Prüfkatalog

Setzt Ihr Server die üblichen Schutzeinstellungen für den Browser Ihrer Besucher?

Geprüft werden fünf Einstellungen im Antwortkopf des Servers. Dazu gehören die erzwungene Verschlüsselung (HSTS), die Vorgabe erlaubter Skriptquellen (Content-Security-Policy) und der Schutz gegen Einbetten in fremde Seiten (X-Frame-Options). Bei zwei Einstellungen zählt der Wert, nicht nur das Vorhandensein: „unsafe-url" in der Referrer-Policy gilt nicht als geregelt. Eine Skript-Regel mit „unsafe-inline" oder „unsafe-eval" wird als weitgehend wirkungslos ausgewiesen.

Ist das Sicherheitszertifikat Ihrer Website gültig, und läuft es nicht demnächst ab?

Über eine verschlüsselte Verbindung zu Port 443 werden Aussteller und Gültigkeitsdauer des Zertifikats gelesen. Weniger als 21 Tage Restlaufzeit gelten als Warnung, weniger als 7 Tage sowie ein abgelaufenes Zertifikat als kritisch. Ausgewertet wird allein das Zertifikat unter der Projekt-Adresse. Die vollständige Zertifikatskette und weitere Hostnamen derselben Website sind darin nicht enthalten.

Lädt Ihre verschlüsselte Seite einzelne Bestandteile noch über eine unverschlüsselte Adresse?

Der Quelltext der Startseite wird auf eingebundene Adressen durchsucht, die mit „http://" beginnen. Unterschieden wird zwischen aktiven Bestandteilen (Skripte, Formatvorlagen, eingebettete Seiten) und passiven (Bilder, Ton, Video). Aktive Bestandteile blockieren Browser ohne Rückfrage, die zugehörige Funktion fällt dann aus. Passive laden sie nach Möglichkeit verschlüsselt nach und blenden sie sonst aus.

Grundlage: W3C-Spezifikation „Mixed Content" (Browser-Verhalten)

Ist Ihre Website verschlüsselt erreichbar, und werden unverschlüsselte Aufrufe dorthin weitergeleitet?

Abgefragt werden beide Adressen Ihrer Startseite, mit „https://" und mit „http://". Geprüft wird, ob die verschlüsselte Adresse antwortet und ob die unverschlüsselte dauerhaft dorthin weiterleitet. Antwortet die unverschlüsselte Adresse mit einer eigenen Seite, bleiben Besucher aus alten Links dort. Ihre Eingaben sind dann in fremden Netzen mitlesbar.

Senden Ihre Formulare die Eingaben Ihrer Besucher an eine unverschlüsselte Adresse?

Je erfasster Seite wird die Empfangsadresse jedes Formulars gelesen. Beginnt sie mit „http://", gilt der Punkt als kritisch. Die Seite selbst kann dabei verschlüsselt ausgeliefert werden; für die abgesendeten Daten gilt das nicht. Browser blenden vor dem Absenden eine Warnung ein, die viele Besucher abbrechen lässt.

Verweisen Ihre Seiten auf Adressen, die mit „http://" beginnen?

Über alle erfassten Seiten werden Verweise gezählt, deren Adresse unverschlüsselt beginnt. Bis zu drei Beispiele nennt der Befund. Wer einem solchen Verweis folgt, ruft das Ziel zunächst unverschlüsselt auf; in fremden Netzen ist dieser Aufruf mitlesbar. Verweise auf fremde Websites werden mitgezählt, aber nicht abgerufen.

Ist im Quelltext erkennbar, welches System hinter Ihrer Website steht und in welcher Fassung?

Ausgewertet werden die Angabe im Seitenkopf und die Pfade, die Ihre Seiten ohnehin einbinden. Erkannt werden unter anderem WordPress, TYPO3, Joomla, Shopify, Wix und Jimdo. Die bloße Erkennung senkt den Zustandswert nicht: Sie gelingt bei nahezu jeder Website. Gemeldet wird erst eine offen genannte Versionsnummer, weil sie die Suche nach passenden Lücken erspart.

Binden Ihre Seiten Programmbibliotheken ein, die keine Sicherheitspflege mehr erhalten?

Über alle erfassten Seiten werden die Adressen eingebundener Skripte ausgewertet. Gemeldet werden jQuery in den Hauptversionen 1 und 2 sowie Bootstrap in den Hauptversionen 3 und 4. Für diese Fassungen stellt der Hersteller keine Sicherheitsaktualisierungen mehr bereit; die Pflege von Bootstrap 4 endete am 01.01.2023. Erkannt wird nur, was die Adresse selbst preisgibt; eine Einbindung ohne Nummer in der Adresse bleibt unsichtbar.

Erhält die im Quelltext genannte Fassung Ihres Systems noch Sicherheitsaktualisierungen?

Nennt der Quelltext eine Fassung, wird sie mit den veröffentlichten Angaben des Herstellers abgeglichen. Beurteilt wird ausschließlich, ob die Hauptversion weiterhin Sicherheitsaktualisierungen erhält, nur noch über ein kostenpflichtiges Programm gepflegt wird oder gar nicht mehr. Ausdrücklich nicht beurteilt wird, ob eine bestimmte Lücke vorliegt. Dafür gibt es zwei Gründe: Der Quelltext nennt nicht zwingend den installierten Stand, und mehrere Hersteller liefern Behebungen auch für ältere Hauptversionen nach. Eine ältere Fassung ist deshalb für sich genommen kein Mangel. Die hinterlegte Übersicht ist datiert; ist sie zu alt, wird der Punkt als nicht geprüft ausgewiesen.

Grundlage: Freigabe- und Sicherheitsseiten der Hersteller (Stand im Befundtext genannt)

Konnte die Tempo-Messung von Google für diesen Lauf überhaupt abgerufen werden?

Die Tempo-Messung braucht einen Zugangsschlüssel zur Google-Schnittstelle. Fehlt er, oder antwortet Google nicht, weist dieser Punkt die Messung als nicht durchgeführt aus. Der Gesamtwert der Website wird dadurch nicht gesenkt. Eine nicht durchgeführte Messung ist zugleich keine Entwarnung.

Wie schnell lädt Ihre Startseite auf einem Handy im Mobilfunknetz?

Google misst die Startseite unter Mobilfunk-Bedingungen und fasst mehrere Werte zu einer Note von 0 bis 100 zusammen. Ab 90 gilt eine Seite als schnell, unter 50 als langsam. Die Messung läuft bei Google, nicht auf Ihrem Server. Ohne hinterlegten Zugangsschlüssel entfällt sie ersatzlos.

Grundlage: Google PageSpeed Insights (Lighthouse, mobil)

Wie lange dauert es, bis das größte sichtbare Element Ihrer Seite erscheint?

Gemessen wird die Zeit bis zur Darstellung des größten sichtbaren Elements, meist Titelbild oder Hauptüberschrift. Google bewertet bis 2,5 Sekunden als gut. Bis dahin sehen Besucher eine unfertige Seite. Häufigste Ursache langer Zeiten sind zu groß ausgelieferte Bilder.

