierung	befolgt robots.txt
Meta-ExternalFetcher	`meta-externalfetcher/1.1`	user-getriggerte AI-Fetches	umgeht robots.txt (user-getriggert)

Allowlisten oder blocken?

Anders als ein Security-Scanner ist Meta nicht pauschal „rein oder raus" — die fünf Crawler haben unterschiedliche Use-Cases (siehe Tabelle oben): FacebookExternalHit erzeugt die Link-Previews beim Teilen auf Facebook/Instagram/WhatsApp, Meta-WebIndexer betrifft die Sichtbarkeit in Meta-AI-Search, Meta-ExternalAgent und Meta-ExternalFetcher AI-Training bzw. user-getriggerte AI-Fetches (Meta-ExternalFetcher umgeht robots.txt), Meta-ExternalAds die Ads-Optimierung.

MJ12bot — „nicht IP-identifizierbar" stimmt nicht: 90 FCrDNS-Knoten

Mon, 01 Jan 0001 00:00:00 +0000

MJ12bot ist der Backlink-Crawler von Majestic (UK). Majestic schreibt, er sei ein „community based distributed crawler" und „nicht per IP blockbar". Empirisch stimmt das nicht: der aktuelle Kern self-identifiziert sauber per FCrDNS crawl-<zufall>.mj12bot.com und sitzt zu 72 % auf OVH (AS16276) plus Veloxserv. Teil unseres PARC-Security-Feeds.

mj12bot.json — Feed ansehen mj12bot.com →

Verifikation — jede IP einzeln

Das PTR-Muster crawl-<zufall>.mj12bot.com ist FCrDNS-bestätigt (Reverse + Forward-A-Record zurück auf dieselbe IP) — nur Majestic kann das setzen. Wir haben die Flotte aus drei unabhängigen Quellen trianguliert:

Modat — der Scanner, der seine Liste publiziert und sie auch einhält

Mon, 01 Jan 0001 00:00:00 +0000

Modat ist ein internet-weiter Attack-Surface-/Asset-Discovery-Scanner von Modat B.V. (Niederlande, eigene ASN MODAT-01). Kein SEO-Tool. Modat handelt vorbildlich: feste IPs, sprechendes Reverse-DNS, und eine offizielle, publizierte IP-Liste. Anders als bei manch anderem „offiziellen“ Feed ist sie hier vollständig und vollständig FCrDNS-verifizierbar: 35 CIDRs = 186 IPs. Teil unseres PARC-Security-Feeds.

modat.json — Feed ansehen Modat — offizielle Liste →

Die offizielle Liste — und warum sie diesmal stimmt

Modat publiziert seine Scan-IPs unter scanner.modat.io/ipv4.txt — 35 CIDR-Blöcke (186 Adressen). Bei ONYPHE hatten wir gelernt, dass „offizielle“ Listen oft unvollständig sind. Hier nicht: Wir haben die Liste gegen unsere CINS-Blacklist gehalten — CINS hat 107 aktiv scannende Modat-IPs erfasst, und jede einzelne liegt innerhalb der offiziellen Liste. Kein einziger Scanner außerhalb. Die Liste ist also vollständig und wird direkt übernommen.

Mollie — offizielle IP-Ranges (Webhook/API)

Mon, 01 Jan 0001 00:00:00 +0000

Mollie (NL) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Mollies Webhook-/API-Server senden bzw. erreichbar sind — aus der offiziellen Quelle zu PARC-Feed normalisiert (16 Einträge). Teil unseres PARC-Security-Feeds.

mollie.json — Feed ansehen www.mollie.com →

Quelle & Aktualisierung

Quelle: ip-ranges.mollie.com/ips.txt — offiziell publiziert. Die Liste wird von einem maschinenlesbaren Endpoint nachgezogen. Mollie kann die Ranges jederzeit ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

Naver Yeti — wie wir 618 Crawler-IPs vollständig per FCrDNS verifiziert haben

Mon, 01 Jan 0001 00:00:00 +0000

Yeti ist der Web-Crawler von Naver, der größten Suchmaschine Südkoreas. Naver publiziert keine offizielle IP-Liste — die eigene Doku verweist stattdessen auf Reverse-DNS-Verifikation gegen *.web.naver.com (dasselbe Prinzip wie Googles „verify Googlebot"). Wir haben die vier aktiven Crawler-Blöcke deshalb vollständig gesweept und jede einzelne der 618 gefundenen IPs bidirektional bestätigt. Teil unseres PARC-Security-Feeds.

