Sicherheit

Im Bereich Sicherheit legen Sie fest, auf welchen Adressen das Widget laufen darf. So kann niemand Ihren Einbindungscode auf einer fremden Website verwenden.

Bereich Sicherheit mit der Liste erlaubter Adressen

Bei jedem Aufruf prüft der Server, auf welcher Adresse das Widget geladen wird. Es läuft nur auf den eingetragenen Adressen; ohne eigene Einträge nur auf der Adresse der Website.

Ohne eigene Einträge

Steht hier nichts, läuft das Widget nur auf der Adresse der Website, genau so wie sie unter Bearbeiten eingetragen ist. Schon https://www.beispiel.de statt https://beispiel.de oder http:// statt https:// wird abgelehnt. Die Seite nennt die erlaubte Adresse. Bei Adressen wie beispiel.de oder www.beispiel.de bietet sie die Variante mit oder ohne www. an: … zusätzlich erlauben trägt die Adresse der Website und die Variante zusammen ein.

Ändern Sie die Adresse der Website unter Bearbeiten, warnt der Dialog, bevor das Widget auf der alten Adresse aufhört oder auf der neuen abgelehnt wird, und trägt die Adressen auf Wunsch hier ein (siehe Websites).

Adresse hinzufügen

Die Adresse in das Feld Neue Adresse eingeben, zum Beispiel https://www.beispiel.de.
Auf Hinzufügen klicken.
Auf Speichern klicken.

Ist die Liste noch leer, wird beim ersten Eintrag die Adresse der Website mit eingetragen, damit das Widget dort weiterläuft. Brauchen Sie sie nicht, entfernen Sie sie vor dem Speichern.

Das Dashboard speichert nur die Adresse ohne Pfad: Aus beispiel.de/start wird https://beispiel.de. Ist die Eingabe keine gültige Adresse, steht der Grund direkt unter dem Feld.

Jede Subdomain braucht einen eigenen Eintrag: www.beispiel.de und beispiel.de sind zwei Adressen, ebenso service.beispiel.de.

Nur die eigene Domain

Erlauben können Sie die Adresse der Website und Adressen ihrer Domain mit allen Subdomains. Ist die Website https://www.beispiel.de, gehen also https://beispiel.de, https://shop.beispiel.de und https://test.beispiel.de, aber nicht https://andere-seite.de. Eine Lizenz gilt für eine Website; Adressen anderer Domains kann deshalb nur Pocket Rocket freigeben. Fragen Sie dafür bei Pocket Rocket an. Adressen auf dem eigenen Rechner wie http://localhost:3000 gehen immer.

Versuchen Sie eine fremde Adresse einzutragen, steht der Grund unter dem Feld. Bei abgelehnten Adressen einer anderen Domain steht statt Erlauben der Hinweis „Andere Domain, nur durch Pocket Rocket freizugeben“.

Von Pocket Rocket freigegebene Adressen

Adressen anderer Domains, die Pocket Rocket für Ihre Website freigegeben hat, stehen in einer eigenen Liste unter Ihren Einträgen. Das Widget läuft dort genauso; Sie können sie nicht ändern. Sie bleiben erhalten, wenn Sie Ihre eigene Liste ändern oder die Website auf eine andere Domain umzieht. Fehlt dort eine Adresse, fragen Sie bei Pocket Rocket an.

Ziehen Sie die Website auf eine andere Domain um (unter Bearbeiten), entfernt das Dashboard aus Ihrer Liste die Adressen, die nicht zur neuen Domain gehören; der Dialog nennt sie vorher. Ein Wechsel innerhalb der Domain, etwa von https://www.beispiel.de zu https://beispiel.de oder https://service.beispiel.de, behält die Liste.

Zuletzt abgelehnte Adressen

Unter der Liste stehen die Adressen, auf denen jemand das Widget mit einem Token dieser Website laden wollte und abgelehnt wurde: die Adresse, wie oft (ungefähr) und wann zuletzt. So sehen Sie sofort, wenn zum Beispiel die Variante mit www. oder ein Testsystem fehlt.

Erlauben trägt die Adresse in die Liste ein (bei einer leeren Liste zusammen mit der Adresse der Website), danach Speichern. Das geht für Adressen der eigenen Domain.
Gezeigt werden höchstens 20 Adressen aus den letzten 30 Tagen; ältere Einträge löscht das Dashboard von selbst.
Gespeichert wird nur die Adresse (zum Beispiel https://www.beispiel.de), keine Seitenpfade und nichts über die Besucher.

Die Übersicht der Website weist ebenfalls auf abgelehnte Adressen hin.

Adresse entfernen

Auf das Papierkorb-Symbol neben der Adresse klicken und speichern. Ab dann lehnt der Server das Widget auf dieser Adresse ab.

Tragen Sie alle Adressen ein, auf denen das Widget laufen soll, zum Beispiel auch ein Testsystem. Wer auf dem eigenen Rechner testet, braucht ebenfalls einen Eintrag, zum Beispiel http://localhost:3000; die Adresse steht nach dem ersten Versuch auch unter „Zuletzt abgelehnte Adressen“.

Für Fachleute

Geprüft wird der Origin- oder Referer-Header jeder Anfrage des Widgets.
widget.js selbst liefert der Server auch ohne Referer aus, etwa wenn Ihre Seite Referrer-Policy: no-referrer setzt; die Adresse prüft dann der Start des Widgets.
Seiten unter localhost brauchen ebenfalls einen Eintrag.

So prüft das Widget die Adresse