Grundlage: Core Web Vitals von Google

Springt das Layout beim Laden, sodass Besucher danebentippen?

Gemessen wird, wie stark sich der Seiteninhalt während des Ladens noch verschiebt. Google bewertet einen Wert bis 0,1 als gut. Verschiebt sich der Inhalt, betätigen Besucher Schaltflächen, die sie nicht ansteuern wollten. Ursache sind meist fehlende Größenangaben bei Bildern und eingebundenen Flächen.

Grundlage: Core Web Vitals von Google

Reagiert Ihre Seite während des Ladens auf Klicks und Eingaben?

Gemessen wird, wie lange die Seite beim Laden blockiert ist, weil im Hintergrund Programmcode verarbeitet wird. Google bewertet bis 200 Millisekunden als gut. Die Seite sieht dann fertig aus, nimmt aber keine Eingaben an. Ursache ist in der Regel zu viel JavaScript aus Erweiterungen und eingebundenen Diensten.

Grundlage: Google Lighthouse (Bewertungsschwellen)

Reagiert Ihre Website zügig, wenn ein Besucher etwas anklickt?

Gemessen wird die Zeitspanne zwischen einer Eingabe und der sichtbaren Reaktion darauf, etwa beim Öffnen eines Menüs. Die Zahl stammt aus echten Besuchen der letzten 28 Tage im Chrome-Browser, nicht aus einer Labormessung. Google bewertet bis 200 Millisekunden als gut. Liegen für eine Adresse zu wenige Besuche vor, weist die Prüfung das aus und wertet nicht.

Grundlage: Google Core Web Vitals (Chrome-Nutzungsdaten, Schwellenwerte)

Welches Element Ihrer Seite lässt am längsten auf sich warten?

Google misst die Ladezeit an dem größten sichtbaren Element der Seite. Aus derselben Messung wird ausgelesen, welches Element das konkret ist – meist ein Bild, manchmal eine Überschrift. Der Punkt stellt keinen eigenen Mangel fest und senkt den Zustandswert nicht: Er benennt die Ursache des Werts, der darüber bereits bewertet wurde.

Wie viele Dateien müssen geladen sein, bevor überhaupt etwas erscheint?

Aus derselben Messung wird ausgelesen, welche Gestaltungsdateien und Skripte die erste Darstellung aufhalten. Gezählt wird die Anzahl der Dateien, nicht die geschätzte Zeitersparnis: Diese Schätzung schwankt zwischen den Läufen deutlich. Der Punkt senkt den Zustandswert nicht, er benennt die Ursache eines bereits bewerteten Werts.

Sind auch die wichtigsten Unterseiten so schnell wie die Startseite?

Neben der Startseite werden weitere Schlüsselseiten gemessen, ausgewählt nach der geringsten Klicktiefe. Voreingestellt sind drei Seiten insgesamt; die Zahl ist auf dem Server einstellbar. Je Seite werden die Note und, wo Google Werte echter Besucher vorliegen hat, die tatsächliche Ladezeit ausgewiesen.

Grundlage: Google PageSpeed Insights (Lighthouse, mobil)

Wie viele Daten überträgt Ihre Startseite beim ersten Aufruf?

Gewogen werden das HTML-Dokument und bis zu 50 eingebundene Dateien: Bilder, Formatvorlagen und Skripte. Der Richtwert liegt bei 2 MB. Ab 2 MB gibt es eine Warnung, ab 4 MB gilt der Wert als kritisch. Was ein Browser erst später per JavaScript nachlädt, ist darin nicht enthalten.

Grundlage: Google-Richtwert zur Seitengröße

Sind die Bilder Ihrer Startseite für das Web verkleinert?

Gemessen werden Anzahl und Dateigröße der im Quelltext eingebundenen Bilder sowie ihr Anteil an der übertragenen Datenmenge. Richtwert sind 1 MB für alle Bilder zusammen und 500 KB je Einzelbild. Ab 2 MB gilt der Wert als kritisch. Per Skript nachgeladene Bilder und Hintergrundbilder aus der Formatvorlage erfasst diese Messung nicht.

Gibt es Unterseiten, bei denen Ihr Server ungewöhnlich lange bis zur Antwort braucht?

Beim Durchgang durch die Website wird je Seite die Zeit bis zur Antwort des Servers gemessen. Seiten über 1,5 Sekunden werden mit ihrer gemessenen Zeit aufgeführt. Die eigene Wartepause dieser Prüfung wird herausgerechnet. Diese Zeit fällt an, bevor im Browser überhaupt etwas sichtbar wird.

Ist bei Ihren Bildern hinterlegt, wie viel Platz sie einnehmen?

Über alle erfassten Seiten werden Bilder gezählt, bei denen Breite oder Höhe im Quelltext fehlt. Der Platz lässt sich nur reservieren, wenn beide Angaben vorliegen; deshalb zählt bereits eine fehlende Angabe. Fehlt sie, rückt der Inhalt darunter nach, sobald das Bild erscheint. Größen aus der Formatvorlage und über srcset erfasst diese Prüfung nicht.

Grundlage: Core Web Vitals von Google (Layoutverschiebung)

Gibt es Unterseiten, deren Quelltext ungewöhnlich groß ist?

Beim Durchgang durch die Website wird je Seite die Größe des HTML-Dokuments festgehalten. Aufgeführt werden Seiten über 500 KB, zusammen mit der größten. Bilder, Skripte und Formatvorlagen zählen dabei nicht mit; für die Startseite samt Anhang gibt es eine eigene Messung. Übliche Seiten liegen deutlich unter 100 KB.

Wie viele Seiten Ihrer Website sind über interne Links erreichbar?

Der Durchgang folgt internen Links von der Startseite aus, bis zu 300 Seiten und zehn Ebenen tief. Diese Menge ist die Bezugsgröße aller seitenübergreifenden Auswertungen. Gemeldet werden zusätzlich mehrfach vergebene Titel und Beschreibungen, ganz fehlende Titel und Beschreibungen sowie Seiten ab Ebene zehn. Inhalte hinter Login, Formular oder Suchfunktion sind nicht enthalten.

Hat Ihre Startseite einen Seitentitel in der empfohlenen Länge?

Gemessen wird die Länge des Titels im Seitenkopf der Startseite. Empfohlen sind 30 bis 60 Zeichen; darunter oder darüber gibt es eine Warnung. Der Titel ist die Überschrift des Google-Eintrags und die Beschriftung des Browser-Tabs. Geprüft wird die Länge, nicht die inhaltliche Eignung für Ihre Suchbegriffe.

Hat Ihre Startseite einen Beschreibungstext in der empfohlenen Länge?

Gemessen wird die Länge des hinterlegten Beschreibungstextes der Startseite. Empfohlen sind 50 bis 160 Zeichen. Dieser Text steht im Google-Ergebnis unter dem Titel und entscheidet mit über den Klick. Google ersetzt ihn mitunter durch einen selbst gewählten Auszug aus der Seite.

Ist hinterlegt, welche Adresse für Ihre Startseite die maßgebliche ist?

