Unbekannte URL-Parameter

URL-Tracking

URLs enthalten nicht nur Parameter, deren Bedeutung leicht zu verstehen ist.

Bei manchen, etwa utm_source und gclid, lässt sich ein Tracking-Zweck leicht vermuten. Andere wie id, token, cid, source, ref und session sind allein durch Hinsehen schwer zu beurteilen.

Wenn man einen unbekannten Parameter sieht, ist sowohl "ich kenne ihn nicht, also kann ich ihn löschen" als auch "ich kenne ihn nicht, also kann ich ihn stehen lassen" gefährlich.

Für Anonymität ist wichtig zu trennen, ob der Wert zum Anzeigen der Seite nötig ist oder ob er zur Identifizierung von Nutzenden oder Wegen verwendet wird.

Dieser Artikel ordnet, wie man unbekannte URL-Parameter liest und beurteilt.

Was sind unbekannte Parameter?

Unbekannte Parameter sind Werte in einer URL, deren Zweck aus dem Namen allein schwer zu beurteilen ist.

Zum Beispiel solche Zeichenfolgen:

sample.test/page?id=123&cid=abc&token=xyz

Hier ist sample.test eine Zeichenfolge zur Erklärung.

id=123 kann eine Artikel-ID sein. Es kann eine Produkt-ID sein. Es kann eine nutzerbezogene ID sein.

cid=abc kann eine Kampagnen-ID sein. Es kann eine Kunden-ID sein.

token=xyz kann ein temporäres Zugriffsrecht oder ein sitzungsnaher Wert sein.

Aus dem Namen allein lässt sich das nicht entscheiden.

Deshalb sollten unbekannte Parameter als etwas behandelt werden, dessen Bedeutung man erschließt, dessen Verhalten man prüft und dessen URL man nötigenfalls nicht teilt.

Parameter nach Kategorien einordnen

Unbekannte Parameter werden leichter beurteilbar, wenn man sie in mehrere Typen trennt.

Typ	Beispiel	Umgang
Für Anzeige nötiger Wert	id, page, q, category	Entfernen kann den Inhalt ändern
Trackingähnlicher Wert	cid, campaign, source, ref	Kann für das Teilen unnötig sein
Individuell-identifizierender Wert	uid, user, visitor, client	Wird zum Hinweis nahe an Nutzer oder Gerät
Authentifizierungs- oder Temporärlink-Wert	token, session, sid, key	Nicht öffentlich teilen priorisieren
Unklarer langer Wert	Zufällige alphanumerische Zeichenfolge	Vorsichtig behandeln, weil individuell ausgegeben möglich

Diese Einteilung ist kein vollständiges Urteil.

Sie ist aber sicherer als gedankenloses Einfügen.

Besonders Werte wie token, session, sid und key behandelt man vorsichtig. Es können URLs mit Loginzustand oder temporärem Zugriff sein, nicht Freigabe-URLs.

Prüfen, ob Entfernen möglich ist

Bei unbekannten Parametern entfernt man sie tatsächlich und prüft.

Wenn man aber nur im üblichen eingeloggten Browser prüft, kann man falsch urteilen.

Reihenfolge	Was geprüft wird	Grund
1	Parameternamen ansehen	Vermuten, ob näher an Tracking, Anzeige oder Authentifizierung
2	Nacheinander entfernen	Trennen, welche Werte für die Anzeige nötig sind
3	In anderem Browser öffnen	Einfluss von s und Loginstatus verringern
4	Ausgeloggt öffnen	Prüfen, ob die URL auch für andere sichtbar ist
5	Wenn unbekannter langer Wert bleibt, nicht teilen	Möglichkeit eines individuellen Links vermeiden

Wenn man alles auf einmal entfernt, weiß man nicht mehr, welcher Wert nötig war.

Werte nacheinander zu entfernen macht es leichter, für die Anzeige nötige Werte von unnötigen Werten zu trennen.

Situationen, in denen unbekannte Werte gefährlich werden

Unbekannte Parameter sind nicht nur problematisch, wenn der Wert selbst lesbare personenbezogene Information ist.

Auch zufällig wirkende alphanumerische Zeichenfolgen können im Dienst mit einer bestimmten Person, Zustellung, Einladung, einem Klick oder einer Sitzung verbunden sein.

