Jeder Anbieter, den Calucon Third-Party Embed Gate erkennt – 36 an der Zahl, alle unten vorgeführt, 30 davon mit echten Inhalten hinterlegt. Nichts auf dieser Seite kontaktiert einen Dritten, bevor ein Button gedrückt wird.
Selbst nachprüfen: Entwicklerwerkzeuge → Netzwerk → „Cache deaktivieren“ anhaken → neu laden, nach Domain sortieren. Nichts unten hat geladen; ein Klick auf einen Button, und genau ein Anbieter erscheint.
Eine ehrliche Einschränkung: die Seite liegt hinter Cloudflare, das sein eigenes Analyse-Beacon (static.cloudflareinsights.com) schon im CDN in jede Seite einfügt – nachdem WordPress fertig ist, außer Reichweite jedes Plugins, und keine Einbettung. Es kommt ohne Cookies aus und ist in der Datenschutzerklärung offengelegt. Alles Übrige in dieser Liste ist calucon.de.
Die Anbieter
Eine Gruppe öffnen, um ihre Einbettungen zu sehen. Wessen Inhalte sind das? Das eigene Beispiel des Anbieters, wo es eines gibt, eigene Arbeiten, wo vorhanden, und sonst Material von Museen oder Design-Institutionen – niemandes persönlicher Beitrag steht hier aus Versehen.
Eine Regel hat das meiste auf dieser Seite entschieden: nichts wird eingebettet, was nicht ersichtlich der einstellenden Person gehört. Das schließt mehr aus, als man denkt. Das Dailymotion-Beispiel, mit dem diese Seite begann – aus den Testfixtures des Plugins übernommen – war eine 45-minütige Fernsehserie, erneut hochgeladen von einer fremden Person. Zwei Anbieter unten sind aus demselben Grund leer: Scribd und Imgur nennen niemanden, der hochgeladen hat, es gibt also nichts zu prüfen.
Sechs sind als Ersatzziel gekennzeichnet: der Platzhalter ist echt, das Ziel nicht, und dafür gibt es drei verschiedene Gründe. Google Forms und Calendly haben keine Anbieter-Demo, und eine echte würde Antworten in ein fremdes Formular schicken oder Zeit in einem fremden Kalender buchen. Instagram und Facebook zeigen auf Metas eigene dokumentierte Beispielbeiträge, beide inzwischen gelöscht – behalten, weil ein Anbieter, der nach der Einwilligung scheitert, sehenswert ist. Scribd und Imgur sind nach der Urheberrechtsregel oben leer.
Video
YouTube
Eingefügt als youtube.com, lädt zurück als youtube-nocookie.com. Gemessen: 6 Cookies beim ersten, 0 beim zweiten.
Vimeo
Lädt mit dnt=1 zurück, was Vimeos Analyse unterdrückt.
Dailymotion
VernissageTVs Rundgang durch Making Africa im Vitra Design Museum.
TED
VideoPress
Ein Iframe und ein zugehöriges Skript. Ein Button gibt beides frei – das Skript wartet in einem versteckten Marker, statt ein einen zweiten Platzhalter zu erzeugen.
TikTok
TikToks eigenes Beispiel aus der Dokumentation. Die Variante aus blockquote und embed.js, die TikTok ebenfalls veröffentlicht, hat hier nichts gerendert – mit und ohne Gate dazwischen.
Audio und Podcasts
Spotify
SoundCloud
Apple Music
Trägt ein sandbox-Attribut – beim Neuaufbau des der Einbettung exakt erhalten, nie erweitert.
Mixcloud
Pocket Casts
Social-Media-Beiträge
Strava
Skriptbasiert, kein Iframe: zurückgehalten wird der Loader. Auf einer Seite mit mehreren Aktivitäten lädt ein Klick alle, weil Stravas einzelnes Skript jeden Platzhalter auf einmal rendert.
X (Twitter)
just setting up my twttr
— jack (@jack) March 21, 2006
Bluesky
Der zitierte Text ist der Ersatzinhalt des Anbieters selbst, und er steht auch dann noch da, wenn das Skript zurückgehalten wird. Nicht jedes Einbettung hält einen so brauchbaren Ersatz bereit.
Bluesky is an open social network that gives creators independence from platforms, developers the freedom to build, and users a choice in their experience.
