cuonztech-privacy-chaos-gate 0.3.0 → 0.3.1

package/action.yml

@@ -188,7 +188,7 @@ runs:
       shell: bash
       env:
         ACTION_PATH: ${{ github.action_path }}
-        CPCG_PINNED_VERSION: "0.3.0" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
+        CPCG_PINNED_VERSION: "0.3.1" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
       run: |
         set -euo pipefail
 

package/dist/{chunk-YOWEZW3W.js → chunk-BZFL6QDO.js}

@@ -517,6 +517,7 @@ function hintViolations(violations, strict = false, jurisdictions = resolveJuris
   const blocking = new Set(blockingViolations(violations, strict, jurisdictions));
   return violations.filter((v) => !blocking.has(v));
 }
+var UNLISTED_EMBED_PREFIX = "Fremd-Inhalt (";
 function hintReasonOf(v, jurisdictions) {
   if (isAdvisory(v) && v.trackerCategory === "cookieless-analytics") {
     return "Cookielose Reichweitenmessung (keine Cookies, kein Zugriff auf das Ger\xE4t): nach verbreiteter Aufsichtspraxis einwilligungsfrei, wenn sie nur der Reichweitenmessung dient; dokumentiert, mit --strict blockierend.";
@@ -524,6 +525,9 @@ function hintReasonOf(v, jurisdictions) {
   if (isAdvisory(v) && v.tcf === "denied") {
     return "Request nach dem Ablehnen mit IAB-TCF-String, der die Ablehnung tr\xE4gt (kein Zweck erteilt): der Anbieter muss selbst verzichten; der Request selbst \xFCbermittelt trotzdem Daten (IP, Seite). Dokumentiert, mit --strict blockierend.";
   }
+  if (isAdvisory(v) && v.trackerName.startsWith(UNLISTED_EMBED_PREFIX)) {
+    return "Eingebetteter Fremd-Inhalt, der vor der Einwilligung l\xE4dt und nicht in der Tracker-Liste steht: Inhalt und Datenschutzerkl\xE4rung pr\xFCfen; dokumentiert, mit --strict blockierend.";
+  }
   if (isAdvisory(v)) return "Rein funktionaler Drittanbieter (z. B. Schriften): kein Verstoss, dokumentiert.";
   return hintReasonFor(jurisdictions, v.ruleId, v.trackerCategory);
 }
@@ -1406,6 +1410,7 @@ var CURATED_VENDOR_DOMAINS = [
   ["gc.zgo.at", "GoatCounter", "cookieless-analytics"],
   ["withcabin.com", "Cabin Analytics", "cookieless-analytics"],
   ["counter.dev", "counter.dev", "cookieless-analytics"],
+  ["cloudflareinsights.com", "Cloudflare Web Analytics", "cookieless-analytics"],
   // --- Werbung, Ad-Tech, Datenplattformen ---
   ["googletagservices.com", "Google Ad Manager", "marketing"],
   ["amazon-adsystem.com", "Amazon Ads", "marketing"],
@@ -1546,7 +1551,8 @@ var KNOWN_TRACKERS = [
     name: "Google Analytics / Google Tag (gtag.js)",
     category: "analytics",
     consentModeLoader: true,
-    patterns: [at(www("googletagmanager.com"), "/gtag/js$")]
+    // `/a?id=G-…` ist der Beacon des Google-Tags (Konfiguration/Diagnose) derselben Messkennung.
+    patterns: [at(www("googletagmanager.com"), "/gtag/js$"), at(www("googletagmanager.com"), "/a$")]
   },
   {
     name: "Meta (Facebook) Pixel",
@@ -3646,6 +3652,9 @@ function ruleIdFor(phase) {
   if (phase === "gpc") return "gpc-ignored";
   return phase === "post-wipe" ? "tracking-without-consent" : phase === "post-reject" || phase === "post-reject-restart" || phase === "post-tamper" ? "tracking-after-deny" : phase === "post-revoke" ? "tracking-after-revoke" : "pre-consent-tracking";
 }
+function isFirstPartyGoogleMeasurement(t) {
+  return !!t.trackerName?.startsWith("Google Analytics (First-Party-Endpoint");
+}
 function asScope(s) {
   return typeof s === "string" ? new TargetScope(s) : s;
 }
@@ -5254,6 +5263,39 @@ var ChaosScanner = class {
       checkedAt: (/* @__PURE__ */ new Date()).toISOString()
     });
   }
+  /**
+   * Hosts eingebetteter Fremd-Frames, die vor der Freigabe Requests auslösen, ohne dass die Tracker-Liste sie kennt.
+   * Eigene Hosts, Loopback/IP und bereits erkannte Tracker zählen nicht.
+   */
+  unlistedEmbedHosts(embeds, targetUrl, timeline) {
+    let targetHost;
+    try {
+      targetHost = new URL(targetUrl).hostname;
+    } catch {
+      return [];
+    }
+    const hosts = /* @__PURE__ */ new Set();
+    for (const e of embeds) {
+      try {
+        const u = new URL(e.src, targetUrl);
+        if (/^https?:$/.test(u.protocol) && !/^[\d.]+$|^\[|^localhost$/i.test(u.hostname) && !isFirstPartyHost(u.hostname, targetHost)) hosts.add(u.hostname);
+      } catch {
+      }
+    }
+    const out = [];
+    for (const host of hosts) {
+      const own = timeline.filter((t) => {
