How long does the integration take?

Change one base URL in an OpenAI-compatible client, or install the Python or TypeScript SDK; the quickstart routes a first request in a few minutes.

Will this lock us into another vendor?

No. The router is Apache-2.0 open source, your provider keys stay yours, and the API is OpenAI-compatible, so leaving is a change of base URL.

What happens when a provider fails?

The router falls back to the next model your policy allows and records the fallback in the trace, so an outage costs a retry, not an incident.

legal-audit-live - Prompt - OpenSmartRoute

Name: legal-audit-live
Author: FutureRootsDE

Prompt file imported from FutureRootsDE/legal-audit-de (.claude/commands/legal-audit-live.md). Copyright stays with the author.

/legal-audit-live

Fuehrt einen Live-Browser-Check einer oeffentlichen URL durch. Ergaenzt /legal-audit (der nur Code liest) um die Verhaltens-Dimension: was laedt die Website tatsaechlich im Browser — bevor und nachdem der User den Cookie-Banner bedient?

Typische Findings, die nur dieser Command aufdeckt:

Google Fonts via fonts.googleapis.com trotz Code-Vermerk "self-hosted"
Analytics-Requests VOR Consent-Banner-Klick
Meta-Pixel / Google Tag Manager, der beim Laden sofort feuert
YouTube-Embed ohne youtube-nocookie.com
Cookie-Banner ohne gleichrangigen Ablehnen-Button (visuelle Pruefung)

Voraussetzungen

MCP-Server chrome-devtools aktiv (mcp__plugin_chrome-devtools-mcp__*-Tools verfuegbar).
Chrome / Chromium installiert (vom MCP-Server selbst gestartet).

Flags

`/legal-audit-live <url>`

Standard — 3 Pass-Durchlaeufe:

Erstbesuch ohne Interaktion — was laedt VOR Consent?
Banner ablehnen — was laedt NACH "Alle ablehnen"?
Banner akzeptieren — was laedt NACH "Alle akzeptieren"?

`/legal-audit-live <url> --consent=accept`

Nur ein Pass mit Akzeptieren. Fuer Tests, die nur den Accept-Zustand brauchen.

`/legal-audit-live <url> --consent=reject`

Nur ein Pass mit Ablehnen. Haeufigste Variante fuer Abmahn-Risiko-Pruefung.

`/legal-audit-live <url> --consent=ignore`

Nur ein Pass ohne Banner-Interaktion (reines "Seitenladen"). Oft deckt das die groessten Leaks auf.

`/legal-audit-live <url> --out=<zielordner>`

Alternativer Output-Ordner. Default: <cwd>/legal-audit-live/<hostname>-<timestamp>/.

Pflichtablauf

Pass 0 — Vorbereitung

URL validieren (muss https:// oder http:// sein).

Zielordner anlegen:

<out>/
├── LiveAudit.md         # Finding-Tabelle
├── screenshots/
│   ├── 01-initial.png   # Erstbesuch, vor Interaktion
│   ├── 02-banner.png    # Cookie-Banner-Screenshot
│   ├── 03-rejected.png  # Nach "Ablehnen"
│   └── 04-accepted.png  # Nach "Akzeptieren"
└── network/
    ├── 01-pre-consent.json
    ├── 02-post-reject.json
    └── 03-post-accept.json

Pass 1 — Pre-Consent-Check

mcp__plugin_chrome-devtools-mcp__chrome-devtools__new_page — neuer, isolierter Browser-Kontext (keine Vor-Cookies).
mcp__plugin_chrome-devtools-mcp__chrome-devtools__navigate_page → URL.
mcp__plugin_chrome-devtools-mcp__chrome-devtools__wait_for auf networkidle (oder 3s Fallback).
take_screenshot → 01-initial.png.
list_network_requests → als 01-pre-consent.json speichern.

evaluate_script:

({
  cookies: document.cookie,
  localStorage: Object.entries(localStorage),
  sessionStorage: Object.entries(sessionStorage),
  thirdPartyScripts: Array.from(document.querySelectorAll('script[src]'))
    .map(s => s.src)
    .filter(src => !src.includes(location.hostname))
})

Analyse: gab es Requests an bekannte Drittanbieter (siehe Liste unten) VOR Consent? → CRIT.

Pass 2 — Banner-Analyse

take_snapshot — DOM-Struktur des Banners extrahieren (uid-Referenzen fuer Klicks).

