Changelog
Alle Releases und funktionalen Änderungen der XICTRAQ-Plattform. Bei Breaking Changes informieren wir mindestens 30 Tage im Voraus per E-Mail.
# Oktober 2026 — Bestellimport aus Shopware 6
E-Commerce und Shopdaten
- Bestellimport aus Shopware 6 — Über die Admin-API mit acht reinen Leserechten holt XICTRAQ den ganzen Bestellverlauf und danach alle zehn Minuten neue und geänderte Bestellungen, auch die im Shop-Admin angelegten. Vom Tracker erfasste Käufe zählen nicht doppelt. Importierte Bestellungen zählen in Umsatz, Bestellungen, Produkten, Finanzen und Berichten, nicht in Conversion-Rate, Funnel und ROAS. Ab Business. Anleitung
- Shopdaten in den Tracker-Käufen — Positionen zugeordneter Bestellungen kommen aus dem Shop, mit genauer Menge, Artikelnummer und Variante und ohne Rabattzeilen. Fehlt einem Tracker-Kauf die Zahlungs- oder Versandart, gilt die Angabe aus dem Shop. Kunden aus Tracker und Import mit derselben Kundennummer erscheinen als ein Kunde.
- Neun neue Karten mit den Shopdaten — Im Karten-Picker unter Analytics · E-Commerce › Shop-Bestellungen (Import): Bestellungen nach Herkunft, Erfassungsquote des Trackers, Stornierungen, Bestell- und Lieferstatus, Offene Zahlungen, Erstattungen laut Shop, Umsatz je Verkaufskanal, Bestellimport und Wiederkäufer. Per API unter /websites/:id/shop/summary und /websites/:id/shop/orders.
- Bestellverlauf nach Herkunft und Shop-Status — Filter für Tracker, Import und Shop-Admin sowie für den Stand von Bestellung, Zahlung und Versand in Shopware, mit Zählern über den ganzen Zeitraum.
- Websites nur mit Bestellimport — Hat eine Website noch keinen Seitenaufruf, aber importierte Bestellungen, öffnet Analytics den E-Commerce-Bereich.
Tracker
- Tracker über die eigene Domain — Der nginx-Block in App und Doku verbirgt jetzt die HSTS-Regel von api.xictraq.com, überschreibt X-Forwarded-For mit der Adresse, die Ihr Server sieht, nimmt Aufzeichnungen bis 20 MB an und bricht bei einer Störung nach Sekunden statt nach einer Minute ab. Block ansehen
Websites und Analytics
- Websites-Liste nach Gruppen — Gruppen stehen offen, zugeklappte merkt sich die Liste; „Alle aufklappen“ und „Alle zuklappen“ schalten alle auf einmal. Der Gruppenkopf zeigt Status, Uptime der letzten 30 Tage, Sicherheitsnote und den nächsten SSL-Ablauf als beschriftete Spalten und führt zur Gruppenübersicht in Analytics.
- Internetanbieter mit Markendomain — Netznamen der Anbieter im Reverse-DNS, oft Altmarken wie arcor-ip.net oder d1-online.com, erscheinen als Domain der Marke; Geschäftsanschlüsse mit eigenem Namen bleiben unverändert. Acht Netze tragen jetzt den Namen der Marke, unter der ihre Anschlüsse laufen, und iCloud Private Relay zählt als Relay statt als Rechenzentrum.
Alarme
- JavaScript-Fehler-Alarme — Je Fehlermeldung ein eigener Alarm mit dem Fehlertext im Titel, der Dateiname ohne Zeitstempel und Build-Kennung, sodass derselbe Fehler über neue Builds hinweg ein Alarm bleibt. Kategorie „Performance und JS-Fehler“.
- Erfassungsquote und Import-Alarme — Fällt der Anteil der Online-Bestellungen, die der Tracker erfasst, über drei Tage unter 80 % des eigenen 28-Tage-Werts, meldet XICTRAQ das als Hinweis. Scheitert der Bestellimport zweimal mit demselben Fehler oder gelingt eine Stunde lang kein Abgleich, kommt der Alarm „Bestellimport fehlgeschlagen“, mit Entwarnung beim nächsten Erfolg.
v1.1 — Eigene Domain für Statusseiten
Statusseiten
- Eigene Domain freigeschaltet — Eine Statusseite läuft jetzt unter Ihrer eigenen Adresse, zum Beispiel status.example.com. Buchbar als Add-on für 5 € pro Domain und Monat, monatlich kündbar, in jedem Plan, Menge 1 bis 25.