Geprüft wird, ob im Seitenkopf eine maßgebliche Adresse angegeben ist (Fachbegriff: Canonical). Fehlt die Angabe, wählt Google selbst eine der erreichbaren Adressen aus. Für sich genommen ist das kein Mangel; der Punkt bleibt deshalb ohne Abzug. Bedeutung bekommt er erst, wenn derselbe Inhalt unter mehreren Adressen erreichbar ist.

Verweist die als maßgeblich hinterlegte Adresse einer Seite auf eine Adresse, die es nicht gibt?

Je erfasster Seite wird die Angabe zur maßgeblichen Adresse gelesen (Fachbegriff: Canonical) und gegen den Bestand desselben Durchgangs abgeglichen. Gemeldet wird nur ein Ziel, das im Bestand steht und dort einen Fehlercode lieferte. Ab zwei betroffenen Seiten gilt der Punkt als kritisch. Ein Ziel außerhalb des erfassten Bestands wird nicht gemeldet.

Zeigt die maßgebliche Adresse einer Seite auf eine Adresse, die selbst weiterleitet?

Abgeglichen wird die Angabe zur maßgeblichen Adresse gegen den Bestand desselben Durchgangs. Ist das Ziel dort als weiterleitend erfasst und führt es auf eine andere Adresse, wird der Punkt aufgeführt. Erwartet wird die endgültige Adresse. Die Endadresse einer Weiterleitung gilt selbst nicht als Mangel.

Verweist eine Seite als maßgeblich auf eine Adresse, die von der Suche ausgeschlossen ist?

Trägt die Zielseite eine Sperre gegen die Aufnahme in den Suchindex (Angabe „noindex"), widersprechen sich beide Angaben. Der Fall wird als Warnung aufgeführt, nie höher. Welche der beiden Angaben gelten soll, entscheidet diese Prüfung nicht. Eine aus anderem Grund fehlende Indexierbarkeit zählt hier nicht mit.

Benennt eine Ihrer Seiten eine fremde Domain als maßgebliche Adresse?

Verglichen werden die Domains von Seite und Ziel. Beide Schreibweisen mit und ohne „www." sowie Unterdomänen derselben Domain gelten als dieselbe Website. Ein fremdes Ziel wird als Warnung aufgeführt, nie als kritisch: Bei Nachdrucken und Partnerinhalten ist die Abgabe der Sichtbarkeit gewollt.

Wie viele Ihrer Seiten tragen eine maßgebliche Adresse, und wie viele Ziele konnten eingeordnet werden?

Ausgewiesen wird, wie viele erfasste Seiten eine Angabe zur maßgeblichen Adresse tragen, wie viele davon auf sich selbst verweisen und wie viele Ziele im erfassten Bestand wiedergefunden wurden. Der Bestand endet bei 300 Seiten. Ein Ziel außerhalb davon wird nicht als Mangel gemeldet: Eine Adresse kann erreichbar sein und trotzdem außerhalb des erfassten Bereichs liegen.

Darf Ihre Startseite laut ihrem eigenen Quelltext in der Google-Suche erscheinen?

Gelesen wird die Angabe für Suchmaschinen im Seitenkopf der Startseite. Enthält sie „noindex", ist die Seite von der Aufnahme in den Suchindex ausgeschlossen. Bei Baustellen- und Testseiten ist das gewollt, im Regelbetrieb selten. Geprüft wird die Angabe im Quelltext, nicht der tatsächliche Stand bei Google.

Trägt jede Seite genau eine Hauptüberschrift?

Über alle erfassten Seiten werden die Hauptüberschriften gezählt, im Quelltext als H1 ausgezeichnet. Gemeldet werden Seiten ohne Hauptüberschrift und Seiten mit mehreren. Die Hauptüberschrift benennt das Thema der Seite für Besucher, Suchmaschinen und Vorleseprogramme. Fehlt sie durchgehend, liegt die Ursache meist in der Seitenvorlage.

Gibt es Seiten mit so wenig Text, dass sie kaum eine Frage beantworten?

Je erfasster Seite wird die Zahl der Wörter im sichtbaren Text gezählt. Seiten mit weniger als 150 Wörtern werden mit ihrer Wortzahl aufgeführt. Seiten ganz ohne Text bleiben außen vor, weil dort meist ein Download oder eine Weiterleitung liegt. Kurze Seiten erscheinen seltener in den Suchergebnissen.

Tragen mehrere Ihrer Seiten denselben Text?

Über alle erfassten Seiten wird der sichtbare Text verglichen, ab 150 Wörtern. Gemeldet werden Seiten, die wortgleich mit mindestens einer anderen sind; ab einem Zehntel der erfassten Seiten gilt der Punkt als kritisch, weil dann die Seitenvorlage die Ursache ist. Nicht mitgezählt werden Seiten, die ausdrücklich eine andere Adresse als maßgeblich benennen: Dort ist die Doppelung bewusst geregelt. Ähnliche, aber nicht wortgleiche Seiten erkennt dieser Vergleich nicht.

Steht auf Ihrer Website noch Blindtext aus der Bauphase?

Über alle erfassten Seiten wird nach eindeutigen Platzhalter-Wendungen gesucht, etwa „Lorem ipsum" oder „Hier steht Ihr Text". Bewusst nur Wendungen, die in einem echten deutschen Text praktisch nicht vorkommen: „Beispiel" oder „Muster" allein zählen nicht, sonst wären eine Musterstraße oder eine Musterlösung reihenweise Fehlalarme. Ein Platzhalter in eigener Formulierung bleibt dabei unerkannt.

Sind Ihre Seiten untereinander so verlinkt, dass man sie findet?

Aus den Verweisen zwischen Ihren Seiten wird ausgewertet, wie gut jede Seite eingebunden ist. Gemeldet werden Seiten, auf die genau ein einziger interner Verweis führt, und Seiten, von denen kein Verweis weiterführt. Die Startseite ist ausgenommen: Sie ist der Einstieg und braucht keinen eingehenden Verweis. Ausgewertet werden nur die erfassten Seiten; Verweise aus Inhalten, die der Durchgang nicht erreicht hat, sind nicht enthalten.

Haben Ihre Bilder eine Textalternative für Menschen, die sie nicht sehen können?

Über alle erfassten Seiten werden Bilder ohne Textalternative gezählt. Ausgewiesen werden die Gesamtzahl und die betroffenen Seiten. Vorleseprogramme können solche Bilder nicht wiedergeben; der Bildersuche fehlt dieselbe Angabe. Rein dekorative Bilder tragen bewusst eine leere Textalternative und gelten damit als richtig ausgezeichnet.

Grundlage: WCAG 2.1, Erfolgskriterium 1.1.1

Sind Seitentitel so lang, dass Google sie im Suchergebnis abschneidet?

Über alle erfassten Seiten wird die Zeichenzahl des Titels gezählt. Seiten mit mehr als 60 Zeichen werden mit ihrer Zeichenzahl aufgeführt. Google kürzt zu lange Titel im Suchergebnis. Steht das Kernthema hinten, entfällt genau der Teil, der zum Klicken bewegt.