Heuristik zur Button-Erkennung (via evaluate_script):

Array.from(document.querySelectorAll('button, a[role="button"]'))
  .map(b => ({
    text: b.innerText.trim(),
    rect: b.getBoundingClientRect(),
    style: {
      bg: getComputedStyle(b).backgroundColor,
      color: getComputedStyle(b).color,
      size: getComputedStyle(b).fontSize
    }
  }))
  .filter(b => b.text.length < 50)

Pruefe Gleichrangigkeit von Akzeptieren vs. Ablehnen:
- Beide Buttons sichtbar auf first screen (ohne Scroll)?
- Aehnliche Groesse, Farbe, Position?
- Ablehnen NICHT nur als "Einstellungen"-Link versteckt?
- → Wenn nicht gleichrangig: HIGH-Finding (Planet49, BGH I ZR 7/16).
take_screenshot mit fokussiertem Banner → 02-banner.png.

Pass 3 — Reject-Pfad

Falls Banner erkannt: click auf "Alle ablehnen"-Button (via uid).
wait_for networkidle.
take_screenshot → 03-rejected.png.
list_network_requests nach Klick → 02-post-reject.json.
evaluate_script (wie Pass 1 fuer Cookies/Storage).
Analyse: werden NACH Ablehnen weiterhin Drittanbieter-Requests erzeugt? → CRIT.

Pass 4 — Accept-Pfad

new_page (frische Session).
Navigate + Banner → click "Alle akzeptieren".
wait_for networkidle + Screenshot + Network-Log → 03-post-accept.json.
Pruefung: nur erwartbare Tools geladen? Oder laufen Tools, die nicht in der Datenschutzerklaerung stehen?

Pass 5 — Google-Fonts-Check

Spezial-Test, da haeufigster Abmahnpunkt (LG Muenchen I 3 O 17493/20):

Netzwerk-Log aus Pass 1 (pre-consent) filtern auf:
```
fonts.googleapis.com
fonts.gstatic.com
```
Wenn Treffer → CRIT-Finding, unabhaengig davon, ob Consent existiert.

Pass 6 — Embed-Check

Im DOM nach <iframe> suchen (evaluate_script).
Pro iframe:
- youtube.com/embed ohne -nocookie? → HIGH
- player.vimeo.com ohne dnt=1? → MED
- maps.googleapis.com / google.com/maps/embed? → HIGH
- twitter.com/intent / platform.twitter.com? → HIGH
- instagram.com/embed? → HIGH

Pass 7 — Response-Header-Check

Home-Response aus Pass 1 extrahieren (get_network_request mit uid der Root-Document-Request).
Pruefen:
- Content-Security-Policy vorhanden? (LOW falls fehlt)
- Strict-Transport-Security? (MED falls fehlt)
- X-Frame-Options / frame-ancestors? (LOW)
- Referrer-Policy? (LOW)

Pass 8 — Mobile-Emulation

emulate → iPhone 14 Pro.
Navigate neu. Screenshot.
Pruefen: Banner touch-freundlich, "Ablehnen" noch sichtbar auf Mobile-Viewport?

Drittanbieter-Muster (Erkennung in Network-Log)

Der Analyse-Schritt matcht Request-URLs gegen diese Liste. Voll-Liste siehe knowledge/themen/tool-katalog.md.

Analytics (Einwilligung erforderlich)

google-analytics.com, googletagmanager.com, g.doubleclick.net
www.googleadservices.com, stats.g.doubleclick.net
matomo.* (falls nicht selbst gehostet + anonymisiert)
hotjar.com, mouseflow.com, clarity.ms, inspectlet.com
posthog.com, mixpanel.com, amplitude.com, heap.io
fullstory.com, logrocket.com, smartlook.com

Marketing / Ads

facebook.com/tr, connect.facebook.net (Meta Pixel)
px.ads.linkedin.com, snap.licdn.com (LinkedIn Insight Tag)
analytics.tiktok.com, business-api.tiktok.com
pinimg.com, ct.pinterest.com
t.co, static.ads-twitter.com

CDN-Fonts (oft uebersehen)

fonts.googleapis.com, fonts.gstatic.com → immer CRIT
use.typekit.net, p.typekit.net (Adobe Fonts — meist OK wenn AVV)
cdn.jsdelivr.net, unpkg.com mit Font-Pfad

Maps / Embeds

maps.googleapis.com, maps.gstatic.com
api.mapbox.com (EU-Region pruefen)
www.youtube.com/embed (statt -nocookie)
player.vimeo.com ohne dnt=1

Consent-Management (OK, selbst Pflicht)

consent.cookiebot.com, app.usercentrics.eu, cdn.cookielaw.org (OneTrust)
consent.cookiefirst.com, cdn.klaro.org

Output: LiveAudit.md Struktur

# Live-Audit: <hostname>

**URL:** <url>
**Geprueft am:** <timestamp>
**User-Agent:** <ua>
**Viewport:** 1920x1080 (Desktop) / iPhone 14 Pro (Mobile)

