Vertrauen & Compliance

Die Website und die API laufen auf Vercel ([Hosting-Region, z. B. Washington, D.C., USA]). Die Daten werden in einer Neon-Postgres-Datenbank ([Datenbankregion]) über eine verschlüsselte (TLS-)Verbindung gespeichert. Außerhalb dieser Anbieter und der unten aufgeführten Unterauftragsverarbeiter gibt es keine weiteren Kopien Ihrer Daten.

Scans fragen die geprüfte Domain außerdem in öffentlichen Quellen ab: dem Internet Archive (Wayback Machine), Common Crawl und Wikidata. Diese erhalten nur die Adresse der Website. Wir verwenden keine Analyse-, Werbe- oder Tag-Manager-Dienste.

Automatische Löschfristen für Audits und Nachrichten sind noch nicht eingerichtet. [Aufbewahrungsfristen werden noch festgelegt.]

• HTTPS überall, mit HTTP Strict Transport Security (ein Jahr, einschließlich Subdomains).
• Sicherheits-Header bei jeder Antwort: X-Frame-Options DENY, X-Content-Type-Options nosniff, eine strikte Referrer-Policy und eine Permissions-Policy, die Kamera, Mikrofon und Standort deaktiviert.
• Keine Passwörter. Die Anmeldung erfolgt über Google OAuth mit State- und PKCE-Prüfungen; nur verifizierte Google-E-Mail-Adressen werden akzeptiert.
• Sitzungen verwenden 256-Bit-Zufallstoken in HttpOnly-, SameSite=Lax- und Secure-Cookies; die Datenbank speichert nur deren SHA-256-Hash.
• API-Schlüssel sind 256-Bit-Zufallswerte, die einmal angezeigt werden; wir speichern nur deren SHA-256-Hash. Sie sehen nur Ihre eigenen Audits, unterliegen einer Ratenbegrenzung, und Sie können sie jederzeit in den Einstellungen widerrufen.
• Nicht erratbare Berichtslinks (144-Bit-Zufalls-Freigabetoken); ohne Anmeldung durchgeführte Audits können nur von dem Browser aus, der sie durchgeführt hat, in einem Konto gespeichert werden.
• Same-Origin-Prüfungen bei Kontoaktionen wie Abmelden, Speichern von Audits, Überschreiben von Prüfungen, Ändern Ihres Namens und Löschen Ihres Kontos sowie Ratenbegrenzungen für Audits, Anmeldung, Formulare und andere öffentliche Endpunkte.
• SSRF-sicheres Abrufen. Der Crawler löst jeden Hostnamen auf und lehnt private, Loopback-, Link-Local- und Cloud-Metadaten-Adressen ab, verbindet sich nur mit der geprüften Adresse, prüft jede Weiterleitung erneut und erlaubt nur Standard-Webports.
• Scoring nur auf dem Server. Die KPI-Prüfungen und das Scoring-Modell laufen auf unseren Servern; der Browser erhält Ergebnisse, nicht die Scoring-Logik.
• Keine Geheimnisse im Browser. Unsere eigenen Dienstschlüssel und Zugangsdaten befinden sich nur in Umgebungsvariablen auf dem Server.
• Minimale personenbezogene Daten. IP-Adressen aus dem Kontaktformular werden nur als Einweg-Hash gespeichert; Zugangsdaten, die im öffentlichen Code einer gescannten Website gefunden werden, werden nur in geschwärzter Form aufbewahrt.

• Nur öffentliche Seiten. Wir rufen Seiten ab, die jeder ohne Anmeldung erreichen kann. Wir senden nur GET- und HEAD-Anfragen, senden nie Formulare ab und überspringen Admin-, Login- und API-Pfade.
• Erkennbarer Crawler. Crawl-Anfragen verwenden den User-Agent ContentMasBot/1.0 und beachten Disallow-Regeln in der robots.txt für alle Agents und für ContentMasBot.
• Limits. Die Seitenzahl pro Website-Audit richtet sich nach Ihrem Plan (10 bei Free, höchstens 1.000), drei Anfragen gleichzeitig, etwa zweieinhalb Minuten Crawling, 10 Sekunden und 2 MB pro Anfrage sowie drei Weiterleitungen.
• Vergleichsprüfungen. Um die Sichtbarkeit in KI und Suche zu testen, ruft eine feste, kleine Anzahl von Anfragen (höchstens 40 für die KI-Sichtbarkeitsprüfungen) wichtige Seiten mit Browser- und KI-Crawler-User-Agents (etwa OAI-SearchBot und ClaudeBot) erneut ab, um festzustellen, ob diese denselben Inhalt erhalten.
• Ratenbegrenzungen. Jeder Besucher kann in kurzer Zeit nur wenige Website-Audits starten.