Sind Angaben wie Anschrift und Öffnungszeiten maschinenlesbar hinterlegt?

Der Quelltext jeder erfassten Seite wird auf maschinenlesbare Angaben nach dem Schema.org-Standard durchsucht (JSON-LD). Ausgewiesen werden die gefundenen Typen. Fehlt ein Eintrag zum Unternehmen selbst, also „Organization" oder „LocalBusiness", wird das gesondert benannt. Geprüft wird das Vorhandensein, nicht die Richtigkeit der Angaben.

Grundlage: Schema.org (JSON-LD)

Nennt Ihr maschinenlesbarer Unternehmenseintrag Anschrift und Telefonnummer?

Ist ein Unternehmenseintrag nach Schema.org vorhanden, wird geprüft, ob er Name, Anschrift, Telefonnummer und die Adresse der Website enthält. Gewertet wird die vollständigste Fundstelle über alle erfassten Seiten. Ausdrücklich nicht gemeldet wird eine „fehlende Pflichtangabe": Für den Typ „Organization" nennt Google gar keine Pflichtfelder. Ob aus den Angaben eine erweiterte Darstellung im Suchergebnis entsteht, entscheidet Google – vollständige Angaben sind dafür Voraussetzung, aber keine Zusage.

Grundlage: Google-Dokumentation zu strukturierten Daten (Local Business, Organization)

Sind Sterne-Bewertungen ausgezeichnet, die Google gar nicht anzeigt?

Geprüft wird, ob eine Bewertung maschinenlesbar an das eigene Unternehmen geknüpft ist. Google zeigt dafür seit dem 16. September 2019 keine Sterne mehr an, wenn die bewertete Einheit die Bewertungen selbst verwaltet. Das gilt ausdrücklich auch für eingebundene Bewertungs-Bausteine fremder Anbieter. Der Punkt erklärt damit eine Enttäuschung, die viele Betreiber bereits haben: Die Sterne sind ausgezeichnet und erscheinen trotzdem nie.

Grundlage: Google Search Central, Ankündigung vom 16.09.2019 zu selbst verwalteten Bewertungen

Erscheint beim Teilen eines Links ein Titel mit Vorschaubild?

Je erfasster Seite wird geprüft, ob Titel und Vorschaubild für das Teilen hinterlegt sind (Open-Graph-Angaben). Fehlt eines von beiden, gilt die Seite als betroffen. Ohne diese Angaben erscheint auf WhatsApp, LinkedIn oder Facebook nur die nackte Adresse. Als Mindestlösung genügt ein Standardbild für die ganze Website.

Grundlage: Open Graph Protocol

Wie oft wird Ihre Website bei Google eingeblendet und angeklickt?

Aus der Google Search Console werden Klicks, Impressionen und Platzierung der letzten 28 Tage je Seite gelesen. Diese Zahlen werden mit dem Durchgang durch die Website abgeglichen. Seiten mit Zugriffen aus der Suche, die zugleich als nicht indexierbar, als Weiterleitung oder als Fehlerseite erkannt wurden, führt der Bericht gesondert auf. Voraussetzung sind ein verbundenes Google-Konto und der Eigentumsnachweis für die Website.

Grundlage: Google Search Console (Search-Analytics-Schnittstelle)

Sind Impressum und Datenschutzerklärung von der Startseite aus verlinkt?

Geprüft wird, ob die Startseite auf ein Impressum und auf eine Datenschutzerklärung verweist. Ein Impressum ist für geschäftsmäßige Websites vorgeschrieben (§ 5 DDG), eine Datenschutzerklärung bei Verarbeitung personenbezogener Daten (Art. 13 DSGVO). Ist das Impressum abrufbar, wird sein Text zusätzlich auf überholte Gesetzesbezeichnungen durchsucht, etwa TMG statt DDG oder TTDSG statt TDDDG. Der Inhalt selbst wird nicht bewertet: Das wäre Rechtsberatung.

Grundlage: § 5 DDG, Art. 13 DSGVO

Wird das Verhalten Ihrer Besucher ausgewertet, bevor jemand zugestimmt hat?

Der Quelltext der Startseite wird auf bekannte Analyse- und Werbedienste durchsucht, an der Adresse eingebundener Skripte ebenso wie an Signaturen im Seitenquelltext. Der erkannte Anbieter wird beim Namen genannt. Ohne erkennbares Cookie-Banner gilt der Befund als kritisch, mit Banner als Warnung. Dienste, die erst nach einer Zustimmung starten, sieht diese Prüfung nicht: Sie betätigt kein Banner.

Grundlage: § 25 TDDDG, Art. 6 DSGVO

Binden Sie Videos oder Karten ein, die schon beim Seitenaufruf Daten übertragen?

Gesucht werden eingebettete Inhalte fremder Anbieter, etwa von YouTube, Vimeo, Google Maps oder aus sozialen Netzwerken. Solche Einbindungen verbinden sich beim Laden der Seite mit dem Anbieter und übertragen dabei die IP-Adresse des Besuchers. Nutzen alle eingebundenen Videos die datensparsame Variante von YouTube, gilt der Punkt als in Ordnung. Üblich ist sonst eine Vorschau, die den Inhalt erst auf Klick lädt.

Werden Schriftarten von einem fremden Server geladen, bevor jemand zugestimmt hat?

Geprüft wird, ob Schriften von Google Fonts oder von Adobe Typekit nachgeladen werden. Dabei erfährt der Anbieter die IP-Adresse Ihres Besuchers, und zwar bei jedem Seitenaufruf. Ein Cookie-Banner hilft hier nicht, weil die Schrift zum Aufbau der Seite gebraucht wird. Die Dateien lassen sich einmalig herunterladen und auf dem eigenen Server ablegen.

Ist ein Cookie-Banner vorhanden, wenn Ihre Website zustimmungspflichtige Dienste einbindet?

Erkannt werden gängige Cookie-Banner an ihrem Namen im Quelltext oder an der Adresse, von der sie geladen werden. Bewertet wird dieser Punkt nur, wenn zuvor zustimmungspflichtige Dienste gefunden wurden. Geprüft wird das Vorhandensein, nicht die Gestaltung und nicht, ob die Dienste bis zur Zustimmung tatsächlich zurückgehalten werden. Ob „Ablehnen" gleichrangig erreichbar ist, wertet diese Prüfung nicht aus.

Grundlage: § 25 TDDDG, Art. 6 DSGVO

Tragen die Eingabefelder Ihrer Formulare eine verknüpfte Beschriftung?

Über alle erfassten Seiten werden Eingabefelder ohne verknüpfte Beschriftung gezählt. Als Beschriftung zählt ein zugeordnetes Label oder eine Angabe per aria-label; ein Platzhaltertext im Feld zählt nicht. Ohne Beschriftung geben Vorleseprogramme keinen Feldnamen aus. Bei Kontakt- und Bestellformularen endet der Vorgang damit.

Grundlage: WCAG 2.1, Erfolgskriterium 3.3.2

Benennen Ihre Linktexte das Ziel, oder steht dort nur „mehr"?