## Findings

| ID | Severity | Kategorie | Beschreibung | Evidence |
|----|----------|-----------|--------------|----------|
| LF-001 | CRIT | Google Fonts | Direkter fonts.googleapis.com-Request bei Seitenlade | network/01-pre-consent.json Zeile 47 |
| ... |

## Netzwerk-Verhalten

### Pre-Consent (ohne Interaktion)
- X Requests total, davon Y an Dritt-Domains
- Bekannte Trackers aktiv: [Liste]

### Nach Ablehnen
- X Requests, davon Y an Dritt-Domains
- **Erwartung:** 0 Tracker
- **Realitaet:** <Liste>

### Nach Akzeptieren
- X Requests, davon Y an Dritt-Domains
- Alle in DSE deklariert? <Liste>

## Cookie-Banner-Bewertung

- Banner erkannt: ja/nein
- Ablehnen gleichrangig: ja/nein
- Pre-ticked Boxes: ja/nein
- Einstellungen-Dialog granular: ja/nein

## Screenshots

- [Initial](screenshots/01-initial.png)
- [Banner](screenshots/02-banner.png)
- [Rejected](screenshots/03-rejected.png)
- [Accepted](screenshots/04-accepted.png)

Nach Abschluss

Gib dem User eine Kurz-Zusammenfassung:

Anzahl Findings pro Severity (CRIT/HIGH/MED/LOW)
Top-3 CRIT mit 1-Zeilen-Beschreibung + Pfad zum Evidence
Vergleich: Pre-Consent vs. Post-Reject (sollte identisch sein bei compliant Seiten)
Direkter Verweis auf knowledge/themen/cookie-consent.md und knowledge/urteile/eugh-planet49.md

Integration mit /legal-audit

Wenn vorher /legal-audit <pfad> gelaufen ist:

Finde die URL in docs/legal-audit/LegalAudit.md (Feld "Live-URL") oder frage nach.
Cross-Reference Pre-Consent-Leaks mit den statischen Findings aus der Codebase.
Wenn Code selbst-gehostete Fonts suggeriert, Browser aber fonts.googleapis.com laedt → Finding-Verstaerkung im Haupt-Audit.

Disclaimer-Injection

LiveAudit.md beginnt mit Disclaimer-Block aus templates/disclaimer-block.md. Der PostToolUse-Hook validiert das.

Install legal-audit-live and it becomes one more candidate the router can pick - when it fits.

A listing is a routing target with a manifest: what it does, which domains it covers, what it costs and who publishes it. Once installed it sits beside your own models and tools, is scored like any other candidate for each request, and shows up in the trace when it wins. Ratings come from workspaces that installed it, one per account.

