cuonztech-privacy-chaos-gate 0.3.0 → 0.3.2

package/action.yml

@@ -188,7 +188,7 @@ runs:
       shell: bash
       env:
         ACTION_PATH: ${{ github.action_path }}
-        CPCG_PINNED_VERSION: "0.3.0" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
+        CPCG_PINNED_VERSION: "0.3.2" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
       run: |
         set -euo pipefail
 

package/dist/{chunk-YOWEZW3W.js → chunk-6MBUQ5EL.js}

@@ -517,6 +517,7 @@ function hintViolations(violations, strict = false, jurisdictions = resolveJuris
   const blocking = new Set(blockingViolations(violations, strict, jurisdictions));
   return violations.filter((v) => !blocking.has(v));
 }
+var UNLISTED_EMBED_PREFIX = "Fremd-Inhalt (";
 function hintReasonOf(v, jurisdictions) {
   if (isAdvisory(v) && v.trackerCategory === "cookieless-analytics") {
     return "Cookielose Reichweitenmessung (keine Cookies, kein Zugriff auf das Ger\xE4t): nach verbreiteter Aufsichtspraxis einwilligungsfrei, wenn sie nur der Reichweitenmessung dient; dokumentiert, mit --strict blockierend.";
@@ -524,6 +525,9 @@ function hintReasonOf(v, jurisdictions) {
   if (isAdvisory(v) && v.tcf === "denied") {
     return "Request nach dem Ablehnen mit IAB-TCF-String, der die Ablehnung tr\xE4gt (kein Zweck erteilt): der Anbieter muss selbst verzichten; der Request selbst \xFCbermittelt trotzdem Daten (IP, Seite). Dokumentiert, mit --strict blockierend.";
   }
+  if (isAdvisory(v) && v.trackerName.startsWith(UNLISTED_EMBED_PREFIX)) {
+    return "Eingebetteter Fremd-Inhalt, der vor der Einwilligung l\xE4dt und nicht in der Tracker-Liste steht: Inhalt und Datenschutzerkl\xE4rung pr\xFCfen; dokumentiert, mit --strict blockierend.";
+  }
   if (isAdvisory(v)) return "Rein funktionaler Drittanbieter (z. B. Schriften): kein Verstoss, dokumentiert.";
   return hintReasonFor(jurisdictions, v.ruleId, v.trackerCategory);
 }
@@ -1406,6 +1410,7 @@ var CURATED_VENDOR_DOMAINS = [
   ["gc.zgo.at", "GoatCounter", "cookieless-analytics"],
   ["withcabin.com", "Cabin Analytics", "cookieless-analytics"],
   ["counter.dev", "counter.dev", "cookieless-analytics"],
+  ["cloudflareinsights.com", "Cloudflare Web Analytics", "cookieless-analytics"],
   // --- Werbung, Ad-Tech, Datenplattformen ---
   ["googletagservices.com", "Google Ad Manager", "marketing"],
   ["amazon-adsystem.com", "Amazon Ads", "marketing"],
@@ -1546,7 +1551,8 @@ var KNOWN_TRACKERS = [
     name: "Google Analytics / Google Tag (gtag.js)",
     category: "analytics",
     consentModeLoader: true,
-    patterns: [at(www("googletagmanager.com"), "/gtag/js$")]
+    // `/a?id=G-…` ist der Beacon des Google-Tags (Konfiguration/Diagnose) derselben Messkennung.
+    patterns: [at(www("googletagmanager.com"), "/gtag/js$"), at(www("googletagmanager.com"), "/a$")]
   },
   {
     name: "Meta (Facebook) Pixel",
@@ -3646,6 +3652,9 @@ function ruleIdFor(phase) {
   if (phase === "gpc") return "gpc-ignored";
   return phase === "post-wipe" ? "tracking-without-consent" : phase === "post-reject" || phase === "post-reject-restart" || phase === "post-tamper" ? "tracking-after-deny" : phase === "post-revoke" ? "tracking-after-revoke" : "pre-consent-tracking";
 }
+function isFirstPartyGoogleMeasurement(t) {
+  return !!t.trackerName?.startsWith("Google Analytics (First-Party-Endpoint");
+}
 function asScope(s) {
   return typeof s === "string" ? new TargetScope(s) : s;
 }
@@ -5254,6 +5263,62 @@ var ChaosScanner = class {
       checkedAt: (/* @__PURE__ */ new Date()).toISOString()
     });
   }
+  /** Hinweise (nie blockierend) auf Fremd-Iframes ohne Eintrag in der Tracker-Liste. */
+  unlistedEmbedHints(scenario, unlisted) {
+    return unlisted.map((u) => ({
+      id: `${scenario}-unlisted-${Date.now()}-${Math.random().toString(36).slice(2, 6)}`,
+      ruleId: "pre-consent-embed",
+      scenario,
+      trackerName: `${UNLISTED_EMBED_PREFIX}${u.host})`,
+      trackerCategory: "functional",
+      requestUrl: u.sample,
+      method: "GET",
+      timestamp: (/* @__PURE__ */ new Date()).toISOString(),
+      description: `Eingebetteter Inhalt von ${u.host} l\xE4dt vor Consent-Freigabe ${u.count} Request(s); der Anbieter steht nicht in der Tracker-Liste.`,
+      advisory: true
+    }));
+  }
+  /**
+   * Hosts eingebetteter Fremd-Frames, die vor der Freigabe Requests auslösen, ohne dass die Tracker-Liste sie kennt.
+   * Eigene Hosts, Loopback/IP und bereits erkannte Tracker zählen nicht.