naver.json — Feed ansehen Naver — Yeti-Robot-Doku →

Der Feed

38 CIDR-Prefixes = 618 verifizierte IPs, verteilt auf vier KR-Blöcke:

NETSCOUT ATLAS — eigener Arbor-Block (AS20052), PTR internet-albedo.net

Mon, 01 Jan 0001 00:00:00 +0000

NETSCOUT betreibt mit ATLAS (über Arbor Networks) einen internet-weiten Mess-/Scan-Dienst. Kein SEO-Tool. Doppelt belegt: Eigen-ASN AS20052 (ARBOR) und self-identifizierende PTR auf internet-albedo.net. Teil unseres PARC-Security-Feeds.

netscout.json — Feed ansehen www.internet-albedo.net →

Verifikation — jede IP einzeln

Der /23-Block 146.88.240.0/23 gehört AS20052 (ARBOR-AS, Arbor Networks — NETSCOUT). Per-IP-ASN bestätigt:

510 / 510 Host-IPs → alle AS20052 (0 Fremd-IPs, vollständig)

455 davon self-identifizieren zusätzlich per PTR auf internet-albedo.net (NETSCOUTs Scan-Domain).

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

netsecscan.net — per-IP self-ID via netsecscan.net

Mon, 01 Jan 0001 00:00:00 +0000

netsecscan.net betreibt einen internet-weiten Security-Scanner. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: PTR auf netsecscan.net. Jede IP einzeln reverse-geprüft. Teil unseres PARC-Security-Feeds.

netsecscan.json — Feed ansehen www.netsecscan.net →

Verifikation — jede IP einzeln

Die 16 Listen-IPs (89.248.167.x, IP Volume inc) tragen PTR netsecscan.net:

16 IPs → 14 mit PTR netsecscan.net (nur die kommen rein)

Keine Hochrechnung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

Nexi — offizielle IP-Ranges (Webhook/Notifications)

Mon, 01 Jan 0001 00:00:00 +0000

Nexi (IT) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Nexis Webhook-/Notification-Server senden — aus der offiziellen Quelle zu PARC-Feed normalisiert (16 Einträge). Teil unseres PARC-Security-Feeds.

nexi.json — Feed ansehen www.nexigroup.com →

Quelle & Aktualisierung

Quelle: ip-ranges.nex.io/ip-ranges.json — offiziell publiziert. Die Liste wird von einem maschinenlesbaren Endpoint nachgezogen. Nexi kann die Ranges ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

Nokia Deepfield (Cloud Genome) — der verifizierte Scanner-Block und wie wir ihn per FCrDNS belegt haben

Mon, 01 Jan 0001 00:00:00 +0000

Deepfield ist Nokias internet-weiter Mess- und Mapping-Scanner (Cloud Genome). Er crawlt fortlaufend Milliarden IPv4- und IPv6-Adressen, CDN-Domains und Netzsysteme, um eine „Service-Delivery-Map" des Internets zu bauen. Kein SEO-Tool, kein Content-Crawler im klassischen Sinn. Nokia publiziert keine offizielle IP-Liste — wir haben die aktiven Scanner-Blöcke deshalb vollständig per bidirektionalem FCrDNS gegen *.deepfield.net verifiziert. Teil unseres PARC-Security-Feeds.

deepfield.json — Feed ansehen Nokia — Deepfield Genome →

Die Blöcke

280 IPv4 + 31 IPv6 = 311 Adressen, verteilt auf zwei Infrastrukturen:

Nuvei — offizielle IP-Ranges (Webhook/Notifications)

Mon, 01 Jan 0001 00:00:00 +0000

Nuvei (CA/IL) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Nuveis Webhook-/Notification-Server senden — aus der offiziellen Quelle zu PARC-Feed normalisiert (7 Einträge). Teil unseres PARC-Security-Feeds.

nuvei.json — Feed ansehen www.nuvei.com →

Quelle & Aktualisierung

Quelle: Nuvei-Doku (DMN/Webhooks) — offiziell publiziert. Aus der Anbieter-Doku übernommen. Nuvei kann die Ranges ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