# /legal-audit-live Fuehrt einen **Live-Browser-Check** einer oeffentlichen URL durch. Ergaenzt `/legal-audit` (der nur Code liest) um die **Verhaltens-Dimension**: was laedt die Website **tatsaechlich** im Browser — bevor und nachdem der User den Cookie-Banner bedient? Typische Findings, die nur dieser Command aufdeckt: - Google Fonts via `fonts.googleapis.com` trotz Code-Vermerk "self-hosted" - Analytics-Requests VOR Consent-Banner-Klick - Meta-Pixel / Google Tag Manager, der beim Laden sofort feuert - YouTube-Embed ohne `youtube-nocookie.com` - Cookie-Banner ohne gleichrangigen Ablehnen-Button (visuelle Pruefung) ## Voraussetzungen - MCP-Server `chrome-devtools` aktiv (`mcp__plugin_chrome-devtools-mcp__*`-Tools verfuegbar). - Chrome / Chromium installiert (vom MCP-Server selbst gestartet). ## Flags ### `/legal-audit-live <url>` Standard — 3 Pass-Durchlaeufe: 1. **Erstbesuch ohne Interaktion** — was laedt VOR Consent? 2. **Banner ablehnen** — was laedt NACH "Alle ablehnen"? 3. **Banner akzeptieren** — was laedt NACH "Alle akzeptieren"? ### `/legal-audit-live <url> --consent=accept` Nur ein Pass mit Akzeptieren. Fuer Tests, die nur den Accept-Zustand brauchen. ### `/legal-audit-live <url> --consent=reject` Nur ein Pass mit Ablehnen. Haeufigste Variante fuer Abmahn-Risiko-Pruefung. ### `/legal-audit-live <url> --consent=ignore` Nur ein Pass ohne Banner-Interaktion (reines "Seitenladen"). Oft deckt das die groessten Leaks auf. ### `/legal-audit-live <url> --out=<zielordner>` Alternativer Output-Ordner. Default: `<cwd>/legal-audit-live/<hostname>-<timestamp>/`. ## Pflichtablauf ### Pass 0 — Vorbereitung 1. URL validieren (muss `https://` oder `http://` sein). 2. Zielordner anlegen: ``` <out>/ ├── LiveAudit.md # Finding-Tabelle ├── screenshots/ │ ├── 01-initial.png # Erstbesuch, vor Interaktion │ ├── 02-banner.png # Cookie-Banner-Screenshot │ ├── 03-rejected.png # Nach "Ablehnen" │ └── 04-accepted.png # Nach "Akzeptieren" └── network/ ├── 01-pre-consent.json ├── 02-post-reject.json └── 03-post-accept.json ``` ### Pass 1 — Pre-Consent-Check 1. `mcp__plugin_chrome-devtools-mcp__chrome-devtools__new_page` — neuer, isolierter Browser-Kontext (keine Vor-Cookies). 2. `mcp__plugin_chrome-devtools-mcp__chrome-devtools__navigate_page` → URL. 3. `mcp__plugin_chrome-devtools-mcp__chrome-devtools__wait_for` auf `networkidle` (oder 3s Fallback). 4. `take_screenshot` → `01-initial.png`. 5. `list_network_requests` → als `01-pre-consent.json` speichern. 6. `evaluate_script`: ```js ({ cookies: document.cookie, localStorage: Object.entries(localStorage), sessionStorage: Object.entries(sessionStorage), thirdPartyScripts: Array.from(document.querySelectorAll('script[src]')) .map(s => s.src) .filter(src => !src.includes(location.hostname)) }) ``` 7. **Analyse:** gab es Requests an bekannte Drittanbieter (siehe Liste unten) VOR Consent? → CRIT. ### Pass 2 — Banner-Analyse 1. `take_snapshot` — DOM-Struktur des Banners extrahieren (uid-Referenzen fuer Klicks). 2. Heuristik zur Button-Erkennung (via `evaluate_script`): ```js Array.from(document.querySelectorAll('button, a[role="button"]')) .map(b => ({ text: b.innerText.trim(), rect: b.getBoundingClientRect(), style: { bg: getComputedStyle(b).backgroundColor, color: getComputedStyle(b).color, size: getComputedStyle(b).fontSize } })) .filter(b => b.text.length < 50) ``` 3. Pruefe **Gleichrangigkeit** von Akzeptieren vs. Ablehnen: - Beide Buttons sichtbar auf **first screen** (ohne Scroll)? - Aehnliche Groesse, Farbe, Position? - Ablehnen NICHT nur als "Einstellungen"-Link versteckt? - → Wenn nicht gleichrangig: HIGH-Finding (Planet49, BGH I ZR 7/16). 4. `take_screenshot` mit fokussiertem Banner → `02-banner.png`. ### Pass 3 — Reject-Pfad 1. Falls Banner erkannt: `click` auf "Alle ablehnen"-Button (via uid). 2. `wait_for networkidle`. 3. `take_screenshot` → `03-rejected.png`. 4. `list_network_requests` nach Klick → `02-post-reject.json`. 5. `evaluate_script` (wie Pass 1 fuer Cookies/Storage). 6. **Analyse:** werden NACH Ablehnen weiterhin Drittanbieter-Requests erzeugt? → CRIT. ### Pass 4 — Accept-Pfad 1. `new_page` (frische Session). 2. Navigate + Banner → click "Alle akzeptieren". 3. `wait_for networkidle` + Screenshot + Network-Log → `03-post-accept.json`. 