Gezählt werden Links, deren Text das Ziel nicht benennt, etwa „mehr", „hier" oder „weiterlesen". Bis zu drei gefundene Beispiele nennt der Befund. Vorleseprogramme können alle Links einer Seite als Liste ausgeben; gleichlautende Texte sind darin nicht unterscheidbar. Kurze, aber aussagekräftige Texte lassen sich maschinell nicht immer sauber abgrenzen.

Grundlage: WCAG 2.1, Erfolgskriterium 2.4.4

Folgen die Überschriftenebenen Ihrer Seiten lückenlos aufeinander?

Je erfasster Seite wird geprüft, ob auf eine Überschrift eine um mehr als eine Stufe tiefere folgt, etwa H4 auf H2. Die Überschriften bilden die Gliederung der Seite; Vorleseprogramme navigieren an ihnen entlang. Eine ausgelassene Stufe lässt offen, ob ein Abschnitt untergeordnet ist. Maßgeblich ist die Auszeichnung im Quelltext, nicht die Schriftgröße.

Grundlage: WCAG 2.1, Erfolgskriterium 1.3.1

Sind die Kennungen im Quelltext Ihrer Seiten eindeutig vergeben?

Je erfasster Seite wird gezählt, wie viele Kennungen (id-Attribute) mehrfach vorkommen. Bis zu drei Beispiele nennt der Befund. Beschriftungen und Sprungmarken binden über diese Kennung an ein Element; ist sie doppelt vergeben, trifft die Zuordnung ein anderes als das gemeinte Element. Ursache ist meist ein Baustein, der mehrfach auf derselben Seite eingebunden wird.

Grundlage: WCAG 2.1, Erfolgskriterium 4.1.1

Haben verlinkte Bilder wie Ihr Logo eine Textalternative, die das Ziel benennt?

Gezählt werden Links, die allein aus einem Bild ohne Textalternative bestehen. Für Vorleseprogramme bleibt ein solcher Link ohne Bezeichnung; ausgegeben wird dann meist die Zieladresse. Betroffen sind häufig das Logo in der Kopfzeile und Symbole zu sozialen Netzwerken. Der Alternativtext sollte das Ziel benennen, beim Logo also „Zur Startseite".

Grundlage: WCAG 2.1, Erfolgskriterien 1.1.1 und 2.4.4

Sind die Kopfzellen Ihrer Tabellen als Kopfzellen ausgezeichnet?

Gezählt werden Tabellen mit mehreren Zeilen und Spalten, deren Kopfzelle nicht als solche ausgezeichnet ist. Vorleseprogramme nennen beim Vorlesen einer Zelle sonst nicht die zugehörige Spaltenüberschrift. Ohne diesen Bezug ist eine Preis- oder Öffnungszeitentabelle nicht erfassbar. Reine Layout-Tabellen lassen sich maschinell nicht sicher von Datentabellen trennen.

Grundlage: WCAG 2.1, Erfolgskriterium 1.3.1

Tragen eingebettete Inhalte wie Karten oder Videos eine Bezeichnung?

Gezählt werden eingebundene fremde Inhalte ohne Bezeichnung im title-Attribut. Typisch sind Kartenausschnitte, Videos und Buchungsstrecken. Vorleseprogramme kündigen den eingebundenen Bereich sonst ohne Namen an. Vor dem Hineinwechseln ist dann nicht erkennbar, was dort zu erwarten ist.

Grundlage: WCAG 2.1, Erfolgskriterium 4.1.2

Folgt die Bedienung per Tastatur der sichtbaren Reihenfolge Ihrer Seite?

Gezählt werden Elemente mit einer von Hand vorgegebenen Tastatur-Reihenfolge (positiver tabindex-Wert). Diese Elemente werden vor allen übrigen angesteuert, unabhängig von ihrer Position auf der Seite. Das Weiterschalten per Tabulatortaste springt dadurch entgegen dem Layout. Ohne solche Werte ergibt sich die Reihenfolge aus dem Quelltext.

Grundlage: WCAG 2.1, Erfolgskriterium 2.4.3

Welche Merkmale der Barrierefreiheit lassen sich hier automatisiert prüfen, und welche nicht?

Dieser Punkt läuft immer mit und weist den Prüfumfang aus: acht Struktur-Merkmale im Quelltext der erfassten Seiten. Automatisierte Prüfungen decken nur 13 bis 33 Prozent der anerkannten Prüfkriterien ab. Ohne manuelle Kontrolle nicht prüfbar sind Farbkontraste, Bedienbarkeit per Tastatur, Reihenfolge des Fokus und die Eignung vorhandener Alternativtexte. Eine Aussage über die Einhaltung einer Norm oder über das Barrierefreiheitsstärkungsgesetz entsteht daraus ausdrücklich nicht.

Grundlage: WCAG 2.1 (Abdeckung automatisierter Prüfungen)

Lässt sich Ihre Seite auf dem Telefon mit zwei Fingern vergrößern?

Je erfasster Seite wird die Anzeige-Angabe im Seitenkopf ausgewertet. Gemeldet wird, wenn sie das Vergrößern ausdrücklich unterbindet oder auf weniger als das Doppelte begrenzt. Wer eine Lesebrille braucht, vergrößert die Seite – ist das gesperrt, bleibt der Text unlesbar. Eine fehlende Angabe wird hier nicht mitgezählt; sie ist ein eigener Punkt.

Ist Ihre Website unter genau einer Adresse erreichbar, mit oder ohne „www"?

Beide Schreibweisen der Adresse werden abgerufen; verglichen wird, wo sie nach allen Weiterleitungen landen. Landen sie auf derselben Adresse, ist der Punkt in Ordnung. Sind beide getrennt erreichbar, sind das für Suchmaschinen zwei Websites mit demselben Inhalt. Die Bewertung verteilt sich dann auf beide Fassungen, statt sich auf eine zu bündeln.

Hat Ihre Website ein eigenes Symbol für Browser-Tab und Lesezeichen?

Gesucht wird das im Seitenkopf verlinkte Symbol, ersatzweise die Standardadresse /favicon.ico. Im Projekt lässt sich abweichend ein eigener Pfad hinterlegen. Untersagt die robots.txt den Abruf, weist der Bericht den Punkt als nicht geprüft aus statt als fehlend. Geprüft wird die Erreichbarkeit der Datei, nicht ihre Darstellung in allen Größen.

Gibt es ein Seitenverzeichnis, das Suchmaschinen Ihre Seiten nennt?

Gesucht wird die sitemap.xml, zuerst über den im Projekt hinterlegten Pfad, dann über die Sitemap-Zeilen der robots.txt und zuletzt unter /sitemap.xml. Gefunden heißt hier nur: Die Datei ist abrufbar. Ohne Seitenverzeichnis finden Suchmaschinen Ihre Seiten ausschließlich über interne Links. Ob der Inhalt vollständig ist, klärt der Abgleich mit den gefundenen Seiten.

Grundlage: Sitemaps-Protokoll (sitemaps.org)

Stimmt Ihr Seitenverzeichnis mit den tatsächlich erreichbaren Seiten überein?