+   */
+  unlistedEmbedHosts(embeds, targetUrl, timeline) {
+    let targetHost;
+    try {
+      targetHost = new URL(targetUrl).hostname;
+    } catch {
+      return [];
+    }
+    const hosts = /* @__PURE__ */ new Set();
+    for (const e of embeds) {
+      try {
+        const u = new URL(e.src, targetUrl);
+        if (/^https?:$/.test(u.protocol) && !/^[\d.]+$|^\[|^localhost$/i.test(u.hostname) && !isFirstPartyHost(u.hostname, targetHost)) hosts.add(u.hostname);
+      } catch {
+      }
+    }
+    const out = [];
+    for (const host of hosts) {
+      const own = timeline.filter((t) => {
+        try {
+          const h = new URL(t.url).hostname;
+          return !t.trackerName && (h === host || h.endsWith(`.${host}`));
+        } catch {
+          return false;
+        }
+      });
+      const known = timeline.some((t) => {
+        try {
+          const h = new URL(t.url).hostname;
+          return !!t.trackerName && (h === host || h.endsWith(`.${host}`));
+        } catch {
+          return false;
+        }
+      });
+      if (own.length && !known) out.push({ host, count: own.length, sample: own[0].url });
+    }
+    return out;
+  }
   /**
    * CNAME-Cloaking nachtragen: Hosts der eigenen Seite aus der Zeitlinie, die kein Tracker sind, per DNS prüfen. Zeigt die
    * CNAME-Kette auf einen Tracker-Host, wird der Request mit seiner ursprünglichen Phase als Tracker-Befund eingetragen.
@@ -6293,7 +6358,7 @@ var ChaosScanner = class {
           googleRequests.push(t.url);
         }
       }
-      const hits = timeline.filter((t) => isGoogleMeasurementRequest(t.url) || isGoogleMeasurementRequest(viaCname(t.url) ?? "")).map((t) => ({ ...t, signal: summarizeSignals(parseConsentSignals(t.url)) }));
+      const hits = timeline.filter((t) => isGoogleMeasurementRequest(t.url) || isGoogleMeasurementRequest(viaCname(t.url) ?? "") || isFirstPartyGoogleMeasurement(t)).map((t) => ({ ...t, signal: summarizeSignals(parseConsentSignals(t.url)) }));
       const signalled = hits.some((h) => h.signal !== "none");
       const hasConsentMode = decided && (Object.keys(defaults).length > 0 || Object.keys(after).length > 0 || signalled);
       const gaCookies = storageAfter.cookies.filter((c) => /^_ga|_gid|_gat|_gcl/i.test(c));
@@ -6453,6 +6518,8 @@ var ChaosScanner = class {
       await page.waitForTimeout(1500);
       await this.snap(page, "embed-leaks", "01-embeds", screenshots, actionTimeline, actionSequence);
       const storageAfter = await this.snapshotStorage(page);
+      const unlistedEmbeds = this.unlistedEmbedHosts(embeds, config.targetUrl, timeline);
+      violations.push(...this.unlistedEmbedHints("embed-leaks", unlistedEmbeds));
       if (embeds.length === 0 && embedLeakCount === 0 && embedAdvisoryCount === 0) {
         const status2 = embedsEvalOk ? "not-applicable" : "not-checkable";
         evidence.push({
@@ -6476,7 +6543,7 @@ var ChaosScanner = class {
       evidence.push({
         scenario: "embed-leaks",
         status,
-        note: (status === "passed" ? embedAdvisoryCount ? `${embeds.length} Embed(s) gefunden, keine marketing-/analytics-relevanten Drittanbieter-Requests vor Freigabe.` : `${embeds.length} Embed(s) gefunden, keine Drittanbieter-Requests vor Freigabe.` : `${embedLeakCount} Embed-/Widget-Request(s) vor Consent-Freigabe.`) + (embedAdvisoryCount ? ` ${embedAdvisoryCount} Hinweis(e) auf rein funktionale Einbettungen (z. B. Karten) vor Freigabe \u2014 im Report sichtbar, ohne Gate-Wirkung.` : ""),
+        note: (status === "passed" ? embedAdvisoryCount ? `${embeds.length} Embed(s) gefunden, keine marketing-/analytics-relevanten Drittanbieter-Requests vor Freigabe.` : `${embeds.length} Embed(s) gefunden, keine Drittanbieter-Requests vor Freigabe.` : `${embedLeakCount} Embed-/Widget-Request(s) vor Consent-Freigabe.`) + (embedAdvisoryCount ? ` ${embedAdvisoryCount} Hinweis(e) auf rein funktionale Einbettungen (z. B. Karten) vor Freigabe \u2014 im Report sichtbar, ohne Gate-Wirkung.` : "") + (unlistedEmbeds.length ? ` Fremd-Inhalt ohne Eintrag in der Tracker-Liste l\xE4dt vor Freigabe: ${unlistedEmbeds.map((u) => `${u.host} (${u.count} Request(s))`).join(", ")} \u2014 Hinweis, ohne Gate-Wirkung.` : ""),
         actionSequence,
         actionTimeline,
         requestTimeline: timeline,
@@ -6644,8 +6711,13 @@ var ChaosScanner = class {
     const actionTimeline = [];