4. Pruefung: nur erwartbare Tools geladen? Oder laufen Tools, die **nicht** in der Datenschutzerklaerung stehen? ### Pass 5 — Google-Fonts-Check Spezial-Test, da haeufigster Abmahnpunkt (LG Muenchen I 3 O 17493/20): 1. Netzwerk-Log aus Pass 1 (pre-consent) filtern auf: ``` fonts.googleapis.com fonts.gstatic.com ``` 2. Wenn Treffer → **CRIT-Finding**, unabhaengig davon, ob Consent existiert. ### Pass 6 — Embed-Check 1. Im DOM nach `<iframe>` suchen (`evaluate_script`). 2. Pro iframe: - `youtube.com/embed` ohne `-nocookie`? → HIGH - `player.vimeo.com` ohne dnt=1? → MED - `maps.googleapis.com` / `google.com/maps/embed`? → HIGH - `twitter.com/intent` / `platform.twitter.com`? → HIGH - `instagram.com/embed`? → HIGH ### Pass 7 — Response-Header-Check 1. Home-Response aus Pass 1 extrahieren (`get_network_request` mit uid der Root-Document-Request). 2. Pruefen: - `Content-Security-Policy` vorhanden? (LOW falls fehlt) - `Strict-Transport-Security`? (MED falls fehlt) - `X-Frame-Options` / `frame-ancestors`? (LOW) - `Referrer-Policy`? (LOW) ### Pass 8 — Mobile-Emulation 1. `emulate` → iPhone 14 Pro. 2. Navigate neu. Screenshot. 3. Pruefen: Banner touch-freundlich, "Ablehnen" noch sichtbar auf Mobile-Viewport? ## Drittanbieter-Muster (Erkennung in Network-Log) Der Analyse-Schritt matcht Request-URLs gegen diese Liste. **Voll-Liste** siehe `knowledge/themen/tool-katalog.md`. ### Analytics (Einwilligung erforderlich) - `google-analytics.com`, `googletagmanager.com`, `g.doubleclick.net` - `www.googleadservices.com`, `stats.g.doubleclick.net` - `matomo.*` (falls nicht selbst gehostet + anonymisiert) - `hotjar.com`, `mouseflow.com`, `clarity.ms`, `inspectlet.com` - `posthog.com`, `mixpanel.com`, `amplitude.com`, `heap.io` - `fullstory.com`, `logrocket.com`, `smartlook.com` ### Marketing / Ads - `facebook.com/tr`, `connect.facebook.net` (Meta Pixel) - `px.ads.linkedin.com`, `snap.licdn.com` (LinkedIn Insight Tag) - `analytics.tiktok.com`, `business-api.tiktok.com` - `pinimg.com`, `ct.pinterest.com` - `t.co`, `static.ads-twitter.com` ### CDN-Fonts (oft uebersehen) - `fonts.googleapis.com`, `fonts.gstatic.com` → **immer CRIT** - `use.typekit.net`, `p.typekit.net` (Adobe Fonts — meist OK wenn AVV) - `cdn.jsdelivr.net`, `unpkg.com` mit Font-Pfad ### Maps / Embeds - `maps.googleapis.com`, `maps.gstatic.com` - `api.mapbox.com` (EU-Region pruefen) - `www.youtube.com/embed` (statt `-nocookie`) - `player.vimeo.com` ohne `dnt=1` ### Consent-Management (OK, selbst Pflicht) - `consent.cookiebot.com`, `app.usercentrics.eu`, `cdn.cookielaw.org` (OneTrust) - `consent.cookiefirst.com`, `cdn.klaro.org` ## Output: LiveAudit.md Struktur ```markdown # Live-Audit: <hostname> **URL:** <url> **Geprueft am:** <timestamp> **User-Agent:** <ua> **Viewport:** 1920x1080 (Desktop) / iPhone 14 Pro (Mobile) ## Findings | ID | Severity | Kategorie | Beschreibung | Evidence | |----|----------|-----------|--------------|----------| | LF-001 | CRIT | Google Fonts | Direkter fonts.googleapis.com-Request bei Seitenlade | network/01-pre-consent.json Zeile 47 | | ... | ## Netzwerk-Verhalten ### Pre-Consent (ohne Interaktion) - X Requests total, davon Y an Dritt-Domains - Bekannte Trackers aktiv: [Liste] ### Nach Ablehnen - X Requests, davon Y an Dritt-Domains - **Erwartung:** 0 Tracker - **Realitaet:** <Liste> ### Nach Akzeptieren - X Requests, davon Y an Dritt-Domains - Alle in DSE deklariert? <Liste> ## Cookie-Banner-Bewertung - Banner erkannt: ja/nein - Ablehnen gleichrangig: ja/nein - Pre-ticked Boxes: ja/nein - Einstellungen-Dialog granular: ja/nein ## Screenshots - [Initial](screenshots/01-initial.png) - [Banner](screenshots/02-banner.png) - [Rejected](screenshots/03-rejected.png) - [Accepted](screenshots/04-accepted.png) ``` ## Nach Abschluss Gib dem User eine Kurz-Zusammenfassung: - Anzahl Findings pro Severity (CRIT/HIGH/MED/LOW) - Top-3 CRIT mit 1-Zeilen-Beschreibung + Pfad zum Evidence - Vergleich: Pre-Consent vs. Post-Reject (sollte identisch sein bei compliant Seiten) - Direkter Verweis auf `knowledge/themen/cookie-consent.md` und `knowledge/urteile/eugh-planet49.md` ## Integration mit /legal-audit Wenn vorher `/legal-audit <pfad>` gelaufen ist: - Finde die URL in `docs/legal-audit/LegalAudit.md` (Feld "Live-URL") oder frage nach. - Cross-Reference Pre-Consent-Leaks mit den statischen Findings aus der Codebase. - Wenn Code selbst-gehostete Fonts suggeriert, Browser aber fonts.googleapis.com laedt → **Finding-Verstaerkung** im Haupt-Audit. ## Disclaimer-Injection `LiveAudit.md` beginnt mit Disclaimer-Block aus `templates/disclaimer-block.md`. Der `PostToolUse`-Hook validiert das.

