Berichte teilen

Mandanten sollen den Stand ihrer Website sehen, ohne ein Konto anzulegen und ohne dass Sie einen Bericht von Hand zusammenstellen. Dafür gibt es pro Mandant einen Freigabe-Link. Er setzt einen bestehenden Mandanten voraus. Wer einem Unternehmen ohne Mandat einen Befund zeigen will, nimmt den Akquise-Bericht. Die Leseansicht dahinter speist sich aus denselben Daten wie Ihre eigene Ansicht, zeigt aber nicht dieselben Daten.

Wie der Link entsteht

Sie erzeugen ihn im Mandanten mit einem Klick. Die Adresse enthält ein zufälliges Merkmal aus 32 Byte Zufall. Erraten kann es niemand. Es gibt genau einen aktiven Link je Mandant. Erzeugen Sie einen neuen, ersetzt er den bisherigen. Die alte Adresse führt danach ins Leere, und die bis dahin gesammelte Aufrufstatistik verschwindet mit ihr.

Eine Gültigkeitsdauer hat der Link nicht. Er bleibt offen, bis Sie ihn widerrufen. Zwei Dinge schließen ihn zusätzlich. Ein widerrufener Link antwortet sofort so, als gäbe es ihn nie. Und läuft das Abonnement der Agentur aus, ist der Bericht ebenfalls nicht mehr abrufbar.

Was der Mandant sieht

• Name des Mandanten, abgeleiteter Status und der Score
• die Websites mit Datum des letzten Scans und je einem Vorschaubild der Seite
• die offenen Befunde, jeweils mit Einschätzung von Risiko und Aufwand
• den Abschnitt „Geprüft und eingeordnet“ für ausgeblendete Befunde, deren Begründung Sie für den Bericht freigegeben haben
• fehlende Auftragsverarbeitungsverträge als Namensliste
• die Prüfmatrix des Formular-Checks je Formular
• einen Verlauf aus bis zu zwölf Tagespunkten sowie die Zahl bereits erledigter Punkte

Ausgeblendete Befunde fehlen vollständig, auch in den Zählungen, im Status und im Score. Der Server filtert, bevor er antwortet. Was der Mandant nicht sehen soll, verlässt ihn gar nicht erst.

Der öffentliche Bericht ist kuratiert

Der Beweisblock, den Sie intern sehen, ist ein forensischer Datensatz. In den öffentlichen Bericht geht davon nur ein beschnittener Ausschnitt:

• Keine Screenshots im Beweis. Die Aufnahmen zu einzelnen Prüfpunkten bleiben in der angemeldeten Ansicht und im PDF. Der öffentliche Beweis ist reiner Text.
• Adressen ohne Parameter. Aufrufe erscheinen als Zielserver und Pfad. Die Abfrageparameter fallen weg, und die vollständige Adresse ist ohnehin nirgends gespeichert.
• Verkürzt. Je Befund werden höchstens drei Aufrufe gezeigt, intern sind es fünf. Die Gesamtzahl steht daneben.
• Keine internen Kennungen. Die Regel, die den Treffer ausgelöst hat, der Stand des Prüfregelwerks und die Prüfsumme der Rohadresse bleiben intern.
• Keine Zertifikats-Forensik. Aus der SSL-Prüfung kommen Aussteller, Laufzeit und abgedeckte Namen in den Bericht. Fingerabdruck und Seriennummer bleiben draußen.
• Keine Formularstruktur. Die Prüfzeilen sind sichtbar, die erkannten Feldnamen und das Ziel des Formulars nicht.
• Keine Auszüge aus dem Seitenquelltext. Barrierefreiheitsbefunde nennen Regel, Erfolgskriterium und Anzahl betroffener Elemente, aber keine Selektoren.
• Keine Erkennungsgüte. Beim Impressum stehen die geprüften Felder und die Werte, die auf der Seite ohnehin öffentlich sind. Wie sicher wir sie ausgelesen haben, steht nicht dabei.

Ein Befundtyp trägt im geteilten Bericht grundsätzlich keinen Beweis, nämlich der Hinweis auf ein Werkzeug, das bei einem erneuten Scan neu aufgetaucht ist. Das ist eine interne Prüfnotiz, keine Aussage an den Mandanten.

Zwei Schalter pro Link

Sie können die Beweisblöcke insgesamt abschalten. Dann bleibt eine Zusammenfassung der Befunde ohne technische Belege. Und Sie können den Block der fehlenden Auftragsverarbeitungsverträge ausblenden, etwa wenn diese außerhalb von Complianty geführt werden. Beide Schalter wirken serverseitig.

Aufrufe und Widerruf

Zu jedem Link sehen Sie Aufrufe insgesamt, unterschiedliche Besucher sowie ersten und letzten Zugriff, dazu eine grobe Verteilung nach Browser, Betriebssystem und Gerätetyp. Die IP-Adresse wird dafür nicht gespeichert. Es bleibt nur ein gekürzter Hashwert. Der reicht, um wiederkehrende Besucher zu zählen, und nicht, um jemanden zu identifizieren.

Der Widerruf wirkt sofort. Ist bei Ihnen eine eigene Domain hinterlegt, läuft der Bericht darunter. Eine registrierte Agenturdomain löst dabei ausschließlich Links dieser Agentur auf.