- Zwei DNS-Wege — CNAME auf status.xictraq.com, oder A- und AAAA-Eintrag auf unsere Edge-Adressen, wenn Ihr Anbieter an dieser Stelle keinen CNAME zulässt. Beide Ziele stehen zum Kopieren in der Statusseiten-Verwaltung.
- Zertifikat automatisch — Das TLS-Zertifikat wird ausgestellt, sobald der DNS-Eintrag auf uns zeigt. Kein Upload, keine Verlängerung von Hand.
- Prüfung misst die Erreichbarkeit — Bestätigt wird nur, was wirklich auf uns zeigt. Ein reiner Besitznachweis über einen TXT-Eintrag genügt nicht mehr, weil er eine Domain freigeschaltet hätte, für die kein Zertifikat ausstellbar ist.
v1.0 — Initial Release
Uptime & Verfügbarkeit
- Multi-Location-Monitoring — Checks aus 3 EU-Rechenzentren (Nürnberg, Helsinki, Falkenstein). 2-von-3 Konsens verhindert Fehlalarme.
- Flexible Intervalle — 30 Sekunden bis 5 Minuten, planabhängig. HTTP und TCP-Checks.
- SLA-Filter — Wartungsfenster ausblenden, Uptime-Prozent korrekt berechnen.
- Timing-Wasserfall — DNS, TCP, TLS, TTFB aufgeschlüsselt pro Check.
- Heartbeat-Monitoring — Ping-URLs für Cron-Jobs, Backups und Batch-Prozesse. Alert bei Ausbleiben.
Security & Compliance
- SSL/TLS-Überwachung — Chain-Validierung, gestaffelte Ablaufwarnungen ab der eingestellten Vorwarnzeit, Issuer-Wechsel-Erkennung.
- Security-Header-Audit — HSTS, CSP, X-Frame-Options, Referrer-Policy, Permissions-Policy. Score 0–100.
- CSP-Wizard — Automatische Whitelist-Generierung aus Live-Scan. Copy-paste-fertige Snippets für Nginx, Apache, Caddy, Express.
- DSGVO-Compliance — Pre-Consent-Tracker-Erkennung, Cookie-Banner-Check, Impressum-Validierung, Google-Fonts-Check. Täglicher Cron.
- BFSG/WCAG-2.2 — Barrierefreiheits-Scan via axe-core mit Score und konkreten Findings.
- DNSSEC-Monitoring — DS/DNSKEY-Prüfung, AD-Bit-Validierung, Änderungserkennung.
- Blacklist-Check — Spamhaus, Barracuda, CBL/Abuseat und weitere DNSBL-Listen. Täglicher Scan.
- Defacement-Erkennung (mehrschichtig) — Drei Signal-Schichten (Pixel-Diff, normalisierter HTML-Hash, DOM-Element-Fingerprint mit externen Skript-/iframe-Hosts) korreliert zu einem Score 0–100. Lernphase über 3 Läufe, opt-in pro Website, Alert ab Score 60 (Severity kritisch), Auto-Resolve. Changelog-Typ “defacement”. Ab Starter.
- Script-Integrity / Magecart-Watch — SHA-256-Fingerprint überwachter Dritt-Skripte, alle 10 Minuten neu geprüft; Alert bei unangekündigter Änderung (Supply-Chain/Magecart). Ab Business.
- Certificate-Transparency-Watch — Neue Zertifikate aus CT-Logs (crt.sh) werden gegen Marken- und Lookalike-Muster geprüft — Phishing-Frühwarnung plus Zertifikats-Inventar. Ab Business.
- DNS & E-Mail-Authentifizierung — SPF, DKIM, DMARC, MX und DNS-Records sowie Domain-Ablauf (RDAP) mit Vorwarnung.
EU-Regulatorik (NIS2 & CRA)
- NIS2-Meldepflichten — Incident-Erfassung mit den gesetzlichen Fristen (24 h Frühwarnung, 72 h Meldung, 1 Monat nach der Meldung Abschlussbericht) und automatischen Fristen-Erinnerungen. Ab Business.
- CRA-Komponenten-Cockpit — Cyber Resilience Act: Inventar der eingesetzten Komponenten (Tech-Stack-Heuristik), Erkennung veralteter Versionen und ein Alarm ab Schweregrad „high“, der den Vorlauf zur nächsten CRA-Frist mitnennt (90/30/7 Tage). Ab Business.