{ "prompt": "# /legal-audit-live\n\nFuehrt einen **Live-Browser-Check** einer oeffentlichen URL durch. Ergaenzt `/legal-audit` (der nur Code liest) um die **Verhaltens-Dimension**: was laedt die Website **tatsaechlich** im Browser — bevor und nachdem der User den Cookie-Banner bedient?\n\nTypische Findings, die nur dieser Command aufdeckt:\n- Google Fonts via `fonts.googleapis.com` trotz Code-Vermerk \"self-hosted\"\n- Analytics-Requests VOR Consent-Banner-Klick\n- Meta-Pixel / Google Tag Manager, der beim Laden sofort feuert\n- YouTube-Embed ohne `youtube-nocookie.com`\n- Cookie-Banner ohne gleichrangigen Ablehnen-Button (visuelle Pruefung)\n\n## Voraussetzungen\n\n- MCP-Server `chrome-devtools` aktiv (`mcp__plugin_chrome-devtools-mcp__*`-Tools verfuegbar).\n- Chrome / Chromium installiert (vom MCP-Server selbst gestartet).\n\n## Flags\n\n### `/legal-audit-live <url>`\nStandard — 3 Pass-Durchlaeufe:\n1. **Erstbesuch ohne Interaktion** — was laedt VOR Consent?\n2. **Banner ablehnen** — was laedt NACH \"Alle ablehnen\"?\n3. **Banner akzeptieren** — was laedt NACH \"Alle akzeptieren\"?\n\n### `/legal-audit-live <url> --consent=accept`\nNur ein Pass mit Akzeptieren. Fuer Tests, die nur den Accept-Zustand brauchen.\n\n### `/legal-audit-live <url> --consent=reject`\nNur ein Pass mit Ablehnen. Haeufigste Variante fuer Abmahn-Risiko-Pruefung.\n\n### `/legal-audit-live <url> --consent=ignore`\nNur ein Pass ohne Banner-Interaktion (reines \"Seitenladen\"). Oft deckt das die groessten Leaks auf.\n\n### `/legal-audit-live <url> --out=<zielordner>`\nAlternativer Output-Ordner. Default: `<cwd>/legal-audit-live/<hostname>-<timestamp>/`.\n\n## Pflichtablauf\n\n### Pass 0 — Vorbereitung\n\n1. URL validieren (muss `https://` oder `http://` sein).\n2. Zielordner anlegen:\n ```\n <out>/\n ├── LiveAudit.md # Finding-Tabelle\n ├── screenshots/\n │ ├── 01-initial.png # Erstbesuch, vor Interaktion\n │ ├── 02-banner.png # Cookie-Banner-Screenshot\n │ ├── 03-rejected.png # Nach \"Ablehnen\"\n │ └── 04-accepted.png # Nach \"Akzeptieren\"\n └── network/\n ├── 01-pre-consent.json\n ├── 02-post-reject.json\n └── 03-post-accept.json\n ```\n\n### Pass 1 — Pre-Consent-Check\n\n1. `mcp__plugin_chrome-devtools-mcp__chrome-devtools__new_page` — neuer, isolierter Browser-Kontext (keine Vor-Cookies).\n2. `mcp__plugin_chrome-devtools-mcp__chrome-devtools__navigate_page` → URL.\n3. `mcp__plugin_chrome-devtools-mcp__chrome-devtools__wait_for` auf `networkidle` (oder 3s Fallback).\n4. `take_screenshot` → `01-initial.png`.\n5. `list_network_requests` → als `01-pre-consent.json` speichern.\n6. `evaluate_script`:\n ```js\n ({\n cookies: document.cookie,\n localStorage: Object.entries(localStorage),\n sessionStorage: Object.entries(sessionStorage),\n thirdPartyScripts: Array.from(document.querySelectorAll('script[src]'))\n .map(s => s.src)\n .filter(src => !src.includes(location.hostname))\n })\n ```\n7. **Analyse:** gab es Requests an bekannte Drittanbieter (siehe Liste unten) VOR Consent? → CRIT.\n\n### Pass 2 — Banner-Analyse\n\n1. `take_snapshot` — DOM-Struktur des Banners extrahieren (uid-Referenzen fuer Klicks).\n2. Heuristik zur Button-Erkennung (via `evaluate_script`):\n ```js\n Array.from(document.querySelectorAll('button, a[role=\"button\"]'))\n .map(b => ({\n text: b.innerText.trim(),\n rect: b.getBoundingClientRect(),\n style: {\n bg: getComputedStyle(b).backgroundColor,\n color: getComputedStyle(b).color,\n size: getComputedStyle(b).fontSize\n }\n }))\n .filter(b => b.text.length < 50)\n ```\n3. Pruefe **Gleichrangigkeit** von Akzeptieren vs. Ablehnen:\n - Beide Buttons sichtbar auf **first screen** (ohne Scroll)?