+        try {
+          const h = new URL(t.url).hostname;
+          return !t.trackerName && (h === host || h.endsWith(`.${host}`));
+        } catch {
+          return false;
+        }
+      });
+      if (own.length) out.push({ host, count: own.length, sample: own[0].url });
+    }
+    return out;
+  }
   /**
    * CNAME-Cloaking nachtragen: Hosts der eigenen Seite aus der Zeitlinie, die kein Tracker sind, per DNS prüfen. Zeigt die
    * CNAME-Kette auf einen Tracker-Host, wird der Request mit seiner ursprünglichen Phase als Tracker-Befund eingetragen.
@@ -6293,7 +6335,7 @@ var ChaosScanner = class {
           googleRequests.push(t.url);
         }
       }
-      const hits = timeline.filter((t) => isGoogleMeasurementRequest(t.url) || isGoogleMeasurementRequest(viaCname(t.url) ?? "")).map((t) => ({ ...t, signal: summarizeSignals(parseConsentSignals(t.url)) }));
+      const hits = timeline.filter((t) => isGoogleMeasurementRequest(t.url) || isGoogleMeasurementRequest(viaCname(t.url) ?? "") || isFirstPartyGoogleMeasurement(t)).map((t) => ({ ...t, signal: summarizeSignals(parseConsentSignals(t.url)) }));
       const signalled = hits.some((h) => h.signal !== "none");
       const hasConsentMode = decided && (Object.keys(defaults).length > 0 || Object.keys(after).length > 0 || signalled);
       const gaCookies = storageAfter.cookies.filter((c) => /^_ga|_gid|_gat|_gcl/i.test(c));
@@ -6453,6 +6495,21 @@ var ChaosScanner = class {
       await page.waitForTimeout(1500);
       await this.snap(page, "embed-leaks", "01-embeds", screenshots, actionTimeline, actionSequence);
       const storageAfter = await this.snapshotStorage(page);
+      const unlistedEmbeds = this.unlistedEmbedHosts(embeds, config.targetUrl, timeline);
+      for (const u of unlistedEmbeds) {
+        violations.push({
+          id: `embed-leaks-unlisted-${Date.now()}-${Math.random().toString(36).slice(2, 6)}`,
+          ruleId: "pre-consent-embed",
+          scenario: "embed-leaks",
+          trackerName: `${UNLISTED_EMBED_PREFIX}${u.host})`,
+          trackerCategory: "functional",
+          requestUrl: u.sample,
+          method: "GET",
+          timestamp: (/* @__PURE__ */ new Date()).toISOString(),
+          description: `Eingebetteter Inhalt von ${u.host} l\xE4dt vor Consent-Freigabe ${u.count} Request(s); der Anbieter steht nicht in der Tracker-Liste.`,
+          advisory: true
+        });
+      }
       if (embeds.length === 0 && embedLeakCount === 0 && embedAdvisoryCount === 0) {
         const status2 = embedsEvalOk ? "not-applicable" : "not-checkable";
         evidence.push({
@@ -6476,7 +6533,7 @@ var ChaosScanner = class {
       evidence.push({
         scenario: "embed-leaks",
         status,
-        note: (status === "passed" ? embedAdvisoryCount ? `${embeds.length} Embed(s) gefunden, keine marketing-/analytics-relevanten Drittanbieter-Requests vor Freigabe.` : `${embeds.length} Embed(s) gefunden, keine Drittanbieter-Requests vor Freigabe.` : `${embedLeakCount} Embed-/Widget-Request(s) vor Consent-Freigabe.`) + (embedAdvisoryCount ? ` ${embedAdvisoryCount} Hinweis(e) auf rein funktionale Einbettungen (z. B. Karten) vor Freigabe \u2014 im Report sichtbar, ohne Gate-Wirkung.` : ""),
+        note: (status === "passed" ? embedAdvisoryCount ? `${embeds.length} Embed(s) gefunden, keine marketing-/analytics-relevanten Drittanbieter-Requests vor Freigabe.` : `${embeds.length} Embed(s) gefunden, keine Drittanbieter-Requests vor Freigabe.` : `${embedLeakCount} Embed-/Widget-Request(s) vor Consent-Freigabe.`) + (embedAdvisoryCount ? ` ${embedAdvisoryCount} Hinweis(e) auf rein funktionale Einbettungen (z. B. Karten) vor Freigabe \u2014 im Report sichtbar, ohne Gate-Wirkung.` : "") + (unlistedEmbeds.length ? ` Fremd-Inhalt ohne Eintrag in der Tracker-Liste l\xE4dt vor Freigabe: ${unlistedEmbeds.map((u) => `${u.host} (${u.count} Request(s))`).join(", ")} \u2014 Hinweis, ohne Gate-Wirkung.` : ""),
         actionSequence,
         actionTimeline,
         requestTimeline: timeline,
@@ -10931,7 +10988,7 @@ import pc from "picocolors";
 import { createHash } from "crypto";
 import fs10 from "fs/promises";
 import path10 from "path";
-var CPCG_VERSION = true ? "0.3.0" : "dev";
+var CPCG_VERSION = true ? "0.3.1" : "dev";
 function scanConfigOf(config) {
   return {
     targetUrl: config.targetUrl,