     const screenshots = [];
     let armed = false;
+    const frameSrcs = [];
     onTargetRequest(page, scope, (req) => {
       if (!armed) return;
+      try {
+        if (req.isNavigationRequest() && req.frame().parentFrame() === page.mainFrame()) frameSrcs.push({ src: req.url() });
+      } catch {
+      }
       const hit = identifyTracker(req.url());
       timeline.push({ at: (/* @__PURE__ */ new Date()).toISOString(), url: req.url(), trackerName: hit?.name, trackerCategory: hit?.category, phase: "pre-consent" });
       if (hit && this.trackerVerdict(hit) !== "skip") {
@@ -6750,6 +6822,9 @@ var ChaosScanner = class {
       await this.snap(page, "subpage-spa", "02-after-spa", screenshots, actionTimeline, actionSequence);
       const storageAfter = await this.snapshotStorage(page);
       await this.applyCnameCloaking("subpage-spa", config, timeline, violations, /* @__PURE__ */ new Map());
+      const unlistedFrames = this.unlistedEmbedHosts(frameSrcs, config.targetUrl, timeline);
+      violations.push(...this.unlistedEmbedHints("subpage-spa", unlistedFrames));
+      const frameNote = unlistedFrames.length ? ` Fremd-Inhalt ohne Eintrag in der Tracker-Liste l\xE4dt auf Unterseiten vor Freigabe: ${unlistedFrames.map((u) => `${u.host} (${u.count} Request(s))`).join(", ")} \u2014 Hinweis, ohne Gate-Wirkung.` : "";
       const leaks = timeline.filter((e) => this.isBlocking(e) && e.phase === "pre-consent");
       const status = leaks.length > 0 ? "suspicious" : reached.length === 0 ? "not-checkable" : "passed";
       const sampling = deep ? deepSamplingText(deep, reached.length, visited.length, deepSaved, budgetExhausted) : sample.total > reached.length ? `Stichprobe: ${reached.length} von ${sample.total} verlinkten Unterseiten gepr\xFCft \u2014 keine vollst\xE4ndige Pr\xFCfung der Website; nicht gepr\xFCfte Routen k\xF6nnen Verst\xF6sse enthalten (--max-subpages erh\xF6hen).` : `${reached.length} von ${sample.total} verlinkten Unterseiten der Startseite gepr\xFCft (Unterseiten ohne Link auf der Startseite bleiben ungepr\xFCft).`;
@@ -6769,7 +6844,7 @@ var ChaosScanner = class {
       evidence.push({
         scenario: "subpage-spa",
         status,
-        note: status === "passed" ? `Kein Tracking ohne Consent auf ${reached.length} verlinkter Unterseite(n)${spaNavigations > 0 ? ` und bei ${spaNavigations} clientseitiger SPA-Navigation(en)` : " (keine clientseitige SPA-Navigation beobachtet \u2014 Links laden die Seite neu)"}.${spaSkipped ? ` ${spaSkipped} SPA-Durchgang/-g\xE4nge ausgelassen (Seite nicht stabil ladbar).` : ""} ${sampling}` : status === "suspicious" ? `${leaks.length} Tracker auf Unterseite/SPA ohne Consent. ${sampling}` : links.length === 0 ? deep ? `Weder Sitemap noch Startseite lieferten eine Unterseite im Zielbereich \u2014 Unterseiten/SPA nicht pr\xFCfbar. ${sampling}` : "Keine verlinkte Same-Origin-Unterseite auf der Startseite gefunden \u2014 Unterseiten/SPA nicht pr\xFCfbar." : `Keine der verlinkten Unterseiten antwortete mit HTTP-Status < 400 \u2014 Unterseiten/SPA nicht pr\xFCfbar.${deep ? ` ${sampling}` : ""}`,
+        note: status === "passed" ? `Kein Tracking ohne Consent auf ${reached.length} verlinkter Unterseite(n)${spaNavigations > 0 ? ` und bei ${spaNavigations} clientseitiger SPA-Navigation(en)` : " (keine clientseitige SPA-Navigation beobachtet \u2014 Links laden die Seite neu)"}.${spaSkipped ? ` ${spaSkipped} SPA-Durchgang/-g\xE4nge ausgelassen (Seite nicht stabil ladbar).` : ""} ${sampling}${frameNote}` : status === "suspicious" ? `${leaks.length} Tracker auf Unterseite/SPA ohne Consent. ${sampling}${frameNote}` : links.length === 0 ? deep ? `Weder Sitemap noch Startseite lieferten eine Unterseite im Zielbereich \u2014 Unterseiten/SPA nicht pr\xFCfbar. ${sampling}` : "Keine verlinkte Same-Origin-Unterseite auf der Startseite gefunden \u2014 Unterseiten/SPA nicht pr\xFCfbar." : `Keine der verlinkten Unterseiten antwortete mit HTTP-Status < 400 \u2014 Unterseiten/SPA nicht pr\xFCfbar.${deep ? ` ${sampling}` : ""}`,
         actionSequence,
         actionTimeline,
         requestTimeline: timeline,
@@ -10931,7 +11006,7 @@ import pc from "picocolors";
 import { createHash } from "crypto";
 import fs10 from "fs/promises";
 import path10 from "path";
-var CPCG_VERSION = true ? "0.3.0" : "dev";
+var CPCG_VERSION = true ? "0.3.2" : "dev";
 function scanConfigOf(config) {
   return {
     targetUrl: config.targetUrl,

