Datenschutz und Sicherheit
Diese Seite fasst zusammen, was Sie als Betreiber wissen müssen, bevor die Erweiterung auf einer öffentlichen Website läuft. Die Punkte stammen aus dem Sicherheitsaudit zur Version 2.7.0.
Welche Daten den Server verlassen
Bei jedem Abruf beim Backlinkseller-Dienst werden übertragen:
- Ihre Backlinkseller-Kennung
- die aufgerufene Seitenadresse
- die IP-Adresse des Besuchers
Das ist datenschutzrechtlich relevant. Die IP-Adresse ist ein personenbezogenes Datum. Nehmen Sie die Weitergabe an Backlinkseller in Ihre Datenschutzerklärung auf und prüfen Sie, ob Sie dafür eine Rechtsgrundlage haben. Diese Erweiterung trifft diese Entscheidung nicht für Sie.
Empfänger ist nach dem Impressum von backlinkseller.de die Intelions OÜ, Pae 25-47, 11414 Tallinn, Estland. Estland ist EU-Mitglied — es handelt sich also nicht um eine Übermittlung in ein Drittland. Den Namen brauchen Sie für die Nennung des Empfängers in Ihrer Datenschutzerklärung.
Die IP wird ausschließlich der Verbindung selbst entnommen und nicht aus Anfrage-Kopfzeilen gelesen — sie ist damit von außen nicht fälschbar.
Zwischenspeicher und IP
Der Zwischenspeicher wird nach Kennung, Seitenadresse und Kanal geführt, nicht nach Besucher. Solange eine Antwort im Zwischenspeicher liegt, findet kein Abruf statt — und damit wird auch keine IP übertragen. Ein höherer Wert bei der Cache-Zeit verringert also die Menge der weitergegebenen Daten.
Unverschlüsselte Verbindung
Der Abruf läuft über http://. Das ist keine Nachlässigkeit der Erweiterung,
sondern eine Vorgabe des Dienstes: Die Abrufserver channel1 bis
channel9 nehmen ausschließlich unverschlüsselte Verbindungen an —
Port 443 ist dort nicht geöffnet, ein Verbindungsversuch wird abgewiesen. (Die Website
backlinkseller.de selbst ist über https erreichbar; die Abrufserver sind es nicht.)
Auch der offizielle Einbindungscode des Anbieters spricht Port 80 an.
Wer die Verbindung dazwischen kontrolliert, kann die Antwort theoretisch verändern.
Was ein solcher Eingriff bewirken könnte, ist bewusst eng begrenzt. Die Erweiterung übernimmt die Antwort nicht als HTML, sondern liest gezielt einzelne Angaben heraus:
- Adressen werden geprüft; zugelassen sind nur
httpundhttps.javascript:und ähnliche Adressen sind ausgeschlossen. - Für
relundtargetgelten feste Wertelisten. - Der übrige Text wird von allen Auszeichnungen befreit.
- Alle Ausgaben werden maskiert. Skripte, Ereignis-Attribute oder eingebettete Rahmen können auf diesem Weg nicht auf die Seite gelangen.
- Die Antwort wird auf 100 KB und 100 Einträge begrenzt.
Es bleibt ein Restrisiko: Ein Angreifer in dieser Position könnte andere Links unterschieben, als Backlinkseller vorgesehen hat. Solange der Dienst kein TLS anbietet, lässt sich das von hier aus nicht ausschließen.
Verfügbarkeit
Antwortet der Dienst nicht, versucht die Erweiterung eine zweite Adresse und gibt dann auf. Jeder Versuch wartet höchstens 5 Sekunden — im schlechtesten Fall verlängert sich der Seitenaufbau also um rund 10 Sekunden.
Fehlerantworten werden bewusst nicht zwischengespeichert, damit sich eine Störung von selbst erholt, sobald der Dienst wieder erreichbar ist. Die Kehrseite: Solange die Störung dauert, zahlt jeder Seitenaufruf diese Zeit.
Ist der Dienst längere Zeit nicht erreichbar, nehmen Sie das Element vorübergehend von der Seite oder deaktivieren Sie das Plugin. Die Zeitgrenze heraufzusetzen hilft nicht — sie begrenzt den Schaden, sie verursacht ihn nicht.
Was die Erweiterung nicht tut
- Sie legt keine eigenen Datenbanktabellen an und speichert keine Besucherdaten.
- Sie setzt keine Cookies.
- Sie ruft nichts ab, solange kein Element auf der Seite liegt.
Gilt für Version 2.7.3.