Analytics (cookielos, DSGVO-konform)
- Cookielose Messung — Pageviews, Sessions, Geräte, Geo, Channels, UTM — kein Cookie-Banner nötig (§ 25 Abs. 2 Nr. 2 TDDDG).
- Click-Heatmaps — Screenshot-Overlay mit Click-Positionen und Scroll-Depth.
- Session-Recordings — rrweb-basiert, CSS inline eingebettet, Privacy-Maskierung, eigene Domain.
- Form-Analytics — Feld-Drop-off, Conversion-Funnels, Submission-Rate pro Formular.
- Media-Analytics — Video/Audio-Engagement: Play, Pause, 25/50/75 %-Progress, Completion.
- A/B-Testing — Two-Proportion z-Test, Uplift mit 95 %-Konfidenzintervall, automatische Signifikanz-Erkennung.
- E-Commerce Auto-Tracking — 25+ Shop-Systeme automatisch erkannt (WooCommerce, Shopify, Shopware, Magento, PrestaShop, etc.). Revenue, Produkt-Ansichten, Warenkorb, Checkout.
- Web Vitals — LCP, CLS, INP aus Real-User-Daten. Performance-Budgets mit Alert bei Überschreitung.
- Automated Insights — Statistisch auffällige Abweichungen bei Traffic, Absprungrate, JavaScript-Fehlern, Ladezeit, Verweisquellen, Herkunftsland und Geräte-Mix, in Shops zusätzlich bei Bestellungen, Umsatz und Erfassungsquote.
- 10 Dashboard-Tabs — Übersicht, Besucher, Seiten, Quellen, Heatmap, E-Commerce, Performance, Conversions, Aufnahmen, Einstellungen.
- Nutzer-Identifikation — Anonyme Sessions per pseudonymer Kunden-/Shop-ID mit CRM oder Shop verknüpfen — automatisch für Shopware, Shopify, WooCommerce u. a. oder manuell via xictraq.identify(). Ohne Klarnamen/PII, sessionsübergreifend.
- Attribution & ROAS — First-/Last-Click-Modelle, Kanal-Journey und Klick-ID-Erfassung (gclid, fbclid …); Ad-Spend eingeben und ROAS je Kampagne sehen.
- User-Flow & Transitions — Sankey-Nutzerfluss über die ersten Schritte plus Ein- und Ausgänge je Einzel-URL.
- Matomo-Import — Bestehende Matomo-Daten importieren — dedupliziert, mit GeoIP- und Bot-Anreicherung, idempotent.
KI-Sichtbarkeit (Share of Model)
- Share of Model — Misst, ob und wie Ihre Marke in den Antworten großer KI-Modelle auftaucht — periodische Prüfläufe je Themen-/Prompt-Profil, Sichtbarkeits-Score und Verlauf. Ausgewertet über ein eigenes, EU-gehostetes Modell. Ab Business.
Dashboard & Freigabe
- Konfigurierbares Dashboard — Drag-and-Drop-Karten aus über 160 Bausteinen, größenverstellbar, mehrere benannte Layouts pro Konto.
- Share-Links — Analytics- und Monitoring-Ansichten read-only per Link teilen — ohne Login, mit eigenem, dauerhaft gespeichertem und konfigurierbarem Dashboard je Link.
Incidents & Alerting
- Incidents — Auto-Erstellung bei kritischen Alerts. Lebenszyklus: Offen → Bestätigt → Behoben. Timeline, Kommentare, Root-Cause, Postmortem-PDF.
- 7 Alert-Kanäle — E-Mail, Slack, Discord, Microsoft Teams, Telegram, Webhook (HMAC-signiert), Browser-Push.
- Deduplizierung — 10-Minuten-Fenster + 24h-Cooldown für persistente Alert-Typen. Kein Spam bei Flapping.
- On-Call-Eskalation — Mehrstufig, Schedules, Urlaubs-Override, Übergabe-Benachrichtigung.
- Auto-Resolve — Incidents werden automatisch geschlossen wenn alle verknüpften Alerts resolved sind.
Konkurrenz-Tracking
- 22 Scan-Sektionen — Uptime, SSL, Security, SEO, DSGVO, Tech-Stack, OG-Tags, Content, Careers, Web Vitals, Accessibility, Ads, Page-Weight, E-Mail-Infra u.a.
- Auto-Discovery — Wettbewerber per Branche + PLZ finden (OpenStreetMap + Google Places). Auch ohne PLZ überregional.
- Gesamtbewertung — Score 0–100 aus Security, DSGVO, Barrierefreiheit, Performance, SSL. Als Leaderboard-Default.
