So funktioniert es

Ein Überblick darüber, wie AllyProof Ihre Websites scannt, Ergebnisse verarbeitet und Ihre Daten schützt.

Scan-Pipeline

Wenn Sie einen Scan auslösen – manuell, über die CI/CD-API oder nach Zeitplan – durchläuft AllyProof für jede Seite diese Pipeline:

1. Seitenermittlung – Seiten werden über Ihre Sitemap gefunden (bevorzugt) oder durch Crawlen der Links ab der Startseite. Die Anzahl der gescannten Seiten hängt vom Seitenlimit Ihres Plans ab.

2. Multi-Engine-Scanning – Jede Seite wird in einem echten Chromium-Browser geladen und von drei Engines gleichzeitig getestet:

   • axe-core – 91 Regeln, Zero-False-Positive-Richtlinie (Haupt-Engine)
   • HTML_CodeSniffer – ~200 zusätzliche Regeln für breitere Abdeckung
   • APCA – Erweiterte Kontrastanalyse (WCAG-3.0-Vorschau)

   Ergebnisse werden über die Engines hinweg dedupliziert, sodass kein Verstoß doppelt gezählt wird.

3. Bewertung & Analyse – Ein Barrierefreiheits-Score (0–100) wird basierend auf Anzahl und Schweregrad der Verstöße berechnet. Das Klagerisiko wird ermittelt, indem Verstöße mit häufig in ADA-Klagen zitierten Fällen abgeglichen werden.

4. Element-Screenshots – Visuelle Screenshots betroffener Elemente werden als Nachweis erfasst und als anklickbare Miniaturansichten auf der Problem-Detailseite angezeigt.

5. Scan-Vergleich – Ergebnisse werden mit dem vorherigen Scan verglichen, um neue Probleme, bestätigte Fixes und Regressionen zu identifizieren. Zuvor behobene Verstöße, die wieder auftauchen, werden automatisch wiedereröffnet.

6. KI-Fix-Vorschläge – Für jeden erkannten Verstoß generiert die KI einen Vorher/Nachher-Code-Fix mit Verweis auf die WCAG-Technik. Diese werden asynchron erzeugt und erscheinen auf der Verstoß-Detailseite.

7. Benachrichtigungen & Webhooks – Teammitglieder werden gemäß ihren individuellen Einstellungen benachrichtigt. Webhook-Ereignisse werden für externe Integrationen ausgelöst.

Datensicherheit

Maßnahme	Detail
Verschlüsselung bei der Übertragung	Alle Verbindungen nutzen TLS (HTTPS). Keine Daten werden im Klartext übertragen.
Mandantentrennung	Jede Datenbankabfrage wird nach Ihrer Organisation gefiltert. Row-Level-Security-Richtlinien (RLS) erzwingen dies auf Datenbankebene – selbst bei einem Fehler im Anwendungscode ist mandantenübergreifender Zugriff blockiert.
API-Schlüssel-Sicherheit	API-Schlüssel werden als SHA-256-Hashes gespeichert. Der Klartext-Schlüssel wird nur einmal bei der Erstellung angezeigt und niemals gespeichert.
Rollenbasierter Zugriff	Fünf Rollen mit einer serverseitig durchgesetzten 11-Aktionen-Berechtigungsmatrix: Owner (volle Kontrolle inklusive Abrechnung und Löschen der Organisation), Admin (Websites, Team, API-Schlüssel, Webhooks, Audit-Log – aber keine Abrechnung), Member (Scans ausführen, Probleme verwalten, VPATs entwerfen), Billing (nur Abonnement und Rechnungen, keine Sichtbarkeit von Websites oder Problemen) und Client-Gast bei Agency und Enterprise (schreibgeschützt, auf einzelne Websites beschränkt). Siehe Team & Berechtigungen für die vollständige Matrix.
Audit-Log	Alle Organisationsaktionen werden in einem unveränderlichen Audit-Log erfasst. Admin- und Owner-Nutzer können den vollständigen Verlauf in den Einstellungen einsehen.
Daten-Hosting	Primäre Datenbank in der EU (Deutschland) gehostet. DSGVO-konform.
Authentifizierung	E-Mail/Passwort, Google OAuth und GitHub OAuth. Sitzungen nutzen HttpOnly-Cookies mit PKCE-Flow.

Geplante Scans

Je nach Plan laufen Scans automatisch nach wöchentlichem oder täglichem Zeitplan. Sie konfigurieren die Häufigkeit pro Website in den Einstellungen. Geplante Scans folgen derselben Pipeline wie manuelle Scans und lösen dieselben Benachrichtigungen aus.

KI-gestützte Funktionen

AllyProof nutzt KI für drei Funktionen:

• Fix-Vorschläge – Für jeden erkannten Verstoß generiert. Zeigt den problematischen Code und eine korrigierte Version mit der relevanten WCAG-Technik. Dies sind Vorschläge, keine automatisierten Fixes – ein Entwickler sollte sie vor der Umsetzung prüfen.
• VPAT-Zusammenfassungen – Die KI verfasst den Konformitäts-Zusammenfassungsabschnitt von VPAT-Dokumenten anhand der Scan-Ergebnisse. Immer als ENTWURF gekennzeichnet.
• Export von Fix-Anweisungen – Laden Sie eine Markdown-Datei mit allen offenen Verstößen samt KI-generierten Fix-Mustern herunter, nach Schweregrad sortiert. Die Datei ist framework-agnostisch und kompatibel mit Coding-Tools wie Claude Code, Cursor und GitHub Copilot.

KI-generierte Inhalte können Ungenauigkeiten enthalten. Alle Vorschläge sollten vor der Verwendung von qualifiziertem Personal geprüft werden. Der KI-Anbieter wird bei jedem Vorschlag über ein "Powered by"-Label angezeigt.

Integrationen

Integration	Zweck
CI/CD-API	Scans aus GitHub Actions, GitLab CI oder jeder Pipeline auslösen
E-Mail-Benachrichtigungen	Pro-Nutzer-Einstellungen für Scan-Ergebnisse, kritische Warnungen und wöchentliche Zusammenfassungen
Webhooks	Ereignisse empfangen (scan.completed, violation.new, violation.resolved) mit HMAC-SHA256-signierten Payloads
Geteilte Berichte	Token-basierte, öffentlich zugängliche, schreibgeschützte Berichtslinks mit 30-tägigem Ablauf
Einbettbares Badge	SVG-Barrierefreiheits-Badge für Ihre Website (helles/dunkles Theme)
Öffentliche Erklärungen	Ein-Klick-Veröffentlichung von Barrierefreiheitserklärungen mit dauerhafter URL

Abdeckungsgrenzen

Automatisiertes Scannen deckt etwa 57–70 % der WCAG-2.2-AA-Kriterien ab. Die übrigen Kriterien erfordern menschliches Urteilsvermögen (z. B. ob ein Alt-Text sinnvoll ist oder Inhalte logisch geordnet sind). AllyProof kennzeichnet nicht testbare Kriterien in VPAT-Dokumenten klar als "Nicht bewertet" und empfiehlt eine manuelle Expertenprüfung für vollständige Konformität.