package/dist/cli.js

@@ -11,12 +11,12 @@ import {
   resolveEntitlement,
   resolveGateConfig,
   resolveJurisdictions
-} from "./chunk-YOWEZW3W.js";
+} from "./chunk-BZFL6QDO.js";
 
 // src/cli.ts
 import { Command, CommanderError } from "commander";
 import pc from "picocolors";
-var VERSION = true ? "0.3.0" : "dev";
+var VERSION = true ? "0.3.1" : "dev";
 loadProjectEnv();
 function finish(code) {
   process.exitCode = code;

package/dist/index.d.ts

@@ -2439,6 +2439,11 @@ declare class ChaosScanner implements ChaosScannerInterface {
      * Ergebnis: passed nur bei ausgeführter Aktion und null Illegal-Funden.
      */
     private runScenario;
+    /**
+     * Hosts eingebetteter Fremd-Frames, die vor der Freigabe Requests auslösen, ohne dass die Tracker-Liste sie kennt.
+     * Eigene Hosts, Loopback/IP und bereits erkannte Tracker zählen nicht.
+     */
+    private unlistedEmbedHosts;
     /**
      * CNAME-Cloaking nachtragen: Hosts der eigenen Seite aus der Zeitlinie, die kein Tracker sind, per DNS prüfen. Zeigt die
      * CNAME-Kette auf einen Tracker-Host, wird der Request mit seiner ursprünglichen Phase als Tracker-Befund eingetragen.

package/dist/index.js

@@ -56,7 +56,7 @@ import {
   uncheckableReasons,
   uncheckableReasonsForReport,
   waitForVerifyUrl
-} from "./chunk-YOWEZW3W.js";
+} from "./chunk-BZFL6QDO.js";
 
 // src/index.ts
 async function runGate(optionsOrConfig) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cuonztech-privacy-chaos-gate",
-  "version": "0.3.0",
+  "version": "0.3.1",
   "description": "CuonzTech Privacy Chaos Gate — CI/CD Consent-Scanner, Chaos-Szenarien und Auto-Fix-PR",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",