Situation	Was geschieht
Individueller E-Mail-Link	Ein Wert kann zeigen, an wen die E-Mail gesendet wurde
Einladungslink	Einladende oder eingeladene Person kann protokolliert werden
Link mit begrenztem Zugriff	Nur Menschen mit URL können ihn sehen
Kauf- oder Antragsabschlussseite	Bestell- oder antragsnahe Information kann in der URL bleiben
Admin- oder Vorschauseite	Nicht für Veröffentlichung gedachte Seite wird geteilt

Wenn man solche URLs von einem anonymen Konto teilt, entsteht Korrelation auf URL-Seite, auch wenn das Netzwerk verborgen ist.

und entfernen keine in URLs eingebetteten Kennungen.

Zeichen, dass man nicht teilen sollte

Manche unbekannten Parameter sollten schon vor dem Versuch des Entfernens dazu führen, nicht zu teilen.

In den folgenden Fällen sucht man besser eine getrennte URL von der öffentlichen Seite oder dem offiziellen Teilen-Button, statt die URL gewaltsam in Form zu bringen.

Zeichen	Grund
Enthält token, session oder sid	Kann nahe an temporärem Zustand oder Authentifizierung sein
URL ist extrem lang	Kann viel individuellen Zustand oder Trackinginformation enthalten
Öffnet nur im eingeloggten Zustand	Kann eine persönliche, für andere unsichtbare Seite sein
Enthält Wörter zu admin, edit oder preview	Kann keine öffentliche URL sein
Inhalt ändert sich stark, wenn ein Wert entfernt wird	Der Wert hängt stark mit dem Seiteninhalt zusammen

Für Anonymität ist wichtig, Unverstandenes nicht als sicher zu behandeln.

"Ich verstehe es nicht richtig, aber es wird schon passen" ist ein gefährliches Urteil.

Häufige Missverständnisse

Bei unbekannten Parametern gibt es häufige Missverständnisse.

Das erste ist, dass ein zufälliger alphanumerischer Wert keine Bedeutung habe.

Tatsächlich kann ein Wert umso eher intern als individueller Identifier genutzt werden, je zufälliger er wirkt.

Ein weiteres Missverständnis ist, dass es kein Problem gebe, solange der eigene Name nicht enthalten ist.

Für Anonymität sind Namen nicht das einzige Problem. Individuell ausgegebene Links, E-Mail-Zustell-IDs, Einladungs-IDs und Session-IDs verbinden sich mit dienstseitigen Protokollen.

Schließlich gibt es das Missverständnis, dass eine Kurz-URL sicher mache.

Eine Kurz-URL macht nur die Ansicht kürzer. Wenn unbekannte Parameter am entfalteten Ziel bleiben, ist das Problem nicht verschwunden.

Praktisches Urteil

Wenn man einen unbekannten Parameter sieht, urteilt man so:

Prüfen, ob der Wert für Anzeige nötig wirkt
Tracking-, Referral- oder kampagnenähnliche Werte als Entfernungskandidaten behandeln
Werte wie token, session, sid und key bevorzugt nicht teilen
Nach dem Entfernen eines Werts die URL in einem anderen Browser erneut öffnen
Wenn unbekannte Werte bleiben, nach einer offiziellen Teilen-URL suchen

Dieses Urteil kann mühsam wirken.

Eine anonym geteilte URL ist jedoch Teil des Beitragstextes.

Wenn man den Text erneut liest, muss man auch die URL erneut lesen.

Zusammenfassung

Unbekannte URL-Parameter sind Werte in einer URL, deren Zweck aus dem Namen allein schwer zu beurteilen ist.

Werte wie id, cid, ref, token und session müssen darauf geprüft werden, ob sie Anzeige, Tracking, individuelle Identifizierung oder Authentifizierung betreffen.

Man entscheidet nicht sofort, dass unbekannte Werte gelöscht werden können oder stehen bleiben dürfen.

Man entfernt sie nacheinander, prüft in anderem Browser oder ausgeloggt und verringert Werte, die für das Teilen unnötig sind.

Besonders bei Werten wie token, session, sid oder key priorisiert man, nicht zu teilen.

Kleine Werte in URLs können sich mit dienstseitigen Protokollen oder Zugriffszeiten verbinden.

Für Anonymität ist wichtig, unbekannte Werte nicht ungeprüft zu lassen.

Learn