Die Adressen aus der sitemap.xml werden mit den beim Durchgang erreichten Seiten verglichen. Ein Sitemap-Index wird dabei in bis zu 20 Unter-Verzeichnisse aufgelöst. Gemeldet werden erreichbare Seiten, die im Verzeichnis fehlen, und Adressen des Verzeichnisses, die nicht angetroffen wurden. Verglichen werden Adressen, keine Inhalte.

Grundlage: Sitemaps-Protokoll (sitemaps.org)

Sind die Adressen in Ihrem Seitenverzeichnis erreichbar und für die Suche freigegeben?

Die sitemap.xml ist eine Empfehlung an Suchmaschinen: Diese Adressen sind wichtig. Geprüft wird deshalb nicht nur, welche Adressen dort stehen, sondern in welchem Zustand sie sind. Gemeldet werden Adressen, die eine Fehlermeldung liefern (kritisch), die weiterleiten und Adressen, die laut eigener Angabe nicht in den Suchindex sollen. Beurteilt werden ausschließlich die Adressen, die beim Durchgang durch die Website tatsächlich abgerufen wurden. Über Einträge, die dabei nicht erreicht wurden, trifft diese Prüfung keine Aussage – sie stehen im Befund zur Vollständigkeit.

Erlaubt die Datei robots.txt Ihrer Website Suchmaschinen und dieser Prüfung den Zugriff?

Die Datei /robots.txt wird nach RFC 9309 gelesen: Gruppenbildung, Allow und Disallow nach dem längsten Muster, Platzhalter und Crawl-delay. Gemeldet werden eine vollständige Sperre für Suchmaschinen („Disallow: /"), eine Sperre gegen diese Prüfung und eine nicht abrufbare Datei. Fehlt die Datei, gilt alles als erlaubt; das ist der Normalfall. Diese Prüfung hält sich an die Regeln und ruft gesperrte Adressen nicht ab.

Grundlage: RFC 9309 (Robots Exclusion Protocol)

Welche Programme von KI-Anbietern dürfen Ihre Inhalte abrufen, und welche sind ausgeschlossen?

Die ohnehin geladene robots.txt wird gegen eine Liste von 25 bekannten Kennungen abgeglichen, nach RFC 9309 und mit exaktem Namensvergleich. Je Kennung wird ausgewiesen, ob sie vollständig gesperrt, nur auf einzelnen Pfaden gesperrt oder zugelassen ist. Dazu steht ihre Rolle: Training, Abruf bei einer konkreten Nutzerfrage oder klassischer Suchindex. Dieser Punkt beschreibt den eingestellten Zustand und bewertet ihn nicht. Ob eine Sperre Ihrem Geschäft nützt, ist eine unternehmerische Entscheidung; eine Empfehlung dazu gibt der Bericht nicht ab.

Grundlage: RFC 9309 (Robots Exclusion Protocol)

Haben Sie eine Auskunft für KI-Systeme hinterlegt (llms.txt)?

Abgefragt wird eine Datei unter /llms.txt. Damit erklären Betreiber KI-Systemen in eigenen Worten, worum es auf ihrer Website geht und welche Seiten die wichtigsten sind. Der Punkt ist bewusst ohne Bewertung: Es handelt sich um einen Vorschlag, nicht um einen Standard, und kein Anbieter sagt zu, die Datei zu lesen. Ihr Fehlen ist deshalb kein Mangel und senkt den Zustandswert nicht – dieselbe Zurückhaltung wie bei MTA-STS.

Wie viele Seiten Ihrer Website konnte dieser Prüflauf durchsehen?

Dieser Punkt berichtet über den Prüflauf selbst, nicht über einen Mangel Ihrer Website. Ausgewiesen werden die Zahl der abgerufenen Seiten und ein vorzeitiges Ende des Laufs. Vorzeitig endet er an der Obergrenze von 300 Seiten oder 4 Minuten, bei Bremssignalen des Servers und bei einer Serie von Fehlern. Für Sie ist daran nichts zu tun; die Zahl ordnet nur ein, worauf die übrigen Punkte beruhen.

Führen alle Links auf Ihrer Website zu einer existierenden Seite?

Jede intern verlinkte Adresse wird abgerufen und auf ihre Antwort geprüft. Gemeldet wird jede Adresse, die eine Fehlerseite liefert oder gar nicht antwortet, jeweils samt der Seite, auf der der Verweis steht. Verweise auf fremde Websites prüft dieser Punkt nicht; dafür gibt es eine eigene, gedeckelte Prüfung.

Zeigen Ihre internen Links direkt auf das Ziel oder auf eine Weiterleitung?

Beim Durchgang wird festgehalten, welche internen Adressen mit einer Weiterleitung antworten. Aufgeführt werden die betroffenen Adressen samt Ziel. Jede Weiterleitung kostet einen zusätzlichen Abruf und damit Ladezeit. Die Weiterleitungen selbst sollten bestehen bleiben, damit alte Lesezeichen und fremde Links weiter funktionieren.

Sind Seiten von der Google-Suche ausgeschlossen, die dort erscheinen sollten?

Je erfasster Seite wird ausgewertet, ob eine Einstellung die Aufnahme in den Suchindex verhindert. Geprüft werden beide Wege: die Angabe im Seitenkopf und die Anweisung im Antwortkopf des Servers (X-Robots-Tag). Der zweite Weg ist im Quelltext der Seite nicht sichtbar. Der jeweilige Grund steht je Seite in der Liste. Bei Danke-, Filter- und Druckseiten ist der Ausschluss gewollt, bei Leistungs- und Produktseiten in der Regel nicht. Welcher Fall vorliegt, entscheidet diese Prüfung nicht.

Ist im Seitenkopf hinterlegt, in welcher Sprache Ihre Seiten verfasst sind?

Je erfasster Seite wird geprüft, ob eine Sprache ausgezeichnet ist (lang-Attribut). Fehlt sie, wählen Vorleseprogramme unter Umständen die falsche Aussprache. Suchmaschinen ordnen die Seite dem Sprachraum weniger sicher zu. Es genügt ein einzelnes Attribut in der Seitenvorlage, für Deutsch der Wert „de".

Grundlage: WCAG 2.1, Erfolgskriterium 3.1.1

Ist Ihre Seite so eingestellt, dass sie auf einem Handy lesbar dargestellt wird?

Je erfasster Seite wird geprüft, ob im Seitenkopf die Angabe zur Skalierung auf kleinen Bildschirmen steht (Viewport). Fehlt sie, stellen Smartphones die Seite verkleinert dar. Text und Schaltflächen sind dann ohne Zoomen kaum zu bedienen. Diese Angabe ist Voraussetzung für ein mobiles Layout, ersetzt es aber nicht.

Wurden Ihre Seiten wie in einem echten Browser samt JavaScript geladen?

Für einzelne Projekte lässt sich das Laden mit einem echten Browser einschalten, damit auch per JavaScript nachgeladene Seiten gefunden werden. Voreingestellt ist der Abruf ohne Browser. Dieser Punkt weist aus, welcher Weg gelaufen ist. Lässt sich auf dem Server kein Browser starten, läuft die normale Prüfung und der Punkt sagt das.