OnlyScans — per-IP self-ID via onlyscans.net

Mon, 01 Jan 0001 00:00:00 +0000

internet-weiter Scanner (OnlyScans). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS *.scanners.onlyscans.net. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (8). Teil unseres PARC-Security-Feeds.

onlyscans.json — Feed ansehen onlyscans.net →

Verifikation — jede IP einzeln

Den Reverse-PTR *.scanners.onlyscans.net kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

8 IPs → alle PTR onlyscans.net

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

ONYPHE — der verifizierte Scanner-Block und warum die offizielle Liste nicht reicht

Mon, 01 Jan 0001 00:00:00 +0000

ONYPHE ist ein internet-weiter Attack-Surface- und CTI-Scanner aus Frankreich (seit 2017) — scannt Internet und Dark Web nach exponierten Assets. Kein SEO-Tool. ONYPHE handelt vorbildlich („Ethical Internet Scanning"): feste IPs, Reverse-DNS auf das eigene Projekt, Opt-out per E-Mail. Sie publizieren sogar eine offizielle Liste — die aber, wie wir festgestellt haben, nicht den gesamten aktiven Probe-Bestand abdeckt. Den Rest haben wir per bidirektionalem FCrDNS gegen *.probe.onyphe.net belegt. Teil unseres PARC-Security-Feeds.

onyphe.json — Feed ansehen ONYPHE — offizielle Liste →

Open Port Statistics — per-IP self-ID via openportstats.com

Mon, 01 Jan 0001 00:00:00 +0000

Open Port Statistics betreibt einen internet-weiten Port-Scan-Dienst. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: PTR auf openportstats.com. Jede IP einzeln reverse-geprüft. Teil unseres PARC-Security-Feeds.

openportstats.json — Feed ansehen openportstats.com →

Verifikation — jede IP einzeln

Die 144 Listen-IPs (u.a. 185.216.140.x) tragen überwiegend PTR openportstats.com — nur die nehmen wir:

144 IPs → 132 mit PTR openportstats.com (nur die kommen rein)

Keine Hochrechnung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

OPNsense Firewall für deine Magento Shop-Infrastruktur

Mon, 01 Jan 0001 00:00:00 +0000

Stufenweise Filterung als Ampel: ungefilterter Traffic (rot) trifft zuerst auf die Hoster-Firewall, die nur volumetrische Angriffe absiebt — danach bleibt er fast so rot. Erst OPNsense entfernt auf Layer 3–4 böse IPs, Ports und ungewollte Verbindungen (gelb). Die Prüfung auf Anwendungsebene und die finale Freigabe (grün) übernimmt die SafeLine WAF.

1. Warum überhaupt eine Netzwerk-Firewall?

Um zu verstehen, warum deine Magento-Infrastruktur eine Netzwerk-Firewall wie OPNsense braucht, lohnt sich zuerst ein Blick auf das, was den ganzen Tag an deinem Shop anklopft: den Internet-Traffic.

PARC Security — verifizierte und normalisierte IP-Feeds für deine Magento Hosting-Infrastruktur

Mon, 01 Jan 0001 00:00:00 +0000

PARC Security versorgt sowohl OPNsense (Layer 3–4) als auch SafeLine WAF (Layer 5–7) mit verifizierten, normalisierten IP-Listen — kuratiert nach Anbieter, IPv4 und IPv6 zusammen, täglich revalidiert.

Für unsere Magento-Architektur und viele weitere Plattformen — kostenlos für die Community

Die IP-Feeds sind plattform-unabhängig. Du kannst sie überall einsetzen — vor einem Magento-Shop ebenso wie vor Shopware, WooCommerce, Joomla, WordPress, Foren oder beliebiger anderer Web-Software, auf einer OPNsense oder pfSense, in der SafeLine WAF oder einer anderen Web Application Firewall. Wann immer du auf Firewall-, WAF- oder Reverse-Proxy-Ebene Crawler-, Bot- oder Bedrohungs-Verkehr steuern willst, kannst du diese Listen dafür verwenden.

