Data protection under control: simply block external content
What if the etracker scroll map does not load your website?
by Katrin Nebermann
Mit Hilfe der etracker Scroll-Analyse können Sie auf Seitenebene zum Beispiel auswerten, wie weit die Besucher scrollen, wie viele Besucher Inhalte „below the fold“ sehen, wie sich das Scrollverhalten je nach Seiteninhalt und -typ, nach Gerät, Kampagnenherkunft usw. unterscheidet.
Das sind Fragen, die wichtig sind, wenn es um die konkrete Bewertung und Optimierung von Seiteninhalten, -Layout und -Design geht. Und genau hier setzt unsere Scroll-Analyse an.
Hinweis: Der Einsatz der Scrollmap mit einer Single Page Applikation ist nicht zu empfehlen.
Aber was, wenn Ihnen anstatt der Scroll-Map folgende Fehlermeldung angezeigt wird:
![](https://www.etracker.com/app/uploads/2020/03/scrollmap_blog-1.png)
Gründe für diese Fehlermeldung können sein:
- Der etracker Tracking Code ist nicht korrekt integriert
- Es ist kein gültiges SSL-Zertifikat installiert
- Ihre Security Header verhindern, dass Ihre Seite in einem iFrame eingebettet werden darf
Die letzte Option möchten wir uns einmal genauer anschauen:
Wenn Sie sich zum Beispiel mit einem Firefox einen Scroll-Report in der etracker Applikation ansehen möchten, sendet Ihr Browser folgenden HTTP Request:
GET / HTTP/2.0 Accept: text/html,application/xhtml+xm…plication/xml;q=0.9,*/*;q=0.8 Accept-Encoding: gzip, deflate, br Accept-Language: de,en-US;q=0.7,en;q=0.3 Connection: keep-alive Host: www.ihre-seite.de Referer: https://newapp.etracker.com/ Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 10.0; …) Gecko/20100101 Firefox/58.0
Besonderes Augenmerk gilt dem HTTP Header Referer, der die Seite angibt, die zum Aufruf Ihrer Website geführt hat (siehe vorangegangene Code Box).
Als Antwort auf die obige HTTP-Anfrage liefern Sie aktuell folgenden HTTP-Header:
GET / HTTP/2.0 accept-ranges: bytes age: 1708 alt-svc: quic=":443"; ma=2592000; v="35,37,38,39" cache-control: no-store, no-cache, must-reval…pre-check=0, nocache, private content-encoding: gzip content-type: text/html; charset=UTF-8 date: Fri, 02 Mar 2018 13:31:42 GMT expires: Thu, 19 Nov 1981 08:52:00 GMT pragma: no-cache server: LiteSpeed set-cookie: session-1=5293bdfe75668ce5018a…176; path=/; secure; HttpOnly vary: Accept-Encoding x-content-digest: endc96850afd033430d1beff8468fa…d63ab03166c3fe5860413c252f301 X-Firefox-Spdy: h2 x-frame-options: SAMEORIGIN x-powered-by: PleskLin
Der vorletzte HTTP-Header „X-Frame-Options“ erlaubt es keiner anderen Seite als www.ihre-seite.de, Ihre Website in einen iFrame einzubetten bzw. anzuzeigen.
Unser Lösungsvorschlag A
Um die Scroll-Map in unserer Applikation verwenden zu können, stellen Sie sicher, dass der HTTP-Header X-Frame-Options wie folgt aussieht:
GET / HTTP/2.0 accept-ranges: bytes age: 1708 alt-svc: quic=":443"; ma=2592000; v="35,37,38,39" cache-control: no-store, no-cache, must-reval…pre-check=0, nocache, private content-encoding: gzip content-type: text/html; charset=UTF-8 date: Fri, 02 Mar 2018 13:31:42 GMT expires: Thu, 19 Nov 1981 08:52:00 GMT pragma: no-cache server: LiteSpeed set-cookie: session-1=5293bdfe75668ce5018a…176; path=/; secure; HttpOnly vary: Accept-Encoding x-content-digest: endc96850afd033430d1beff8468fa…d63ab03166c3fe5860413c252f301 X-Firefox-Spdy: h2 x-frame-options: ALLOW-FROM https://newapp.etracker.com x-powered-by: PleskLin
Wichtig: Der HTTP-Header X-Frame-Options darf nur dann auf den Wert ALLOW-FROM https://newapp.etracker.com gesetzt werden, wenn der HTTP-Header Referer der HTTP-Anfrage den Wert https://newapp.etracker.com beinhaltet.
RFC7034 und Mozilla X-Frame-Options
Dieser Lösungsvorschlag funktioniert jedoch ausschließlich im Firefox.
Unser Lösungsvorschlag B
Damit Sie die Scroll-Map in unserer Applikation verwenden können, muss der HTTP-Header X-Frame-Options entfernt und ein CSP-Header wie folgt gesetzt werden:
GET / HTTP/2.0 accept-ranges: bytes age: 1708 alt-svc: quic=":443"; ma=2592000; v="35,37,38,39" cache-control: no-store, no-cache, must-reval…pre-check=0, nocache, private content-encoding: gzip content-type: text/html; charset=UTF-8 date: Fri, 02 Mar 2018 13:31:42 GMT expires: Thu, 19 Nov 1981 08:52:00 GMT pragma: no-cache server: LiteSpeed set-cookie: session-1=5293bdfe75668ce5018a…176; path=/; secure; HttpOnly vary: Accept-Encoding x-content-digest: endc96850afd033430d1beff8468fa…d63ab03166c3fe5860413c252f301 X-Firefox-Spdy: h2 Content-Security-Policy: frame-ancestors 'https://*.etracker.com'; x-powered-by: PleskLin
Quelle: Mozilla CSP: frame-ancestors
Dieser Lösungsvorschlag funktioniert in allen modernen Browsern außer Microsoft Edge und Internet Explorer.