Schnellstart

# 1. Registrierung

Die Registrierung ist kostenlos und erfordert keine Kreditkarte. Sie starten automatisch im Free-Plan (1 Website, 5-Min-Intervall). Wenn Sie später ein Abonnement (Starter/Business/Agency) abschließen, startet Stripe einen 14-Tage-Trial — kündbar vor Ablauf ohne Belastung. Die Anmeldung dauert unter einer Minute — klassisch per E-Mail + Passwort (mind. 10 Zeichen) oder per OAuth mit Google. Apple und Microsoft sind implementiert, aber noch nicht freigeschaltet.

# 2. Onboarding-Wizard

Die Karte „Erste Schritte“ auf dem Dashboard öffnet den Assistenten, der in vier Schritten durch die Erstkonfiguration führt — jeder Schritt ist überspringbar.

1. 1
   Website-URL eingeben

   Zum Beispiel https://www.example.com (Name optional). Die Website wird sofort angelegt, Weiterleitungen werden auf die finale Canonical-URL aufgelöst.
2. 2
   Domain bestätigen, dann erster Scan

   Der Assistent zeigt die drei Wege der Domain-Bestätigung (DNS-TXT-Eintrag, Meta-Tag oder HTML-Datei). Nach „Jetzt prüfen“ startet er einen Live-Scan und zeigt vier Ergebnisse: Erreichbarkeit mit Antwortzeit, SSL-Zertifikat mit Restlaufzeit, Security-Score und Performance-Score (je 0–100). Mit „Später bestätigen“ geht es ohne Scan weiter; die Anleitung steht dann auf der Seite der Website. Schlägt ein Teil des Scans fehl, bleibt die Website angelegt — der nächste automatische Scan aktualisiert die Werte.
3. 3
   Benachrichtigungs-Kanäle wählen

   E-Mail ist Standard; ohne eigene Adresse gehen Alarme an die Adresse des Kontos. Slack, Microsoft Teams, Discord, Telegram und Webhook richten Sie unter Einstellungen › Benachrichtigungen ein.
4. 4
   Team einladen (optional)

   E-Mail-Adressen von Kollegen eintragen — sie bekommen eine Einladung mit Zugang zum gleichen Konto. Verschickt wird nur über „Einladungen senden“; „Ohne Einladungen zum Dashboard“ verwirft die eingetragenen Adressen. Die laufende Überwachung startet, sobald die Domain bestätigt ist.

# 3. Erste Website hinzufügen

Nach dem Onboarding können Sie über „+ Website“ weitere Domains anlegen. Sobald die Domain verifiziert ist, starten alle Module mit dem ersten Scan.

# 4. Domain-Verifizierung

Damit Sie nur Ihre eigenen Domains überwachen können, verifiziert XICTRAQ den Besitz. Drei Methoden stehen zur Auswahl — Sie brauchen nur eine. Token und Anleitung zeigt der gelbe Hinweis oben auf der Website-Seite, solange die Domain nicht bestätigt ist. Klick auf „Jetzt verifizieren“ startet den sofortigen Check.

# 5. Tracker einbinden (für Analytics)

Falls Sie Analytics, Form-/Media-Events oder Session-Recording nutzen möchten, ergänzen Sie ein einziges Script-Tag im <head>. Das Snippet ist komprimiert unter 30 KB groß, lädt asynchron (defer) und funktioniert ohne Cookies — also in der Regel keine Cookie-Banner-Pflicht (Bewertung im Einzelfall). Forms/Media/Recording/Consent-Gate werden serverseitig konfiguriert (Analytics → Website → Einstellungen).