PAYONE — offizielle IP-Ranges (Notifications)

Mon, 01 Jan 0001 00:00:00 +0000

PAYONE (DE — Joint Venture von Worldline und der Sparkassen-Finanzgruppe) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, aus denen PAYONE die Server-to-Server-Notifications (TransactionStatus) an Händlersysteme sendet — aus der offiziellen Firewall-Doku zu PARC-Feed normalisiert (4 CIDRs). Teil unseres PARC-Security-Feeds.

payone.json — Feed ansehen payone.com →

Quelle & Aktualisierung

Quelle: developer.payone.com — Firewall configuration, offiziell publiziert. 4 CIDR-Blöcke (185.139.244.0/24, 185.139.246.0/24, 91.208.214.0/24, 185.8.55.0/24). PAYONE kann die Ranges ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

PayPal — offizielle IP-Ranges (Webhook/API)

Mon, 01 Jan 0001 00:00:00 +0000

PayPal (US) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen PayPals Webhook-/API-Server senden bzw. erreichbar sind — aus der offiziellen Quelle zu PARC-Feed normalisiert (8 Einträge). Teil unseres PARC-Security-Feeds.

paypal.json — Feed ansehen www.paypal.com →

Quelle & Aktualisierung

Quelle: PayPal-Doku (ts1056) — offiziell publiziert. Aus der Anbieter-Doku übernommen. PayPal kann die Ranges jederzeit ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

Pentest-Tools.com — offizielle Quell-IP-Liste

Mon, 01 Jan 0001 00:00:00 +0000

Pentest-Tools.com (RO) betreibt einen aktiven Pentest-/Scanning-Dienst. Kein SEO-Tool. Die Scan-IPs sind offiziell auf der Support-Seite gelistet und bündeln sich unter dem eigenen Hostnamen scanners.pentest-tools.com. Teil unseres PARC-Security-Feeds.

pentest-tools.json — Feed ansehen pentest-tools.com →

Verifikation — jede IP einzeln

Die 126 IPs stammen aus der offiziellen Quell-IP-Liste und decken sich mit den A-Records von scanners.pentest-tools.com. Alle liegen bei Linode (AS63949) mit generischer *.ip.linodeusercontent.com-PTR — ein FCrDNS-Self-ID ist hier nicht möglich, die Verifikation stützt sich auf die offizielle Liste plus den eigenen Scanner-FQDN.

Ping-Dash — per-IP self-ID via ping-dash.com

Mon, 01 Jan 0001 00:00:00 +0000

Monitoring-/Scan-Dienst (Ping-Dash). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS scanner-*.ping-dash.com. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (1). Teil unseres PARC-Security-Feeds.

ping-dash.json — Feed ansehen ping-dash.com →

Verifikation — jede IP einzeln

Den Reverse-PTR scanner-*.ping-dash.com kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

1 IPs → alle PTR ping-dash.com

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Rapid7 (Project Sonar) — Scanner per Reverse-DNS scanners.labs.rapid7.com

Mon, 01 Jan 0001 00:00:00 +0000

Rapid7 betreibt mit Project Sonar / Labs einen internet-weiten Scanner (USA) für Security-Research. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: alle reversen auf scanners.labs.rapid7.com. Wir haben jede einzelne der 108 IPs per Reverse-DNS bestätigt. Teil unseres PARC-Security-Feeds.

rapid7.json — Feed ansehen Project Sonar →

Verifikation

109.123.117.229 → scanners.labs.rapid7.com ✓

24 CIDR-Blöcke = 108 IPs. Den Reverse-PTR scanners.labs.rapid7.com kann nur der IP-Betreiber setzen — also Rapid7. Wir haben den Range-Seed aus der MISP-Warninglist übernommen und jede IP einzeln reverse-verifiziert: 108 von 108 bestätigt. Keine Stichprobe, keine Hochrechnung.

Reposify (CrowdStrike) — der verifizierte Scanner-Block und wie wir ihn per FCrDNS belegt haben

Mon, 01 Jan 0001 00:00:00 +0000

Reposify ist ein internet-weiter Attack-Surface-Scanner — er sucht das Internet nach exponierten Assets ab, um Firmen ihre externe Angriffsfläche zu zeigen. 2022 von CrowdStrike übernommen. Kein SEO-Tool. Reposify publiziert keine offizielle IP-Liste — wir haben die aktiven Scanner-EIPs deshalb vollständig per bidirektionalem FCrDNS gegen *.reposify.net verifiziert. Teil unseres PARC-Security-Feeds.

