DeckproofBot war auf deiner Seite. Das hat er gemacht.
DeckproofBot ist der Scanner hinter deckproof.dev. Er besucht eine Seite nur, wenn ein Mensch eine Prüfung startet oder eine Prüfung fällig wird, die jemand für seine eigene Seite eingerichtet hat. Er crawlt nicht, folgt keinen Links quer durchs Netz und schreibt nie etwas.
Was er abruft
Die angefragte Seite, das JavaScript, das sie lädt, und eine kurze Liste bekannter Dateien: robots.txt, sitemap.xml, das Favicon, Impressum und Datenschutzseite sowie ein paar Pfade, die nie öffentlich sein sollten, etwa /.env und /.git/config, damit die Betreiberin erfährt, wenn sie es sind. Jede Anfrage ist ein reines Lesen.
Spricht die Seite mit einem Supabase- oder Firebase-Backend über einen öffentlichen Schlüssel, fragt der Scanner dieses Backend mit demselben öffentlichen Schlüssel, wie viele Zeilen ein anonymer Besucher lesen könnte. Er fragt nach einer Anzahl, nie nach einer Zeile, und er legt nie etwas an, ändert oder löscht etwas.
Ein zweiter Durchlauf öffnet die Seite einmal in einem echten Browser mit frischem Profil, um zu sehen, welche Dienste kontaktiert und welche Cookies geschrieben werden, bevor jemand irgendetwas zugestimmt hat. Dabei klickt er unter Umständen den Ablehnen-Button eines Cookie-Banners und die eigenen Links der Seite zu Impressum und Datenschutz und öffnet, wenn es keine gibt, die üblichen Adressen dafür. Er füllt nie ein Formular aus, meldet sich nie an und kauft nie etwas. Dieser Durchlauf gibt sich als gewöhnlicher Chrome-Browser aus, weil Einwilligungs-Tools und Tag-Manager sich gegenüber Bots oft anders verhalten und es darum geht, zu sehen, was ein Besucher sieht.
Wie oft
Einmal pro Prüfung. Eine Prüfung dauert bis zu etwa 40 Sekunden und umfasst einige Dutzend Anfragen. Jede Person kann höchstens fünf Prüfungen pro Minute starten, die Überwachung prüft eine Seite etwa einmal am Tag, die kostenlose wöchentliche Prüfung einmal pro Woche.
Ihn aussperren
Trag das in deine robots.txt ein, dann prüft DeckproofBot deine Seite nicht, in keinem der beiden Durchläufe:User-agent: DeckproofBot
Disallow: /
Das wird geprüft, bevor irgendetwas anderes abgerufen wird. Ein allgemeines "User-agent: * / Disallow: /" hält eine von einem Menschen gestartete Prüfung nicht auf, genauso wenig wie Lighthouse oder einen Browser; es sagt nur Suchmaschinen, dass sie fernbleiben sollen.
Was mit dem Ergebnis passiert
Ergebnisse werden nicht veröffentlicht, außer die Person, die geprüft hat, listet die Note ausdrücklich, und eine gelistete Note verfällt nach 30 Tagen. Seiteninhalte werden nicht gespeichert; ein Befund behält nur den kurzen technischen Nachweis dazu. Scans ohne Konto werden nach 90 Tagen gelöscht. Einzelheiten stehen in der Datenschutzerklärung.
Fragen oder ein Problem
Schreib an hallo@deckproof.dev. Hat unser Scanner auf deiner Seite ein Problem verursacht, nenn uns Uhrzeit und Domain, dann sehen wir nach und stellen es ab.