Leiten Adressen über mehrere Zwischenstationen weiter oder sogar im Kreis?

Für bis zu 15 bereits als weiterleitend erkannte Adressen wird die Kette Schritt für Schritt verfolgt, höchstens sechs Sprünge weit. Ab zwei Sprüngen gibt es eine Warnung. Kehrt die Kette zu einer Adresse zurück, die sie schon enthält, gilt sie als Schleife und damit als kritisch. Eine lange Kette ist langsam, eine Schleife liefert überhaupt keine Seite aus.

Ist für Ihre Domain überhaupt ein Postfach erreichbar?

Abgefragt wird, ob im Namenssystem Mailserver für Ihre Domain eingetragen sind. Fehlen sie, kommen an diese Adresse gerichtete Nachrichten nicht an. Ist nur ein einziger Server eingetragen, bleiben Nachrichten bei dessen Ausfall in der Warteschlange der Absender liegen.

Grundlage: RFC 5321 (Simple Mail Transfer Protocol)

Ist festgelegt, wer in Ihrem Namen E-Mails versenden darf?

Geprüft wird die SPF-Regel Ihrer Domain: ob es genau eine gibt, wie sie mit unbekannten Absendern umgeht und wie viele Abfragen sie auslöst. Ab elf Abfragen werten empfangende Server sie als fehlerhaft und behandeln die Domain wie ohne Regel. Ein Abschluss mit „+all" erlaubt ausdrücklich jeden Absender und ist wirkungsloser als gar keine Regel.

Grundlage: RFC 7208 (Sender Policy Framework)

Ist geregelt, was mit gefälschten Nachrichten in Ihrem Namen geschehen soll?

Abgefragt wird die DMARC-Regel unter _dmarc und ihre Behandlungsangabe. Unterschieden wird dabei zwischen „none" und einer scharfen Regel: „none" bedeutet nur beobachten, gefälschte Nachrichten werden weiterhin zugestellt. In einfachen Prüfwerkzeugen sieht das trotzdem wie eine Absicherung aus. Zusätzlich wird geprüft, ob eine Berichtsadresse hinterlegt ist.

Grundlage: RFC 7489 (DMARC)

Werden Ihre Nachrichten digital unterschrieben?

Gesucht wird ein Signaturschlüssel unter den elf gebräuchlichsten Bezeichnungen. Wird keiner gefunden, ist das ausdrücklich kein Mangel und senkt den Zustandswert nicht: Die Bezeichnung ist frei wählbar und lässt sich über das Namenssystem nicht auflisten. Gemeldet wird deshalb nur ein Fund, nie ein Fehlen.

Grundlage: RFC 6376 (DomainKeys Identified Mail)

Verlangt Ihre Domain von sendenden Servern eine verschlüsselte Verbindung?

Abgefragt wird ein Eintrag unter _mta-sts. Er macht die Verschlüsselung beim Empfang verbindlich, sodass sie unterwegs nicht abgeschaltet werden kann. Diese Absicherung ist optional und kein Standard; ihr Fehlen wird deshalb beschrieben, aber nicht als Mangel gewertet.

Grundlage: RFC 8461 (MTA Strict Transport Security)

Meldet Ihre Website eine Adresse, die es nicht gibt, auch als Fehler?

Einmal je Lauf wird eine eigens erzeugte, mit Sicherheit nicht vorhandene Unteradresse abgerufen. Erwartet wird der Antwortcode 404 oder 410. Antwortet der Server mit 200 oder leitet er auf eine vorhandene Seite weiter, gilt jede vertippte Adresse als eigene Seite. Suchmaschinen nehmen sie dann als Kopien auf. Ein Serverfehler bleibt unbewertet.

Hilft Ihre Fehlerseite Besuchern weiter, statt nur leer zu bleiben?

Liefert Ihre Website eine Fehlerseite aus, wird sie auf zwei ablesbare Merkmale geprüft: einen Seitentitel und mindestens 200 Zeichen sichtbaren Text. Fehlt eines davon, gibt es eine Warnung, nie mehr. Ob die Seite inhaltlich weiterführt, ist eine redaktionelle Frage und wird hier nicht bewertet.

Stehen die E-Mail-Adressen Ihrer Website offen im Quelltext?

Je erfasster Seite wird gezählt, wie viele verschiedene Adressen als Verweis hinterlegt sind. Mehrfach genannte Adressen zählen einmal. Bis zu vier verschiedene Adressen auf einer Seite gelten ausdrücklich als in Ordnung: Eine Kontaktadresse soll auffindbar sein. Gemeldet wird erst eine Sammelliste ab fünf Adressen auf einer einzelnen Seite.

Wird Ihre Domain von mehr als einem Nameserver beantwortet?

Abgefragt werden die für Ihre Domain eingetragenen Nameserver. Ist nur einer eingetragen, ist die Domain bei dessen Ausfall für niemanden auffindbar; Website und E-Mail sind dann nicht erreichbar. Ab zwei Nameservern gilt der Punkt als in Ordnung. Liegen alle in derselben übergeordneten Domain, steht das als Hinweis im Text und nicht als eigener Mangel: Bei nahezu jedem Hoster ist das so.

Grundlage: RFC 2182 (Auswahl und Betrieb sekundärer Nameserver)

Verweist Ihre Domain auf eine Serveradresse, und gilt das auch für die Schreibweise mit „www."?

Abgefragt werden die Adresseinträge Ihrer Domain und der Schreibweise mit „www." (A- und AAAA-Einträge). Liefert die Hauptdomain keine Adresse, gilt der Punkt als kritisch: Wer den Firmennamen ohne „www." eintippt, erreicht die Website nicht. Löst allein die Schreibweise mit „www." nicht auf, ist das eine Warnung. Eine fehlgeschlagene Abfrage weist der Bericht als nicht geprüft aus, nicht als fehlenden Eintrag.

Grundlage: RFC 1035 und RFC 3596 (Adresseinträge im Namenssystem)

Ist Ihre Domain auch über die neuere Adressart erreichbar?

Abgefragt wird, ob für Ihre Domain ein Eintrag der neueren Adressart hinterlegt ist (AAAA-Eintrag für IPv6). Das Ergebnis wird ausgewiesen, aber nicht bewertet: Ein fehlender Eintrag senkt den Zustandswert nicht. Anschlüsse ohne eigene ältere Adresse erreichen Ihre Website über die Übergangstechnik ihres Anbieters. Ausgewiesen wird der Punkt trotzdem, weil öffentliche Auftraggeber und größere Unternehmen die Unterstützung in Ausschreibungen abfragen.

Grundlage: RFC 3596 (IPv6-Adresseinträge im Namenssystem)

Was deckt die Prüfung der Namensauflösung ab, und was nicht?

