Einbetten und Authentifizierung

Reiter Widget und Embed & Auth. Damit stellen Sie einen Endpunkt als Chatfenster auf einer Webseite bereit.

Herkunftsfreigabe

Im Reiter Embed & Auth unter CORS-Origin-Allowlist tragen Sie die Adressen der Webseiten ein, in die das Fenster eingebettet wird — also die Seiten Ihres Auftritts, nicht die Adresse der Plattform. Eingetragen wird die Herkunft ohne Pfad, etwa https://www.beispiel.gv.at.

Die Plattform selbst ist immer zugelassen; deshalb funktioniert die Vorschau im Editor auch ohne Eintrag.

Das Verfahren ist fail-closed: Aufrufe ohne passende Herkunft werden abgewiesen. Das ist der eigentliche Schutz eines öffentlichen Schlüssels — ohne diese Liste könnte jede fremde Seite Ihr Kontingent verbrauchen.

Tragen Sie ein, was Sie tatsächlich brauchen — nicht vorsorglich ganze Domains.

Das Chatfenster erscheint nur auf freigegebenen Seiten. Die Schaltfläche, die das Fenster öffnet, wird erst angezeigt, wenn der Endpunkt der Seite seine Konfiguration herausgegeben hat — dann gleich in Ihren Farben und mit Ihrem Symbol. Auf einer Seite, deren Herkunft nicht in der Liste steht, bleibt sie unsichtbar, ebenso wenn der Endpunkt nicht erreichbar ist. Fehlt das Chatfenster auf einer Ihrer Seiten, prüfen Sie zuerst, ob deren Herkunft genau so eingetragen ist, wie sie im Browser steht (Schema, Host, gegebenenfalls Port).

Adressfreigabe

Optional lässt sich unter IP-Allowlist (CIDR) zusätzlich einschränken, von welchen Netzadressen Aufrufe angenommen werden. Sinnvoll bei rein internen Anwendungen; bei öffentlichen Angeboten in der Regel nicht praktikabel.

Externe Anmeldung

Sollen die Nutzenden identifiziert sein, kann der Endpunkt ein Anmeldemerkmal Ihres eigenen Identitätsdienstes entgegennehmen und prüfen.

• Die Prüfung erfolgt gegen den Schlüsselverzeichnis-Endpunkt Ihres Identitätsdienstes.
• Verfahren mit gemeinsamem Geheimnis werden nicht unterstützt — es muss ein Verfahren mit öffentlichem Schlüssel sein.

Das ist die Voraussetzung dafür, dass ein Endpunkt personenbezogen arbeiten darf — etwa im Bildungs- oder Beschäftigungskontext.

Das Einbettungs-Schnipsel

Ist alles konfiguriert, liefert der Editor ein fertiges Schnipsel zum Kopieren. Ihre Webredaktion fügt es in die Seite ein.

Daneben, im selben Reiter, verwalten Sie die öffentlichen Schlüssel des Endpunkts — anlegen, wechseln, sperren (siehe Schlüssel verwalten). Sie gehören hierher, weil sie genau hier gebraucht werden: im Browser, geschützt durch die Herkunftsfreigabe.

Zwei Dinge, die dabei regelmäßig übersehen werden:

1. Die Sicherheitsrichtlinie Ihrer Webseite. Viele Auftritte erlauben nur Inhalte von der eigenen Domain. Dann muss die Einbettung dort ausdrücklich zugelassen werden, sonst erscheint das Fenster schlicht nicht. Klären Sie das früh mit Ihrer Webredaktion.
2. Der Farbkontrast. Die Farben lassen sich an Ihr Erscheinungsbild anpassen — der Editor prüft dabei den Kontrast. Ein zu blasser Hausfarbton fällt durch und muss nachgebessert werden.

Der KI-Hinweis im Fenster

Das Fenster zeigt über der Unterhaltung immer einen festen Satz, dass die Nutzenden mit einem KI-System sprechen und die Antworten fehlerhaft sein können. Dieser Satz lässt sich weder abschalten noch ersetzen.

Ihren eigenen Hinweistext — etwa zur Datenverarbeitung — tragen Sie im Reiter Widget im Feld DSGVO-Consent-Banner ein. Trotz des Namens ist das kein Zustimmungsdialog: Der Text erscheint im Fenster zusätzlich zum festen Satz. Erlaubt sind Text, einfache Hervorhebungen, Listen und Links mit vollständiger Adresse (https://…, mailto:, tel:); Bilder und andere eingebettete Inhalte werden nicht angezeigt.

Bedienung durch die Nutzenden

Das Fenster ist vollständig mit der Tastatur bedienbar und für Screenreader ausgezeichnet. Prüfen Sie das nach dem Einbetten in Ihrer eigenen Seite — die umgebende Seite kann die Bedienbarkeit beeinträchtigen, etwa durch abgefangene Tasteneingaben.

Datenschutz bei anonymer Nutzung

Bietet Ihr Endpunkt anonyme Nutzung an, brauchen die Nutzenden einen Weg, ihre Rechte auszuüben, obwohl sie kein Konto haben. Dafür gibt es eine Selbstbedienung im Fenster.

Klären Sie mit Ihrer Datenschutzkoordination:

• Welcher Hinweis vor der ersten Nachricht erscheint.
• Wie lange die Unterhaltungen aufbewahrt werden.
• Wohin sich jemand wenden kann, der mehr wissen will.

Die Auswertung

Sie sehen die Interaktionen Ihres Endpunkts in der Verwaltung — Verbrauch, Fehler und Rückmeldungen.

Nutzen Sie das nach dem Start regelmäßig: Ein öffentlich eingebetteter Endpunkt bekommt Fragen, die Sie nicht vorhergesehen haben. Die ersten Wochen zeigen, ob Anweisung, Wissensbindung und Ablehnungsregeln zusammenpassen.