 Benjamin Admin
|
ff796fb480
|
feat: B12 Chatbot-Cookie-Klassifikation (#19) + Cookie-Matrix scan + safetykon test
#19 Chatbot-Cookie-Klassifikation:
- chat_providers.json KB mit 11 Providern (iAdvize, Intercom, Tidio,
Drift, Userlike, Zendesk, LivePerson, HubSpot, Vertex AI, OpenAI,
Anthropic Claude). Pro Provider: Cookie-Pattern-Regex,
typical_retention_days, tn_functions vs cp_functions, ai_capable.
- chatbot_cookie_classification_check.py mit 4 KORRIGIERTEN Checks:
CHAT-COOKIE-CLASS-001 (MED) — TN deklariert + Vendor-Purpose
erwähnt Targeting/Analytics/A-B-Tests
CHAT-COOKIE-CLASS-002 (MED) — Provider hat tn+cp Funktionen,
Tabelle nennt nur eine Seite → keine Einwilligungs-Differenzierung
CHAT-COOKIE-PURPOSE-001 (LOW) — Zweck zu generisch (Art. 13
DSGVO konkret)
CHAT-COOKIE-RETENTION-001 (HIGH) — deklariert <90d, KB-typisch
>365d → vermutlich unterdeklariert
NEU vs vorigem Plan: kein "eigene Banner-Kategorie Chat/AI"-Check —
gesetzlich nicht vorgeschrieben (Vermischung Zweck-Transparenz vs
Kategorie-Name). Anwender-Frage berechtigt, Konzept geschärft.
- _b12_wiring.py + Orchestrator-Wire + V2-Compose-Slot
- Cookie-Inventar mit [Chat]/[Chat+AI]-Tag pro Cookie-Name (KB-Lookup)
- Smoke (3 Vendors / 5 Cookies): 9 findings korrekt (3 HIGH RETENTION,
3 MEDIUM CLASS-001, 4 LOW PURPOSE)
Cookie-Matrix Scan (Browser-Vergleich gegen safetykon.de):
- consent-tester/services/cookie_behavior_per_browser.py: eigener
fokussierter Scanner. Pro Browser-Profile: cookies before / after
reject / after accept in separaten Kontexten. Sequenzielle Runs
statt parallel (Race-Conditions).
- routes_cookie_matrix.py POST /scan-cookie-matrix
- Live-Test safetykon.de: chromium=1, firefox=0, webkit=1, mobile-
safari=1 nach reject — Firefox setzt KEIN Cookie nach Reject!
(consent-tester Rebuild brachte playwright install-deps für system-libs)
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
|
2026-06-06 23:25:20 +02:00 |
|
|
Benjamin Admin
|
37093ff9e3
|
feat: Browser-Matrix C2 + B11 AI-Retention + Impressum-Specialist-Agent + B1 Mobile Playwright
Task #15 Stage 1.c-e — Browser-Matrix Backend-Integration:
- _phase_c2_browser_matrix.py: ruft consent-tester /scan-matrix wenn
env BROWSER_MATRIX=true, fuellt state["browser_matrix"] +
state["browser_aggregate"] + state["browser_matrix_html"]
- V2-Mail-Block: 🌐 Browser-Matrix Tabelle (Profile · Score ·
Sub-Scores PC/RR/BD · Bewertung) mit Worst-of-Header
- Orchestrator ruft run_phase_c2 nach run_phase_c
KNOWN: Stage 1.b (consent_scanner browser_profile-Param) bleibt
zurueckgestellt (Datei in loc-exception, Hook-Patch verweigert).
Stage 1.a-Shim laeuft im consent-tester — alle Profile aktuell
auf Chromium, echte Engine-Diversitaet kommt mit 1.b.
Task #17 TH-RETENTION-002 als B11 ai_retention_granularity_check:
- Erkennt AI-Provider-Kontext (vertex/openai/anthropic/etc)
- In +-800-char-Window: prueft ≥2 Datenkategorien aus Standard-Liste
(Texteingaben/IP/Geraet/Session/Fehlerprotokoll/Zeitstempel)
- Wenn 1 pauschale Speicherdauer + ≥2 Kategorien aber kein
per-Kategorie-Differential → LOW
- Smoke: Elli-Mock-DSE trifft LOW "AI-Speicherdauer pauschal"
Task #18 Specialist-Agents Phase-1-Prototyp:
- compliance/services/specialist_agents/__init__.py mit Architektur-Doku
- impressum_agent.py: 9 Pflichtangaben § 5 TMG + § 1 DL-InfoV
als Pattern-Registry (Name, Email, Telefon, HR, USt-IdNr,
Vertretungsberechtigt, Aufsichtsbehoerde, Berufsangaben, OS-Link)
- business_scope-aware (OS-Link nur fuer ecommerce, Aufsichtsbehoerde
nur fuer regulated_profession/financial/insurance)
- Phase-1 ist Pattern-Match-only (kein LLM), demonstriert die
Schnittstelle. Phase 2 ersetzt Pattern durch System-Prompt + KB.
- Smoke: minimal-Impressum triggert 4 Findings korrekt
Task #7 B1 Playwright Mobile-Verifikation:
- consent-tester/services/mobile_reachability_scanner.py: echte
WebKit-launch + p.devices['iPhone 15'] preset + de-DE locale +
Europe/Berlin timezone
- Footer-Anchor-Suche via locator("footer >> text=/.../i") fuer
13 Reopen-Phrasen
- Tap-Target-Boundingbox-Messung (Apple HIG / WCAG ≥44x44)
- Click-Behavior: DOM-Modal-Snapshot vor/nach, erkennt CMP-Open
- Output: has_anchor, anchor_text, tap_target_px, click_opens_cmp,
engine_meta, screenshot_b64 (Footer-Crop wenn kein Anchor)
- consent-tester/routes_mobile.py POST /scan-mobile-reachability
- Backend _b1_wiring erweitert: ruft Mobile-Endpoint zuerst,
Fallback auf statischen HTTP-Fetch. Mobile-Daten enrichen
finding.mobile_playwright + Severity-Bump bei
tap-target<44 / click-doesnt-open-CMP.
KNOWN: WebKit-System-Libs sind im Dockerfile ergaenzt (Stage 1.a-
Commit), greifen aber erst nach CI/CD-Rebuild des consent-tester.
Bis dahin faellt B1 sauber auf statischen Fetch zurueck.
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
|
2026-06-06 22:20:25 +02:00 |
|