Integrationen und Verbindungen

Eine Integration bringt den Prüfstatus einer Website dorthin, wo sie betrieben wird, zum Beispiel in den WordPress-Admin. Sie kann außerdem die von Ihnen freigegebene Datenschutzerklärung ausgeben und, wenn Sie es erlauben, einen Scan anstoßen. Die Verbindung selbst ist eine Funktion des Kontos und für alle Integrationen gleich. Sie wird pro Website angelegt.

Stand der Integrationen: WordPress ist die erste. Das Plugin „Complianty Connector“ befindet sich in Vorbereitung und ist noch nicht im WordPress-Verzeichnis veröffentlicht. Weitere Integrationen sind vorgesehen und nutzen dieselbe Verbindung.

Eine Verbindung je Website und Integration

Für jede Website legen Sie pro Integration eine eigene Verbindung an. Jede Verbindung hat ein eigenes Verbindungstoken, eigene Rechte, eine eigene Anzeige „zuletzt benutzt“ und einen eigenen Widerruf. Wird eine Verbindung widerrufen oder ihr Token gestohlen, sind andere Integrationen derselben Website nicht betroffen. Pro Website und Integration gibt es höchstens eine aktive Verbindung.

Angelegt wird sie im jeweiligen Mandanten über das Verbindungs-Symbol in der Zeile der Website. Dort sehen Sie auch alle bestehenden Verbindungen dieser Website. Eine Gesamtübersicht über alle Verbindungen des Kontos finden Eigentümer des Kontos unter „Integrationen“ in der Navigation.

Das Token

Das Token beginnt mit clp_site_ und wird genau einmal im Klartext angezeigt. Gespeichert wird nur ein Hashwert, dazu ein nicht geheimes Anzeigefragment. Ein verlorenes Token lässt sich deshalb nicht wiederherstellen, nur ersetzen. Behandeln Sie es wie ein Passwort: nicht in Tickets oder Chats weitergeben. Das Token gilt ausschließlich für diese eine Website. Mit ihm lassen sich weder andere Websites noch andere Mandanten abrufen.

Das Token wird als Authorization: Bearer … übergeben und nie in der Adresse. Es ist unabhängig vom API-Schlüssel der Programmierschnittstelle und nicht an dieselbe Funktion gebunden.

Was die Gegenstelle sehen kann

• Status der einen Website: Ampel, Zahl offener kritischer und wichtiger Befunde, Zeitpunkt des letzten Scans und laufender Scan.
• Die wichtigsten Befunde, höchstens zehn, jeweils mit Priorität, Titel und kurzem Text. Es sind reine Texte. Beweisblöcke, Screenshots und Befunde anderer Websites sind nicht Teil der Antwort. Befunde, die Sie aus dem Bericht ausgeblendet haben, erscheinen auch hier nicht.
• Die freigegebene Datenschutzerklärung des Mandanten (siehe unten).

Datenschutzerklärung: nur freigegebene Fassungen

Eine Integration bekommt die Datenschutzerklärung nur, wenn sie freigegeben ist. Ein Entwurf wird nicht ausgeliefert. Bearbeiten oder erzeugen Sie die Erklärung neu, wird die Freigabe zurückgesetzt. Die Gegenstelle zeigt dann weiter die zuletzt freigegebene Kopie und weist auf die ausstehende Freigabe hin. So verschwindet die Erklärung nicht von einer Live-Seite, nur weil Sie sie überarbeiten.

Endet das Abonnement, gilt dieselbe Karenzfrist wie bei der eingebetteten Datenschutzerklärung. Danach liefert die Verbindung einen neutralen Hinweistext statt der Erklärung.

Scan über eine Integration

Das Recht, einen Scan auszulösen, ist standardmäßig aus und nur für Eigentümer des Kontos einstellbar. Es kann nur bei Integrationen aktiviert werden, die es vorsehen. Ein Scan über eine Integration bucht auf dasselbe Tagesbudget wie ein Scan aus der Oberfläche. Es gelten dieselbe Abkühlzeit und dieselbe Sperre gegen gleichzeitige Scans. Den Umfang („Nur Startseite“ oder „Ganze Website“) legen Sie in Complianty fest. Die Gegenstelle kann ihn nicht ändern. Das Zuschalten des Rechts bei einer bestehenden Verbindung erweitert die Rechte des schon ausgerollten Tokens und verlangt deshalb eine Bestätigung.

Jeder Scan über eine Integration erscheint im Compliance-Protokoll des Mandanten mit Integration und Umfang.

Erneuern, widerrufen, automatischer Ablauf

• Erneuern stellt ein neues Token aus. Das alte bleibt noch 15 Minuten gültig, damit Sie das neue in Ruhe eintragen können. Rechte und Scan-Umfang bleiben erhalten.
• Widerrufen wirkt sofort und beendet auch ein noch gültiges altes Token aus einer Erneuerung. Es betrifft nur die gewählte Integration. Widerrufen lässt sich jederzeit, auch ohne aktives Abonnement.
• Automatischer Ablauf: Ein Token ohne Nutzung wird nach 180 Tagen widerrufen. 14 Tage vorher erhält der Kontoeigentümer eine Hinweismail. Ein Abruf in der Integration setzt die Frist zurück.

Erzeugen, Erneuern, Ändern und Widerrufen stehen im Compliance-Protokoll des Mandanten.

Kostenloser Kurzcheck aus der Integration

Integrationen können ihren Nutzern einen Kurzcheck der eigenen Website anbieten, auch ohne Konto. Er arbeitet wie der kostenlose Website-Check: Die Gegenstelle übermittelt die Adresse der Website und erhält ein Kurzergebnis mit erkanntem Cookie-Banner, Zahl der Dienste und den auffälligsten davon. Pro Adresse ist ein Check alle sechs Stunden möglich, pro IP-Adresse sind es höchstens 20 je Stunde. Eine E-Mail-Adresse wird dabei nicht abgefragt.