<script defer src="https://api.xictraq.com/t.js" data-site="019d7cb5-aea5-71d4-b5a7-26d014cdb08a"></script>
<noscript><img src="https://api.xictraq.com/api/px?s=019d7cb5-aea5-71d4-b5a7-26d014cdb08a" alt="" width="1" height="1" style="position:absolute;left:-9999px" referrerpolicy="no-referrer-when-downgrade"></noscript>

# Tracker-Skript (exakte location, keine Regex-Regel fängt es ab)
location = /t.js {
    proxy_pass            https://api.xictraq.com/t.js;
    proxy_set_header      Host api.xictraq.com;
    proxy_ssl_server_name on;
    proxy_ssl_name        api.xictraq.com;
    proxy_http_version    1.1;
    proxy_set_header      Connection "";
    proxy_connect_timeout 5s;
    proxy_read_timeout    10s;
    # HSTS von api.xictraq.com gälte sonst für Ihren Host samt Subdomains
    proxy_hide_header     Strict-Transport-Security;
}
# Datenannahme /a/p … und Pixel-Fallback /a/px; der Schrägstrich hinter /a ist Pflicht
location ^~ /a/ {
    proxy_pass            https://api.xictraq.com/api/;
    proxy_set_header      Host api.xictraq.com;
    # Überschreiben statt anhängen: genau die Adresse, die Ihr Server sieht
    proxy_set_header      X-Forwarded-For $remote_addr;
    proxy_set_header      X-Real-IP $remote_addr;
    proxy_set_header      X-Forwarded-Proto $scheme;
    proxy_ssl_server_name on;
    proxy_ssl_name        api.xictraq.com;
    proxy_http_version    1.1;
    proxy_set_header      Connection "";
    # Aufzeichnungspakete des Session-Recordings können größer als 1 MB sein
    client_max_body_size  20m;
    proxy_connect_timeout 5s;
    proxy_read_timeout    30s;
    proxy_hide_header     Strict-Transport-Security;
}
# Recording-Bibliothek, nur bei Session-Recording nötig
location = /rx.js {
    proxy_pass            https://api.xictraq.com/rx.js;
    proxy_set_header      Host api.xictraq.com;
    proxy_ssl_server_name on;
    proxy_ssl_name        api.xictraq.com;
    proxy_http_version    1.1;
    proxy_set_header      Connection "";
    proxy_connect_timeout 5s;
    proxy_read_timeout    10s;
    # HSTS von api.xictraq.com gälte sonst für Ihren Host samt Subdomains
    proxy_hide_header     Strict-Transport-Security;
}

• proxy_ssl_server_name und proxy_ssl_name: nginx schickt den Namen api.xictraq.com im TLS-Handschlag mit. Ohne ihn antwortet die Gegenstelle mit dem Zertifikat eines anderen Namens.
• proxy_hide_header Strict-Transport-Security: api.xictraq.com sendet HSTS mit includeSubDomains und preload. Durch den Proxy käme diese Regel beim Host Ihres Shops an, und Browser erzwängen HTTPS ein Jahr lang für ihn und alle seine Subdomains, auch für solche ohne Zertifikat. Ihre eigene HSTS-Regel bleibt davon unberührt.
• X-Forwarded-For $remote_addr: Die Kopfzeile wird überschrieben statt verlängert. XICTRAQ bekommt genau die Adresse, die Ihr Server sieht, und nichts, was ein Browser selbst mitschickt. Steht vor Ihrem nginx ein weiterer Proxy (CDN, Load Balancer), muss $remote_addr dort bereits die Besucheradresse sein (nginx-Modul realip). Sonst sieht XICTRAQ bei jedem Besuch die Adresse des Vorschaltservers, und Standort und Besucherzählung stimmen nicht.
• client_max_body_size 20m: nginx nimmt ohne diese Zeile höchstens 1 MB je Anfrage an. Pakete des Session-Recordings können größer sein und bekämen dann HTTP 413.
• Fristen 5 s für den Verbindungsaufbau, 10 s für Skripte und 30 s für die Datenannahme statt der nginx-Vorgabe von 60 s: Ein Skript mit defer hält DOMContentLoaded auf, solange es lädt. Bei einer Störung wartet so kein Besucher eine Minute.
• location ^~ /a/ mit Schrägstrich: ^~ hält Regex-Regeln wie die Bildauslieferung für .gif fern, der Schrägstrich trennt die Messpunkte von Adressen wie /account oder /agb.
• Setzt Ihr Server selbst Sicherheits-Kopfzeilen per add_header auf server-Ebene, erbt nginx sie in diese Blöcke; gleichnamige Kopfzeilen von api.xictraq.com (etwa X-Content-Type-Options oder Cross-Origin-Resource-Policy) kommen dann doppelt an. Verbergen Sie sie in dem Fall ebenfalls mit proxy_hide_header.