reposify.json — Feed ansehen CrowdStrike (Reposify) →

Die Blöcke

449 IPv4, in AWS (us-east-1, Northern Virginia):

44.220.185.0/24 228 IPs scanner-44-220-185-NN.reposify.net
44.220.188.0/24 221 IPs scanner-44-220-188-NN.reposify.net

Jede Adresse ist einzeln als /32 im Feed — keine /24-Aggregation, weil in denselben AWS-/24 auch generische EC2-Instanzen anderer Kunden liegen. Es kommt nur rein, was sich per DNS selbst beweist.

research-scanner.com — per-IP self-ID via research-scanner.com

Mon, 01 Jan 0001 00:00:00 +0000

internet-weiter Research-Scanner (research-scanner.com). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS *.research-scanner.com. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (12). Teil unseres PARC-Security-Feeds.

research-scanner.json — Feed ansehen research-scanner.com →

Verifikation — jede IP einzeln

Den Reverse-PTR *.research-scanner.com kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

12 IPs → alle PTR research-scanner.com

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Semrush Bot — verifizierte IP-Ranges, ASN-Prüfung und die Googlebot-Imitation

Mon, 01 Jan 0001 00:00:00 +0000

Semrush ist eines der größten SEO-/Backlink-Tools — und sein Crawler gehört zu den aktivsten kommerziellen Bots im Web. Hier die verifizierten IP-Ranges (Teil unseres PARC-Security-Feeds) und, wichtiger noch: wie man den Bot sicher erkennt. Denn Semrush crawlt seit Jahren auch mit gefälschtem Googlebot-User-Agent — eine Erkennung allein über den User-Agent ist daher wertlos.

semrush.json — Feed ansehen Offizielle Semrush-Bot-Seite →

Die verifizierten Ranges

Insgesamt 1.539 IPs in 6 × /24 plus 3 einzelnen /32:

Shadowforce — per-IP self-ID via shadowforce.io

Mon, 01 Jan 0001 00:00:00 +0000

internet-weiter Security-Scanner (Shadowforce). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS *.scan.shadowforce.io. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (15). Teil unseres PARC-Security-Feeds.

shadowforce.json — Feed ansehen shadowforce.io →

Verifikation — jede IP einzeln

Den Reverse-PTR *.scan.shadowforce.io kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

15 IPs → alle PTR shadowforce.io

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Shadowserver — Scanner-Ranges per ASN-Eigentum (AS22168), per-IP geprüft

Mon, 01 Jan 0001 00:00:00 +0000

Die Shadowserver Foundation (gemeinnützig, USA) betreibt einen der größten internet-weiten Security-Scanner aus der eigenen ASN AS22168. Kein SEO-Tool. Identifiziert wird über ASN-Eigentum (BGP/RDAP): 26 announced Prefixe = 8.704 IPs. Jede einzelne IP haben wir auf ihre Origin-ASN geprüft. Teil unseres PARC-Security-Feeds.

shadowserver.json — Feed ansehen shadowserver.org →

Verifikation per-IP — komplett homogen

Shadowserver-Scan-IPs haben kein self-identifizierendes Reverse-DNS, gehören aber einer eigenen, registrierten ASN — ein belastbarer Eigentums-Beweis (anders als gemietete Cloud-IPs). Nach dem Alpha-Strike-Befund (dort waren 38 % der Range fremd) haben wir hier nicht der announced-Liste vertraut, sondern jede der 8.704 IPs einzeln auf ihre Origin-ASN geprüft:

Shodan — den bekanntesten Internet-Scanner per Reverse-DNS verifizieren

Mon, 01 Jan 0001 00:00:00 +0000

Shodan ist der bekannteste Internet-Scanner (USA) — die Suchmaschine für mit dem Internet verbundene Geräte. Kein SEO-Tool. Shodan betreibt verteilte census-Knoten über mehrere Hoster, ohne eigene Range. Sie identifizieren sich per Reverse-DNS *.census.shodan.io und *.scanf.shodan.io. Wir haben jede IP einzeln per Reverse-DNS bestätigt. Teil unseres PARC-Security-Feeds.

shodan.json — Feed ansehen shodan.io →

Verifikation per autoritativem Reverse-DNS

Die Scan-IPs reversen auf benannte Knoten (soda.census.shodan.io, waffles.scanf.shodan.io …). Den Reverse-PTR kann nur der IP-Betreiber setzen — also Shodan. Das ist ein nicht-fälschbarer Eigentums-Beweis.