— Bluesky (@bsky.app)
Tumblr
Instagram Ersatzziel
Der Beitrag aus Metas eigener oEmbed-Dokumentation, inzwischen gelöscht – Instagram antwortet daher mit „Page isn’t available“. Bewusst so belassen: die Aufgabe des Gates endet bei der Anfrage, und was ein Anbieter danach damit macht, ist auch sehenswert.
Facebook Ersatzziel
Der Beitrag aus Metas eigener Dokumentation zu eingebetteten Beiträgen, von Facebooks eigener Seite. Er antwortet inzwischen mit 400. Metas zwei veröffentlichte Beispiele sind die einzigen auf dieser Seite, die es nicht mehr gibt.
Eine Ankündigung aus r/reddit, Reddits eigenem Konto.
Dokumente und Präsentationen
Scribd Ersatzziel
Scribd veröffentlicht Uploads und nennt in der Einbettung niemanden, der hochgeladen hat – von hier aus lässt sich also nicht feststellen, ob ein Dokument von der einstellenden Person veröffentlicht werden durfte. Beim Urheberrecht anderer wird nicht geraten.
Speaker Deck
Issuu
Wolfram Cloud
Amazon Kindle
Karten und 3D
Google Maps
OpenStreetMap
Die datensparsamere Alternative – trotzdem ein Dritter, trotzdem gesperrt.
Matterport
Sketchfab
Der Scan des Steins von Rosetta durch das British Museum.
Formulare, Umfragen und Termine
Crowdsignal
Dieselbe Umfrage, die auch die Testfixtures des Plugins verwenden, über poll.fm statt über das Loader-Skript. Jenes Skript ruft document.write auf, was nur wirkt, solange ein Dokument noch geparst wird – und genau das gibt ihm diese URL.
Google Calendar
Google Forms Ersatzziel
Typeform
Eines von Typeforms eigenen Formularen. Wer es lädt, bekommt ein eigenes Cookie-Banner zu sehen – eine faire Erinnerung daran, dass das Gate die Anfrage stoppt und alles danach Sache des Anbieters ist.
Calendly Ersatzziel
Bilder und alles Übrige
Imgur Ersatzziel
Dieselbe Überlegung wie bei Scribd. Imgur-Alben tragen in der Einbettung keine Urheberangabe, die Herkunft lässt sich also nicht klären, ohne die Seite zu verlassen.
GIPHY
Oskar Schlemmers Bauhaus-Signet, animiert.
Kickstarter
Der einzige Descriptor, der bewusst kein kind mitbringt – er bekommt den generischen Platzhalter. Namentlich erkannt wird er trotzdem.
Verhalten, das einen Blick wert ist
Auch ein unbekannter Dritter wird gesperrt
Das Gate fragt „gehört dieser Host uns?“, nicht „kenne ich ihn?“ – was nächstes Jahr eingefügt wird, ist also abgedeckt, ohne dass jemand eine Liste pflegt.
Eigene Inhalte werden nicht gesperrt
Iframes von der eigenen Domain gehen byte-identisch durch. Dieses hier lädt sofort, ohne Button.
Wo ein Anbieter beide Varianten liefert, ist das Iframe die sicherere Wahl
Viele Anbieter veröffentlichen zwei Schnipsel für denselben Inhalt: ein <iframe>, oder ein <blockquote> samt Loader-Skript. Das Gate gibt beides frei. Beim Test hier hat die Skript-Form von TikTok und Crowdsignal nichts gerendert – derselbe Schnipsel auf einer Seite ganz ohne Gate aber ebenso wenig, womit das Gate als Ursache ausscheidet. Ihre Iframe-Formen funktionieren, und die werden oben vorgeführt; erkannt werden sie am Host ohnehin beide. Wo ein Anbieter beides liefert, hat das Iframe weniger bewegliche Teile und scheitert sichtbar statt stillschweigend.
Es funktioniert ohne JavaScript
Jeder Platzhalter trägt einen serverseitig gerenderten Link auf die Seite des Anbieters. Ohne JavaScript funktionieren die Buttons nicht mehr, diese Links führen aber weiterhin zu einem echten Ziel.
