Schneller Scan und tiefer Scan

Der Scanner misst eine Website auf zwei Arten: schnell, also nur die aufgerufene Seite, oder tief, also die Seiten, die sich aus der Sitemap ergeben. Der Unterschied liegt allein im Umfang, nicht in der Methode.

Was in beiden Fällen gleich bleibt

Jede einzelne Seite wird identisch gemessen: eigener, leerer Browserkontext, Phase vor der Einwilligung, Bedienung des Einwilligungsdialogs, Phase danach, anschließend die Zuordnung der Aufrufe zu Diensten. Das ist unter Wie der Scanner misst beschrieben. Der tiefe Scan verlängert diese Messung nicht. Er wiederholt sie pro Seite und führt die Ergebnisse anschließend zusammen. Eine Unterseite erbt also nichts von der Startseite, auch keine Einwilligung.

Der schnelle Scan

Gemessen wird ausschließlich die angegebene Adresse. Er ist die Betriebsart für Einzelprüfungen, etwa den öffentlichen Free-Scan, die Prüfung eines Interessenten oder einen ausdrücklich als „quick" angeforderten Lauf über die Programmierschnittstelle. Für einen laufend betreuten Mandanten ist er zu schmal. Karten im Kontaktbereich, Videoeinbettungen im Blog oder ein Buchungsdienst auf der Terminseite tauchen darin nie auf.

Der tiefe Scan

Zuerst werden Adressen gesammelt. Der Scanner liest die sitemap.xml im Wurzelverzeichnis, folgt Sitemap-Indexen bis zu drei Ebenen tief und übernimmt nur Einträge desselben Ursprungs (gleiches Schema, gleicher Host, gleicher Port). Einträge, die offensichtlich keine Seiten sind, werden aussortiert: Bilder, Schriften, PDF, Stylesheets, Medien, Feeds. Existiert keine auswertbare Sitemap, greift eine Rückfallebene: die Links auf der Startseite, ebenfalls nur desselben Ursprungs. Die Einstiegsadresse ist immer dabei und immer die erste. Die Liste wird auf voreingestellt 150 Seiten gekürzt.

Dann wird gemessen: bis zu fünf Seiten gleichzeitig, jede Seite mit einer Obergrenze von 60 Sekunden, der gesamte Lauf mit einer Obergrenze von 600 Sekunden. Läuft eine einzelne Seite in die Zeitgrenze, betrifft das nur diese Seite. Der Lauf geht weiter. Ein Vorschaubild entsteht nur von der Einstiegsseite. Seitenzahl, Parallelität und Zeitgrenzen sind Betriebsparameter und können abweichend eingestellt sein.

Wie die Ergebnisse zusammengeführt werden

• Werkzeuge werden über ihren Namen dedupliziert. Ein Dienst, der auf 40 Seiten liegt, ist ein Eintrag. Dazu die Liste der Seiten, auf denen er gesehen wurde.
• Die strengste Einstufung gewinnt. Wird ein Werkzeug auf einer Seite nur als Skript geladen, auf einer anderen aber mit einem echten Messaufruf beobachtet, zählt der Messaufruf.
• Vor der Einwilligung schlägt nach der Einwilligung. Ein Dienst, der auf irgendeiner Seite vor der Zustimmung feuert, bleibt im Ergebnis vor der Zustimmung.
• Ein Einwilligungsdialog auf irgendeiner Seite zählt als vorhanden.
• Eine Dritt-Domain, die auf irgendeiner Seite wie ein Tracker aussah, gilt nirgends mehr als bloße Auslieferungsinfrastruktur.

Rhythmus

Wird ein Scan von Hand ausgelöst, ist der tiefe Scan die Voreinstellung. Danach greift eine Sperrfrist (voreingestellt fünf Minuten) und, je nach Tarif, ein Tagesbudget an Scans.

Zusätzlich läuft nachts um 02:00 UTC ein tiefer Scan für die hinterlegten Websites. Er wird auf die nachrangige Warteschlange gelegt, damit er selbst ausgelöste Scans nicht ausbremst. Er geht reihum durch die Konten, damit ein großes Konto die Schlange nicht belegt. Zwischen den Aufträgen liegt ein Abstand von voreingestellt 30 Sekunden. Berücksichtigt werden nur Konten mit aktivem oder laufendem Test-Abonnement. Je Konto wird höchstens die im Tarif enthaltene Zahl an Mandanten und Websites gemessen, dabei zuerst die am längsten nicht geprüften.

Was das für die Befunde bedeutet

Ein Befund hängt an der Website, benennt aber die Seite, auf der er beobachtet wurde, nachvollziehbar über den Beweis zum Befund. Jeder Lauf wird zudem mit dem vorherigen verglichen, und zwar nicht nur über die Namen der gefundenen Werkzeuge, sondern über deren Bewertungsklasse. Ein Dienst, der bisher nur wahrscheinlich erkannt war und jetzt nachweislich vor der Einwilligung Daten sendet, wird als Änderung gemeldet, obwohl der Name unverändert ist.