Stretchoid — einen anonymen Azure-Scanner ohne offizielle Liste verifizierbar machen

Mon, 01 Jan 0001 00:00:00 +0000

Stretchoid ist ein internet-weiter Recon-/Port-Scanner mit anonymem Betreiber. Kein SEO-Tool. Es gibt keine offizielle IP-Liste und keine eigene Range — die Scanner laufen auf rotierenden Microsoft-Azure-IPs (AS8075). Trotzdem fassbar, weil Stretchoid einen selbstidentifizierenden Reverse-DNS *.stretchoid.com setzt, der FCrDNS-verifizierbar ist. Die aktiven IPs leiten wir aus zwei Quellen ab und bestätigen jede einzeln: 1.909 verifizierte IPs. Teil unseres PARC-Security-Feeds.

stretchoid.json — Feed ansehen stretchoid.com (Opt-out-Falle — bewusst nicht verlinkt)

Woher die IPs kommen — zwei Quellen, ein Filter

Stretchoid publiziert nichts. Es gibt keine offizielle Range-Liste und kein eigenes ASN — die Scanner laufen auf gemieteten Azure-IPs, die rotieren. Ein klassischer Range-Block wie bei Censys oder ONYPHE ist damit unmöglich. Wir nutzen stattdessen zwei Beobachtungs-Quellen und denselben Filter:

Stripe — offizielle IP-Ranges (Webhook/API)

Mon, 01 Jan 0001 00:00:00 +0000

Stripe (US/IE) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Stripes Webhook-/API-Server senden bzw. erreichbar sind — aus der offiziellen Quelle zu PARC-Feed normalisiert (15 Einträge). Teil unseres PARC-Security-Feeds.

stripe.json — Feed ansehen stripe.com →

Quelle & Aktualisierung

Quelle: stripe.com/files/ips/ips_webhooks.txt — offiziell publiziert. Die Liste wird von einem maschinenlesbaren Endpoint nachgezogen. Stripe kann die Ranges jederzeit ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

Quellen

← Zurück zu PARC Security Kontakt aufnehmen

The Recyber Project — per-IP self-ID via recyber.net

Mon, 01 Jan 0001 00:00:00 +0000

Das Recyber Project betreibt einen internet-weiten Security-Scanner. Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: PTR auf recyber.net. Wir haben jede IP einzeln reverse-geprüft. Teil unseres PARC-Security-Feeds.

recyber.json — Feed ansehen www.recyber.net →

Verifikation — jede IP einzeln

Die zwei Listen-/24 (89.248.163.0/24, 89.248.165.0/24) liegen bei IP Volume inc (AS202425). Der Reverse-PTR recyber.net kann nur der IP-Betreiber setzen:

508 IPs (2 /24) → 350 mit PTR recyber.net (nur die kommen rein)

Die 158 ohne self-ID (no-reverse / fremde PTR) bleiben draußen. Keine Hochrechnung.

Twitterbot / X-Crawler — IP-Ranges, ASN-Verifikation und das Grok-AI-Training-Risiko

Mon, 01 Jan 0001 00:00:00 +0000

X (vormals Twitter) betreibt den Twitterbot für Link-Previews (Twitter-Cards) — und seit der Übernahme durch xAI (Mai 2025) kommen aus denselben Netzen vermutlich auch AI-Trainings-Crawls für Grok. X publiziert keine offizielle IP-Liste; Verifikation läuft ausschließlich über die ASN. Hier die aggregierten Ranges (Teil unseres PARC-Security-Feeds) und wie wir sie ermittelt und validiert haben.

twitter-x.json — Feed ansehen X-Cards-Doku →

Die Ranges

Insgesamt 20 Prefixes (17 IPv4 + 3 IPv6), aggregiert aus fünf X-eigenen ASNs:

University of Michigan — Scan-Forschung aus eigenem /16 (AS36375)

Mon, 01 Jan 0001 00:00:00 +0000

Die University of Michigan betreibt langjährige internet-weite Scan-Forschung (u.a. ZMap/Censys-Ursprünge) aus dem eigenen Netzblock. Kein SEO-Tool. Identifiziert über ASN-Eigentum: AS36375, eigenes 141.212.0.0/16. Teil unseres PARC-Security-Feeds.