Dieser Punkt läuft immer mit und weist den Prüfumfang aus. Abgefragt werden ausschließlich Einträge im Namenssystem: die eingetragenen Nameserver, die Adresseinträge der Domain und der Schreibweise mit „www." sowie die neuere Adressart. Die Website selbst wird dafür nicht abgerufen; diese Prüfung erzeugt keine Last auf Ihrem Server. Nicht erfasst sind die Signierung der Namensauflösung (DNSSEC), die Antwortzeiten der Nameserver, ihre Verteilung auf verschiedene Standorte und der Abgleich mit den Angaben bei der Registrierungsstelle. Die Signierung fehlt aus einem benennbaren Grund: Die dafür nötige Satzart lässt sich mit den eingesetzten Mitteln nicht abfragen, und eine geratene Angabe wäre wertlos.

Führen Ihre Verweise auf fremde Websites noch zu einer vorhandenen Seite?

Aus dem Durchgang werden bis zu 50 verschiedene fremde Adressen abgerufen, höchstens 5 je Server und höchstens 20 Server. Gefragt wird nur nach dem Kopf der Antwort. Gemeldet wird jede Adresse mit einem Fehlercode, jeweils samt der Seite, auf der der Verweis steht. Die Codes 401 und 403 gelten nicht als Fehler.

Sind die fremden Websites, auf die Sie verweisen, überhaupt noch erreichbar?

Getrennt vom Fehlercode wird festgehalten, wenn zu einer Adresse gar keine Verbindung zustande kommt. Der belastbarste Fall ist ein Domainname, der nicht mehr hinterlegt ist: Das Angebot dahinter wurde aufgegeben. Aufgegebene Namen werden häufig neu vergeben und tragen danach fremde Inhalte.

Verweisen Sie auf fremde Seiten, die nur nach einer Anmeldung erreichbar sind?

Antwortet eine fremde Adresse mit dem Code 401 oder 403, ist die Seite vorhanden, aber nicht frei abrufbar. Das ist ausdrücklich kein Mangel und senkt den Zustandswert nicht. Ausgewiesen wird es, damit die Zahl der geprüften Adressen nachvollziehbar bleibt.

Sind die von Ihnen verlinkten fremden Adressen noch aktuell oder dauerhaft umgezogen?

Gemeldet werden nur dauerhafte Weiterleitungen mit dem Code 301 oder 308; bei 302, 303 und 307 bleibt die verlinkte Adresse die richtige. Das Ziel wird abgelesen, nicht abgerufen. Ein Wechsel von „http" auf „https" sowie „www" und ein Schrägstrich am Ende bleiben außen vor.

Wie viele Ihrer Verweise auf fremde Websites wurden in diesem Lauf abgerufen?

Dieser Punkt berichtet über den Prüflauf selbst, nicht über einen Mangel Ihrer Website. Ausgewiesen werden die Zahl der gefundenen fremden Adressen, die Zahl der abgerufenen und der Grund für jede Auslassung: Obergrenze, Sperre in der robots.txt der fremden Website oder Zeitbudget. Nicht abgerufen heißt nicht bewertet.

Sind die Bilder, Skripte und Formatvorlagen Ihrer Seiten wirklich vorhanden?

Aus dem Quelltext werden die eingebundenen Dateien gesammelt und ein gedeckelter Ausschnitt davon abgerufen – zuerst nur der Antwortkopf, ohne Inhalt. Geprüft werden ausschließlich Dateien Ihrer eigenen Domain samt Unterdomains; Dateien fremder Anbieter bleiben außen vor. Fehlt eine Formatvorlage oder ein Skript, gilt der Punkt als kritisch: Die Seite sieht dann anders aus als vorgesehen oder eine Funktion fällt aus. Ein fehlendes Bild gilt als Warnung.

Werden eingebundene Dateien über Umwege geladen?

Beim Abruf werden Weiterleitungen verfolgt und gezählt, bis zu fünf Sprünge. Gemeldet wird jede Datei, die nicht direkt erreichbar ist – häufigste Ursachen sind Einbindungen über „www.", über eine andere Unterdomain oder noch über „http://". Jeder Sprung ist eine zusätzliche Anfrage bei jedem Seitenaufruf, für jeden Besucher. Eine Umleitung im Kreis oder mehr als fünf Sprünge gelten als kritisch: Die Datei wird dann nie geladen.

Wie viele eingebundene Dateien wurden tatsächlich abgerufen?

Diese Prüfung stellt keinen Mangel fest, sondern ordnet die vorherigen ein. Das Budget zählt Abrufe, nicht Adressen: Eine Datei mit drei Weiterleitungen verbraucht drei davon. Eine Website mit umständlichen Umleitungsketten bekommt dadurch weniger Adressen geprüft – dieselbe Rücksicht, die sie auch ihren Besuchern schuldig bleibt. Höchstens 150 Abrufe je Lauf, verteilt über die Zeit statt in einer Salve.

Ist angegeben, in welcher Zeichenkodierung Ihre Seiten verfasst sind?

Je erfasster Seite wird geprüft, ob die Kodierung im Seitenkopf oder im Antwortkopf des Servers angegeben ist. Fehlt sie an beiden Stellen, muss der Browser sie raten. Rät er falsch, erscheinen Umlaute als Zeichensalat – aus „Grünanlagen" wird „Grünanlagen". Auf dem eigenen Gerät fällt das oft nicht auf, weil der Browser die richtige Deutung gespeichert hat.

Leiten einzelne Seiten über eine veraltete Angabe im Seitenkopf weiter?

Je erfasster Seite wird geprüft, ob im Seitenkopf eine Weiterleitung hinterlegt ist. Diese Form ist veraltet: Suchmaschinen werten sie unzuverlässig aus, und wer die Seite vorlesen lässt oder vergrößert hat, wird ohne Vorwarnung fortgerissen. Weiterleitungen gehören stattdessen als dauerhafte Anweisung auf den Server.

Entspricht der Quelltext Ihrer Startseite dem HTML-Standard?

Der Quelltext der Startseite wird dem Prüfdienst des W3C vorgelegt und dessen Fehlermeldungen werden mit Zeilenangabe aufgeführt. Übertragen wird dabei der Quelltext, den unsere Prüfung ohnehin geladen hat – Ihr Server erhält dadurch keine zusätzliche Anfrage, und der Prüfdienst erfährt Ihre Adresse nicht. Hinweise ohne Fehlercharakter werden gezählt, aber nicht bewertet. Geprüft wird die Startseite, nicht der gesamte Bestand. Der Punkt gilt nie als kritisch: Browser sind gegenüber fehlerhaftem HTML nachsichtig, reparieren aber jeder auf eigene Weise.

Grundlage: Nu HTML Checker des W3C (validator.w3.org)

Geben sich Ihre Seiten am Anfang des Quelltexts als heutiges HTML zu erkennen?

Je erfasster Seite wird geprüft, ob die Typangabe („<!doctype html>") vorhanden ist. Fehlt sie, stellen Browser die Seite in einem veralteten Modus dar: Abstände, Tabellen und Größenangaben verhalten sich dort anders. Das erklärt Darstellungsfehler, die sich sonst keiner Ursache zuordnen lassen. Die Behebung ist eine Zeile in der Seitenvorlage.