\n - Aehnliche Groesse, Farbe, Position?\n - Ablehnen NICHT nur als \"Einstellungen\"-Link versteckt?\n - → Wenn nicht gleichrangig: HIGH-Finding (Planet49, BGH I ZR 7/16).\n\n4. `take_screenshot` mit fokussiertem Banner → `02-banner.png`.\n\n### Pass 3 — Reject-Pfad\n\n1. Falls Banner erkannt: `click` auf \"Alle ablehnen\"-Button (via uid).\n2. `wait_for networkidle`.\n3. `take_screenshot` → `03-rejected.png`.\n4. `list_network_requests` nach Klick → `02-post-reject.json`.\n5. `evaluate_script` (wie Pass 1 fuer Cookies/Storage).\n6. **Analyse:** werden NACH Ablehnen weiterhin Drittanbieter-Requests erzeugt? → CRIT.\n\n### Pass 4 — Accept-Pfad\n\n1. `new_page` (frische Session).\n2. Navigate + Banner → click \"Alle akzeptieren\".\n3. `wait_for networkidle` + Screenshot + Network-Log → `03-post-accept.json`.\n4. Pruefung: nur erwartbare Tools geladen? Oder laufen Tools, die **nicht** in der Datenschutzerklaerung stehen?\n\n### Pass 5 — Google-Fonts-Check\n\nSpezial-Test, da haeufigster Abmahnpunkt (LG Muenchen I 3 O 17493/20):\n\n1. Netzwerk-Log aus Pass 1 (pre-consent) filtern auf:\n ```\n fonts.googleapis.com\n fonts.gstatic.com\n ```\n2. Wenn Treffer → **CRIT-Finding**, unabhaengig davon, ob Consent existiert.\n\n### Pass 6 — Embed-Check\n\n1. Im DOM nach `<iframe>` suchen (`evaluate_script`).\n2. Pro iframe:\n - `youtube.com/embed` ohne `-nocookie`? → HIGH\n - `player.vimeo.com` ohne dnt=1? → MED\n - `maps.googleapis.com` / `google.com/maps/embed`? → HIGH\n - `twitter.com/intent` / `platform.twitter.com`? → HIGH\n - `instagram.com/embed`? → HIGH\n\n### Pass 7 — Response-Header-Check\n\n1. Home-Response aus Pass 1 extrahieren (`get_network_request` mit uid der Root-Document-Request).\n2. Pruefen:\n - `Content-Security-Policy` vorhanden? (LOW falls fehlt)\n - `Strict-Transport-Security`? (MED falls fehlt)\n - `X-Frame-Options` / `frame-ancestors`? (LOW)\n - `Referrer-Policy`? (LOW)\n\n### Pass 8 — Mobile-Emulation\n\n1. `emulate` → iPhone 14 Pro.\n2. Navigate neu. Screenshot.\n3. Pruefen: Banner touch-freundlich, \"Ablehnen\" noch sichtbar auf Mobile-Viewport?\n\n## Drittanbieter-Muster (Erkennung in Network-Log)\n\nDer Analyse-Schritt matcht Request-URLs gegen diese Liste. **Voll-Liste** siehe `knowledge/themen/tool-katalog.md`.\n\n### Analytics (Einwilligung erforderlich)\n- `google-analytics.com`, `googletagmanager.com`, `g.doubleclick.net`\n- `www.googleadservices.com`, `stats.g.doubleclick.net`\n- `matomo.*` (falls nicht selbst gehostet + anonymisiert)\n- `hotjar.com`, `mouseflow.com`, `clarity.ms`, `inspectlet.com`\n- `posthog.com`, `mixpanel.com`, `amplitude.com`, `heap.io`\n- `fullstory.com`, `logrocket.com`, `smartlook.com`\n\n### Marketing / Ads\n- `facebook.com/tr`, `connect.facebook.net` (Meta Pixel)\n- `px.ads.linkedin.com`, `snap.licdn.com` (LinkedIn Insight Tag)\n- `analytics.tiktok.com`, `business-api.tiktok.com`\n- `pinimg.com`, `ct.pinterest.com`\n- `t.co`, `static.ads-twitter.com`\n\n### CDN-Fonts (oft uebersehen)\n- `fonts.googleapis.com`, `fonts.gstatic.com` → **immer CRIT**\n- `use.typekit.net`, `p.typekit.net` (Adobe Fonts — meist OK wenn AVV)\n- `cdn.jsdelivr.net`, `unpkg.com` mit Font-Pfad\n\n### Maps / Embeds\n- `maps.googleapis.com`, `maps.gstatic.com`\n- `api.mapbox.com` (EU-Region pruefen)\n- `www.youtube.com/embed` (statt `-nocookie`)\n- `player.vimeo.com` ohne `dnt=1`\n\n### Consent-Management (OK, selbst Pflicht)\n- `consent.cookiebot.com`, `app.usercentrics.eu`, `cdn.cookielaw.org` (OneTrust)\n- `consent.cookiefirst.com`, `cdn.klaro.org`\n\n## Output: LiveAudit.md Struktur\n\n```markdown\n# Live-Audit: <hostname>\n\n**URL:** <url>\n**Geprueft am:** <timestamp>\n**User-Agent:** <ua>\n**Viewport:** 1920x1080 (Desktop) / iPhone 14 Pro (Mobile)\n\n## Findings\n\n| ID | Severity | Kategorie | Beschreibung | Evidence |\n|----|----------|-----------|--------------|----------|\n| LF-001 | CRIT | Google Fonts | Direkter fonts.googleapis.com-Request bei Seitenlade | network/01-pre-consent.json Zeile 47 |\n| ... |\n\n## Netzwerk-Verhalten\n\n### Pre-Consent (ohne Interaktion)\n- X Requests total, davon Y an Dritt-Domains\n- Bekannte Trackers aktiv: [Liste]\n\n### Nach Ablehnen\n- X Requests, davon Y an Dritt-Domains\n- **Erwartung:** 0 Tracker\n- **Realitaet:** <Liste>\n\n### Nach Akzeptieren\n- X Requests, davon Y an Dritt-Domains\n- Alle in DSE deklariert? <Liste>\n\n## Cookie-Banner-Bewertung\n\n- Banner erkannt: ja/nein\n- Ablehnen gleichrangig: ja/nein\n- Pre-ticked Boxes: ja/nein\n- Einstellungen-Dialog granular: ja/nein\n\n## Screenshots\n\n- [Initial](screenshots/01-initial.png)\n- [Banner](screenshots/02-banner.png)\n- [Rejected](screenshots/03-rejected.png)\n- [Accepted](screenshots/04-accepted.png)\n```\n\n## Nach Abschluss\n\nGib dem User eine Kurz-Zusammenfassung:\n- Anzahl Findings pro Severity (CRIT/HIGH/MED/LOW)\n- Top-3 CRIT mit 1-Zeilen-Beschreibung + Pfad zum Evidence\n- Vergleich: Pre-Consent vs. Post-Reject (sollte identisch sein bei compliant Seiten)\n- Direkter Verweis auf `knowledge/themen/cookie-consent.md` und `knowledge/urteile/eugh-planet49.md`\n\n## Integration mit /legal-audit\n\nWenn vorher `/legal-audit <pfad>` gelaufen ist:\n- Finde die URL in `docs/legal-audit/LegalAudit.md` (Feld \"Live-URL\") oder frage nach.\n- Cross-Reference Pre-Consent-Leaks mit den statischen Findings aus der Codebase.\n- Wenn Code selbst-gehostete Fonts suggeriert, Browser aber fonts.googleapis.com laedt → **Finding-Verstaerkung** im Haupt-Audit.\n\n## Disclaimer-Injection\n\n`LiveAudit.md` beginnt mit Disclaimer-Block aus `templates/disclaimer-block.md`. Der `PostToolUse`-Hook validiert das.", "variables": [], "notes": "Live-Rechts-Check einer oeffentlichen Website via chrome-devtools-mcp — testet Cookie-Banner-Blocking, Drittanbieter-Leaks VOR Consent, Google-Fonts-Leak, Embed-Verhalten, tatsaechlich gesetzte Cookies. Ergaenzt /legal-audit um die Verhaltens-Dimension. Tools: Bash, Read, Grep, Glob, Write, Edit, WebFetch, Task, mcp__plugin_chrome-devtools-mcp__chrome-devtools__navigate_page, mcp__plugin_chrome-devtools-mcp__chrome-devtools__new_page, mcp__plugin_chrome-devtools-mcp__chrome-devtools__close_page, mcp__plugin_chrome-devtools-mcp__chrome-devtools__list_network_requests. Arguments: <url> [--consent=accept|reject|ignore] [--out=<zielordner>].", "metadata": { "source": { "provider": "github-claude-commands", "repository": "https://github.com/FutureRootsDE/legal-audit-de", "path": ".claude/commands/legal-audit-live.md", "ref": "2bf9877e10e55f6ba3c8c177ac1e5300f0739620", "url": "https://github.com/FutureRootsDE/legal-audit-de/blob/2bf9877e10e55f6ba3c8c177ac1e5300f0739620/.claude/commands/legal-audit-live.md", "key": "FutureRootsDE/legal-audit-de/.claude/commands/legal-audit-live.md" } } }

legal-audit-live

About