umich.json — Feed ansehen cse.engin.umich.edu →

Verifikation — jede IP einzeln

Die 6 announced /24-Blöcke (141.212.120–125) liegen alle im eigenen /16 der Universität (ARIN-Allokation von 1990). Nach der Alpha-Strike-Lehre haben wir nicht der Liste vertraut, sondern jede IP einzeln auf ihre Origin-ASN geprüft:

1.524 / 1.524 Host-IPs → alle AS36375 (0 Fremd-IPs, vollständig)

700 davon self-identifizieren zusätzlich per Reverse-DNS auf umich.edu.

Visionheight — per-IP self-ID via visionheight.com

Mon, 01 Jan 0001 00:00:00 +0000

internet-weiter Research-Scanner (Visionheight). Kein SEO-Tool. Die Scan-IPs sind self-identifizierend: Reverse-DNS scan.visionheight.com. Entdeckt im CINS-Abgleich und per Nachbar-Range-Scan vervollständigt — jede IP einzeln reverse-bestätigt (15). Teil unseres PARC-Security-Feeds.

visionheight.json — Feed ansehen visionheight.com →

Verifikation — jede IP einzeln

Den Reverse-PTR scan.visionheight.com kann nur der IP-Betreiber setzen — ein nicht-fälschbarer Eigentums-Hinweis. Seed aus den aktiv scannenden CINS-IPs, per Reverse-Scan der umliegenden /24 vervollständigt; jede IP einzeln bestätigt:

15 IPs → alle PTR visionheight.com

Reverse-only (Forward nicht durchgängig prüfbar, wie bei Shodan/Infrawatch). AbuseIPDB führt diese IPs teils mit Score 100 — es sind dennoch benigne Research-Scanner.

Worldline (Direct) — offizielle IP-Ranges (Webhook/Notifications)

Mon, 01 Jan 0001 00:00:00 +0000

Worldline (Direct) (FR/BE) ist ein Zahlungsanbieter. Dies sind die offiziellen IP-Ranges, unter denen Worldline (Direct)s Webhook-/Notification-Server senden — aus der offiziellen Quelle zu PARC-Feed normalisiert (4 Einträge). Hinweis: identische Ranges wie PAYONE — beide laufen auf derselben Worldline-Plattform (PAYONE ist ein Worldline-Joint-Venture). Teil unseres PARC-Security-Feeds.

worldline.json — Feed ansehen docs.direct.worldline-solutions.com →

Quelle & Aktualisierung

Quelle: Worldline-Direct-Doku (Firewall configuration) — offiziell publiziert. Aus der Anbieter-Doku übernommen. Worldline (Direct) kann die Ranges ändern; der PARC-Feed bildet den offiziellen Stand ab. Reine IP-Daten ohne Wertung.

XoviBot (XOVI) — die verifizierten Crawler-Ranges, Smoking-Gun-PTR und der Mischpool-Trick

Mon, 01 Jan 0001 00:00:00 +0000

XoviBot ist der Crawler der Kölner XOVI-SEO-Plattform (Backlink-Index, Keyword-Tracking, Rank-Monitoring). XOVI publiziert keine offizielle IP-Liste. Wir haben die aktiven Ranges über drei Quellen belegt — Tracker-Datenbanken, ASN-Aggregation und einen vollständigen Subnet-Scan mit einem eindeutigen Reverse-DNS-Treffer. Teil unseres PARC-Security-Feeds.

xovibot.json — Feed ansehen XoviBot-Info →

Die Ranges

1 CIDR + 8 Einzel-IPs = 9 Einträge, alle bei deutschen Tier-2-Hostern:

78.138.117.0/24 Hauptpool — PlusServer (AS61157), komplettes /24
85.114.158.169/32 MyLoc / WIIT (AS24961) — 6 PTR-freie Slots
85.114.158.174/32
85.114.158.179/32
85.114.158.206/32
85.114.158.209/32
85.114.158.210/32
212.224.119.138/32 firstcolo (AS44066)
212.224.119.141/32

XOVI sitzt als Kölner Firma logischerweise bei deutschen Hostern, die klassisch SEO-/Marketing-Tools beherbergen.