Einwilligung widerrufen
Das Merken der Einwilligung ist hier abgeschaltet, es wird also nichts gespeichert, und beim nächsten Besuch ist jeder Platzhalter wieder aktiv. Dieses Bedienelement ist für Seiten gedacht, die das Merken einschalten.
Abdeckung
Die oben benannten Anbieter bekommen eine erkennbare Beschriftung, ein Icon, einen Link auf ihre Datenschutzerklärung und, wo es eines gibt, ein datensparsameres Ladeziel. Der Schutz kommt nicht aus dieser Liste: jeder Host, der nicht der eigene ist, wird zurückgehalten, benannt oder nicht. Ein Anbieter, von dem noch niemand gehört hat, ist abgedeckt, ohne dass jemand etwas ändert.
Zwei Anbieter werden nach dem Klick von einer anderen Adresse geladen, als sie eingefügt wurden: YouTube über www.youtube-nocookie.com, und Vimeo mit dnt=1 in der Query.
Details zur Erkennung
| Anbieter | Erkannt an | Art | Methode |
|---|---|---|---|
| YouTube | youtube.com, www.youtube.com, m.youtube.com, youtube-nocookie.com, www.youtube-nocookie.com, youtu.be | video | Iframe |
| Vimeo | player.vimeo.com | video | Iframe |
| Dailymotion | geo.dailymotion.com, www.dailymotion.com, dailymotion.com | video | Iframe |
| TED | embed.ted.com, embed-ssl.ted.com | video | Iframe |
| VideoPress | video.wordpress.com, videopress.com, v0.wordpress.com | video | Iframe + Skript |
| TikTok | www.tiktok.com | video | Iframe + Skript |
| Spotify | open.spotify.com | audio | Iframe |
| SoundCloud | w.soundcloud.com | audio | Iframe |
| Apple Music | embed.music.apple.com, embed.podcasts.apple.com | audio | Iframe |
| Mixcloud | www.mixcloud.com, player-widget.mixcloud.com | audio | Iframe |
| Pocket Casts | pca.st | audio | Iframe |
| Strava | strava-embeds.com, www.strava-embeds.com | social | Skript |
| X (Twitter) | platform.twitter.com, platform.x.com | social | Iframe + Skript |
| Bluesky | embed.bsky.app | social | Iframe + Skript |
| Tumblr | embed.tumblr.com, assets.tumblr.com | social | Iframe + Skript |
assets.pinterest.com | social | Iframe + Skript | |
www.instagram.com, instagram.com, platform.instagram.com | social | Iframe + Skript | |
www.facebook.com, web.facebook.com, connect.facebook.net | social | Iframe + Skript | |
embed.reddit.com, www.redditmedia.com, embed.redditmedia.com | social | Iframe + Skript | |
| Scribd | www.scribd.com, scribd.com | document | Iframe + Skript |
| Speaker Deck | speakerdeck.com | document | Iframe + Skript |
| Issuu | e.issuu.com | document | Iframe |
| Wolfram Cloud | www.wolframcloud.com, wolframcloud.com | document | Iframe + Skript |
| Amazon Kindle | read.amazon.com, read.amazon.co.uk, read.amazon.com.au, read.amazon.in, read.amazon.cn | document | Iframe |
| Google Maps | www.google.com, google.com, maps.google.com | map | Iframe |
| OpenStreetMap | www.openstreetmap.org, openstreetmap.org | map | Iframe |
| Matterport | my.matterport.com | 3d | Iframe |
| Sketchfab | sketchfab.com | 3d | Iframe |
| Crowdsignal | poll.fm, secure.polldaddy.com, app.crowdsignal.com | form | Iframe + Skript |
| Google Calendar | calendar.google.com | calendar | Iframe |
| Google Forms | docs.google.com | form | Iframe |
| Typeform | form.typeform.com, embed.typeform.com | form | Iframe + Skript |
| Calendly | calendly.com, assets.calendly.com | calendar | Iframe + Skript |
| Imgur | imgur.com, s.imgur.com | image | Iframe + Skript |
| GIPHY | giphy.com | image | Iframe + Skript |
| Kickstarter | www.kickstarter.com, kickstarter.com | generic | Iframe |
Keine rechtliche Zusicherung: das Plugin stoppt die Anfragen, aber es kann die Verarbeitungszwecke einer Seite nicht kennen. Eine Datenschutzerklärung muss ihre Anbieter weiterhin benennen.