Das Snippet zeigt dann auf die eigene Domain — data-api="/a" leitet auch die Datenannahme dorthin:

<script defer src="/t.js"
        data-site="019d7cb5-aea5-71d4-b5a7-26d014cdb08a"
        data-api="/a"></script>
<noscript><img src="/a/px?s=019d7cb5-aea5-71d4-b5a7-26d014cdb08a" alt="" width="1" height="1" style="position:absolute;left:-9999px" referrerpolicy="no-referrer-when-downgrade"></noscript>

Das Pixel wird endungslos als /a/px eingebunden, nicht als /a/p.gif — die Endung .gif fängt die statische Bild-Auslieferung vor dem Proxy ab (404). In dieser Betriebsart trägt das Snippet kein integrity-Attribut: der Proxy bildet /t.js ab, also die fortlaufend aktualisierte Datei, deren Prüfsumme sich mit jeder Tracker-Fassung ändert; SRI hängt an der versionierten t.v{N}.js. Im Dashboard schalten Sie unter Analytics → Website → Snippet zwischen beiden Varianten um. Was der Proxy gegen Adblocker und für den Pixel-Fallback leistet, steht in der Analytics-Doku.

# 6. Ihre erste Dashboard-Tour

Nach den ersten Scans sehen Sie eine Ampel-Übersicht aller Websites. Klick auf eine Website öffnet die Detail-Ansicht mit allen Modulen als Tabs.

# Website-Gruppen

Gruppen ordnen Ihre Websites, etwa nach Kunde, Projekt oder Standort. Die Website-Auswahl in Analytics, in den Karteneinstellungen und beim Zuweisen von Websites ist nach Gruppen gegliedert, und eine Gruppe fasst die Werte ihrer Websites zusammen. Eine Website kann in mehreren Gruppen stehen. Zugriff vergeben Gruppen nicht: Team-Mitglieder sehen alle Websites des Kontos, Kunden- und Agentur-Zugänge grenzen Sie je Website ein.

1. 1
   Gruppe anlegen

   In der Websites-Übersicht über „Neue Gruppe“ oder in Analytics in der Website-Auswahl über „+ Neue Gruppe“. Namen eingeben, Websites anhaken, speichern. Ohne Website entsteht eine leere Gruppe, die Sie später befüllen.
2. 2
   Gruppe bearbeiten

   Der Stift am Gruppenkopf der Websites-Übersicht oder neben der Gruppe in der Analytics-Auswahl öffnet „Gruppe bearbeiten“: Namen ändern, Websites an- oder abhaken.
3. 3
   Websites Gruppen zuordnen

   Mehrere Websites in der Übersicht auswählen und „Gruppen zuordnen“ wählen, oder auf der Seite einer Website „Gruppen zuordnen“. Je Gruppe ein Haken; ein halber Haken heißt, dass nur ein Teil der gewählten Websites darin steht, und bleibt unverändert, solange Sie ihn nicht anklicken. Im selben Dialog legen Sie bei Bedarf eine neue Gruppe mit diesen Websites an.
4. 4
   Gruppe löschen

   In „Gruppe bearbeiten“ über „Gruppe löschen“. Die Websites bleiben erhalten, nur die Gruppe entfällt. Eine Dashboard-Karte, deren Bereich auf dieser Gruppe stand, zeigt danach einen Hinweis.

# Verwandte Doku-Kapitel