Websitebetreiber können ContentMasBot in der robots.txt blockieren oder uns über unser Kontaktformular bitten, das Scannen ihrer Domain einzustellen.

Angemeldete Nutzer können ihre Daten als JSON exportieren und ihr gesamtes Konto mit seinen Berichten selbst unter Dashboard → Einstellungen löschen. Sie können außerdem eine Kopie Ihrer Daten, deren Berichtigung oder Löschung verlangen oder der Verarbeitung widersprechen: Senden Sie Anfragen über unser Kontaktformular mit dem Betreff „Privacy“. Wir antworten innerhalb eines Monats oder früher, wenn Ihr örtliches Recht dies verlangt. Einzelheiten nach Region finden Sie unter Ihre Rechte.

Wenn Sie ein Sicherheitsproblem in ContentMas finden, teilen Sie es uns bitte über unser Kontaktformular mit dem Betreff „Security“ mit, einschließlich der Schritte zur Reproduktion. Greifen Sie nicht auf Daten anderer Nutzer zu, beeinträchtigen Sie den Dienst nicht und veröffentlichen Sie keine Details, bevor wir das Problem behoben haben. Wir bestätigen den Eingang Ihrer Meldung und halten Sie auf dem Laufenden. Forschung in gutem Glauben, die diese Regeln befolgt, wird nicht verfolgt.

Jedes Audit ermittelt die Zielregion der Website (zum Beispiel die EU, das Vereinigte Königreich, die USA, Indien, Pakistan oder die Golfregion) anhand von Signalen wie der Domain, Adressen, Telefonvorwahlen, Sprache und Währung, und Sie können sie auch selbst festlegen. Anschließend wendet es regionsbezogene Prüfungen an für:

• Datenschutz: eine auffindbare Datenschutzerklärung und die Angaben, die nach Gesetzen wie der GDPR (DSGVO), der UK GDPR, CCPA/CPRA, dem indischen DPDP Act und der UAE PDPL erwartet werden;
• Cookies: ob ein Einwilligungsmechanismus vorhanden ist, wo Tracker und nicht notwendige Cookies eingesetzt werden, wie es die ePrivacy-Richtlinie (ePrivacy Directive) und PECR erwarten;
• Barrierefreiheit: häufige technische Barrieren und eine Erklärung zur Barrierefreiheit, unter Anwendung des European Accessibility Act (Europäischer Rechtsakt zur Barrierefreiheit) und der britischen Vorschriften für den öffentlichen Sektor, soweit relevant;
• Verbraucherinformationen: Angaben zu Bedingungen, Erstattung, Kontakt und Identität des Unternehmens, die für den Typ und die Region der Website erwartet werden.

Diese Prüfungen weisen auf wahrscheinliche Lücken hin, ausgehend von dem, was auf der Website öffentlich sichtbar ist. Sie sind keine Rechtsberatung und können nicht bestätigen, dass eine Website ein Gesetz einhält. Fragen Sie eine qualifizierte Anwältin oder einen qualifizierten Anwalt, bevor Sie sich darauf verlassen.

Primärquellen für die Regeln, denen diese Prüfungen folgen:

• EU-Datenschutz-Grundverordnung (General Data Protection Regulation): Verordnung (EU) 2016/679 auf EUR-Lex
• Leitfaden zu UK GDPR und PECR: Information Commissioner's Office: wie sich PECR zur UK GDPR verhält (öffnet in einem neuen Tab)
• Barrierefreiheit: W3C Web Content Accessibility Guidelines (WCAG) 2.2
• Suchrichtlinien: Google Search Essentials