package/dist/cli.js

@@ -11,12 +11,17 @@ import {
   resolveEntitlement,
   resolveGateConfig,
   resolveJurisdictions
-} from "./chunk-YOWEZW3W.js";
+} from "./chunk-6MBUQ5EL.js";
 
 // src/cli.ts
 import { Command, CommanderError } from "commander";
 import pc from "picocolors";
-var VERSION = true ? "0.3.0" : "dev";
+var VERSION = true ? "0.3.2" : "dev";
+for (const stream of [process.stdout, process.stderr]) {
+  stream.on("error", (err) => {
+    if (err.code !== "EPIPE") throw err;
+  });
+}
 loadProjectEnv();
 function finish(code) {
   process.exitCode = code;

package/dist/index.d.ts

@@ -2439,6 +2439,13 @@ declare class ChaosScanner implements ChaosScannerInterface {
      * Ergebnis: passed nur bei ausgeführter Aktion und null Illegal-Funden.
      */
     private runScenario;
+    /** Hinweise (nie blockierend) auf Fremd-Iframes ohne Eintrag in der Tracker-Liste. */
+    private unlistedEmbedHints;
+    /**
+     * Hosts eingebetteter Fremd-Frames, die vor der Freigabe Requests auslösen, ohne dass die Tracker-Liste sie kennt.
+     * Eigene Hosts, Loopback/IP und bereits erkannte Tracker zählen nicht.
+     */
+    private unlistedEmbedHosts;
     /**
      * CNAME-Cloaking nachtragen: Hosts der eigenen Seite aus der Zeitlinie, die kein Tracker sind, per DNS prüfen. Zeigt die
      * CNAME-Kette auf einen Tracker-Host, wird der Request mit seiner ursprünglichen Phase als Tracker-Befund eingetragen.

package/dist/index.js

@@ -56,7 +56,7 @@ import {
   uncheckableReasons,
   uncheckableReasonsForReport,
   waitForVerifyUrl
-} from "./chunk-YOWEZW3W.js";
+} from "./chunk-6MBUQ5EL.js";
 
 // src/index.ts
 async function runGate(optionsOrConfig) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cuonztech-privacy-chaos-gate",
-  "version": "0.3.0",
+  "version": "0.3.2",
   "description": "CuonzTech Privacy Chaos Gate — CI/CD Consent-Scanner, Chaos-Szenarien und Auto-Fix-PR",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",