feat: B12 Chatbot-Cookie-Klassifikation (#19) + Cookie-Matrix scan + safetykon test
#19 Chatbot-Cookie-Klassifikation:
- chat_providers.json KB mit 11 Providern (iAdvize, Intercom, Tidio,
Drift, Userlike, Zendesk, LivePerson, HubSpot, Vertex AI, OpenAI,
Anthropic Claude). Pro Provider: Cookie-Pattern-Regex,
typical_retention_days, tn_functions vs cp_functions, ai_capable.
- chatbot_cookie_classification_check.py mit 4 KORRIGIERTEN Checks:
CHAT-COOKIE-CLASS-001 (MED) — TN deklariert + Vendor-Purpose
erwähnt Targeting/Analytics/A-B-Tests
CHAT-COOKIE-CLASS-002 (MED) — Provider hat tn+cp Funktionen,
Tabelle nennt nur eine Seite → keine Einwilligungs-Differenzierung
CHAT-COOKIE-PURPOSE-001 (LOW) — Zweck zu generisch (Art. 13
DSGVO konkret)
CHAT-COOKIE-RETENTION-001 (HIGH) — deklariert <90d, KB-typisch
>365d → vermutlich unterdeklariert
NEU vs vorigem Plan: kein "eigene Banner-Kategorie Chat/AI"-Check —
gesetzlich nicht vorgeschrieben (Vermischung Zweck-Transparenz vs
Kategorie-Name). Anwender-Frage berechtigt, Konzept geschärft.
- _b12_wiring.py + Orchestrator-Wire + V2-Compose-Slot
- Cookie-Inventar mit [Chat]/[Chat+AI]-Tag pro Cookie-Name (KB-Lookup)
- Smoke (3 Vendors / 5 Cookies): 9 findings korrekt (3 HIGH RETENTION,
3 MEDIUM CLASS-001, 4 LOW PURPOSE)
Cookie-Matrix Scan (Browser-Vergleich gegen safetykon.de):
- consent-tester/services/cookie_behavior_per_browser.py: eigener
fokussierter Scanner. Pro Browser-Profile: cookies before / after
reject / after accept in separaten Kontexten. Sequenzielle Runs
statt parallel (Race-Conditions).
- routes_cookie_matrix.py POST /scan-cookie-matrix
- Live-Test safetykon.de: chromium=1, firefox=0, webkit=1, mobile-
safari=1 nach reject — Firefox setzt KEIN Cookie nach Reject!
(consent-tester Rebuild brachte playwright install-deps für system-libs)
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
Benjamin Admin
ff796fb480