- Aktivitäts-Heatmap — 12-Wochen-Visualisierung der Änderungsfrequenz pro Konkurrent.
- Change-Detection — Konkrete Diffs: Tech-Stack-Änderungen, Schema.org-Typen, Sitemap-URL-Diffs, IP-Wechsel (DNS-basiert, CDN-tolerant).
- Export — CSV, JSONL und Benchmark-PDF-Report.
Brand Protection
- 8 Erkennungs-Techniken — TLD-Swap, Buchstabe fehlt, Vertauschung, Keyboard-Tippfehler, Bindestrich, Homoglyphen (l→1, o→0, rn→m), Bitflips, Phishing-Prefix/-Suffix.
- DNS-Registrierungserkennung — Täglicher Cron prüft bis 200 Varianten per A-Record-Lookup.
- Allowlist — Eigene legitime Domains (z.B. Alias-Domains) als "ignorieren" markieren.
- Dashboard-UI — Scan-Button, Stats-Kacheln, registrierte Domains hervorgehoben, freie Varianten aufklappbar.
SEO & Content
- Keyword-Ranking — Tägliches Position-Tracking, Visibility-Index und Wettbewerber-Vergleich. Ab Business, noch nicht freigeschaltet.
- Sitemap-Health — Wöchentlicher HEAD-Check bis 50 URLs. Broken/Redirect-Erkennung.
- Schema.org-Validierung — Pflichtfeld-Prüfung pro @type bei jedem Compliance-Scan.
- Visual-Diff — Screenshot-Vergleich pro Scan, Pixel-Diff, Auto-Alert bei Defacement.
Reporting & Status
- PDF-Reports — Wöchentlich/monatlich, automatischer Versand an bis zu 20 Empfänger, 8–24 Seiten, alle Module.
- Status-Pages — Pro Kunde mit Subscriber (Double-Opt-in), RSS, einbettbarem Widget (Badge/Banner/Card).
- White-Label — Logo, Farben, Firmenname in Reports, Status-Pages und E-Mails (Agency-Plan).
Datenexport & API
- JSONL-Export — 6 Report-Typen (Pages, Referrers, Visits, Uptime, Scans, Alerts). Maschinenlesbar für BI-Tools und ML-Pipelines.
- CSV-Export — Analytics, Konkurrenz-Daten, Rechnungen.
- REST-API — Sanctum-Token-Auth, alle Endpoints dokumentiert, HMAC-signierte Webhooks für Alerts und Incidents.
- Browser-Monitoring — Playwright-Skripte für Login-Flows, Checkouts. Chrome-Recorder-Import.
- API-Monitoring — JSON-Schema-Assertions, Auth-Support, Latency-Budgets, Multi-Step-Chains.
- Geo-API — Eigenes IP-Geo-System (Land/Region/Stadt plus ISP/ASN, RIR-basiert) per API abfragbar — kein MaxMind, EU-Daten.
Kostenlose Tools
- 59 Tools — 43 Server-Checks (DNS, SSL, Security-Score, Mail, Whois, Pagespeed, Broken Links, Redirects, Sitemap, Tech-Stack, BFSG, Datenschutz, Cookies, 10 Geo-Tools, etc.) + 16 Browser-Helfer (JWT, JSON, JSONL-Validator, Encoder, UUID, Regex, Cron, etc.).
- Keine Anmeldung — Alle Tools ohne Account nutzbar, EU-gehostet, kein Tracking.
Team & Account
- Team-Management — Mitglieder einladen mit Rollen (Admin, Bearbeiter, Betrachter). Client-Portal für Kunden (Read-only).
- Sicherheit — 2FA (TOTP + Passkeys/WebAuthn), Login-Historie, aktive Sessions mit Revoke.
- KI-Chat-Assistent — Live-Daten-Zugriff, URL-spezifische Vorschläge, Mutations mit Bestätigung.
- 4 Pläne — Free (1 Site), Starter (3 Sites, ab 12 €/Monat, monatlich kündbar), Business (10 Sites, ab 29 €/Monat, monatlich kündbar), Agency (50 Sites, ab 79 €/Monat, monatlich kündbar). Dauerhaft kostenloser Free-Plan zum Einstieg.
Häufige Fragen
Funktionale Änderungen mit Auswirkung auf bestehende Integrationen kündigen wir mindestens 30 Tage im Voraus per E-Mail an. Additive Features (neue Endpoints, neue Felder) erscheinen ohne Vorlauf, weil sie bestehende Aufrufe nicht brechen.