Richtlinie für Drittanbieter-Ressourcen

Zweck

Wikimedia-Benutzer können Benutzerskripte oder Gadgets oder Stylesheets nutzen, um die Funktionen einer Wikimedia-Website zu erweitern. Manchmal interagieren diese Tools und teilen Benutzerdaten mit Computerressourcen, die sich außerhalb der Server von Wikimedia befinden: Drittanbieter-Ressourcen. Dies hat manchmal zu Konto-Kompromittierungen und Datenschutzproblemen geführt. Die Nutzungsbedingungen der Wikimedia Foundation verbieten jedoch die Verletzung der Privatsphäre anderer Personen.

und betont zusätzlich, dass Drittanbieter-Ressourcen von der Stiftung weder unterstützt noch überwacht werden Um den Wikimedia-Benutzern eine bessere Privatsphäre zu bieten, ergänzt die folgende Richtlinie die Nutzungsbedingungen der Wikimedia Foundation und behandelt die folgenden Aspekte

• Risiken im Zusammenhang mit der Verwendung von Drittanbieter-Ressourcen durch Benutzerskripte und Gadgets
• Beste Praktiken für Entwickler von Skripten und Gadgets
• Administrative and technical measures to enforce best practices
• Particular conditions that may warrant exemptions

Definitionen

Die folgenden Definitionen sind für diese Richtlinie relevant:

• Drittanbieter-Ressourcen: Drittanbieter-Ressourcen sind Computerressourcen, die sich außerhalb der websites von Wikimedia befinden. Sie können unter anderem ausführbare Skripte, Stylesheets, Bilddateien, Schriftdateien sowie JSON/JSONP-Daten umfassen, jedoch nicht darauf beschränkt sein.
• Endbenutzer: Besucher und Bearbeiter von Wikimedia-Websites
• Personenbezogene Informationen: Jegliche Informationen, die von einem Tool gesammelt werden und zur persönlichen Identifizierung verwendet werden könnten. Für eine detailliertere Definition siehe bitte die Hauptdatenschutzrichtlinie der Wikimedia Foundation..

Bereich

Der aktuelle Richtlinie für Drittanbieter-Ressourcen gilt für Benutzerskripte und Benutzergadgets, die mit Computerressourcen interagieren, die sich außerhalb von Wikimedia-Websites befinden. Dies kann unter anderem Erscheinungsbilder, Bearbeitungswerkzeuge oder Anti-Vandalismus-Gadgets umfassen, sofern diese Gadgets und Benutzerskripte Drittanbieter-Ressourcen verwenden.

Risiken

Informationssicherheit

Wenn ein Gadget oder ein Benutzerskript eine Ressource eines Drittanbieters lädt, ermöglicht es dieser Ressource, sich zwischen einer Wikimedia-Website und den Daten eines Benutzers zu positionieren. Nicht alle Ressourcen von Drittanbietern sind bösartig, aber einige können von ihren Besitzern für eine Vielzahl von betrügerischen Zwecken genutzt werden. Das Laden von Ressourcen von Drittanbietern könnte zum Beispiel zu einem Cross-Site-Scripting (XSS)-Angriff führen, bei dem die geladene Ressource Cookies, Sitzungstoken oder andere vertrauliche Informationen von den Endbenutzern abgreifen könnte. Da die Wikimedia Foundation keine Kontrolle über diese externen Plattformen hat, können die von ihnen gesammelten persönlichen Informationen versehentlich offengelegt, freiwillig an Regierungsbehörden weitergegeben oder an Dritte außerhalb der Kontrolle des Benutzers oder der Foundation weitergegeben werden.

Benutzersicherheit und Datenschutz

Ein Gadget oder Benutzerskript, das eine Ressource eines Drittanbieters lädt, tut mehr als nur eine Verbindung zu dieser Ressource herzustellen. Gadgets oder Benutzerskripte, die mit Drittanbieterressourcen verbunden sind, können auch Informationen über Endbenutzer teilen, einschließlich des von ihnen verwendeten Geräts, ihrer Browserinformationen und ihres Standorts. Dies ist besonders besorgniserregend für Gadgets, die standardmäßig in bestimmten Wikimedia-Projekten aktiviert sind, da der Datenaustausch unbemerkt bleiben kann. Darüber hinaus könnten Gadgets oder Skripte, die eine Drittanbieterressource mit Tracking-Funktionen laden, dazu führen, dass das Verhalten von Endbenutzern ungewollt oder ohne ihre Zustimmung überwacht, für Monetarisierung, Überwachung oder andere unerwünschte Zwecke verwendet wird.

Erforderliche Vorsichtsmaßnahmen

Vermeiden Sie das Laden externer Ressourcen.

Gadgets und Benutzerskripte sollten keine externen Ressourcen laden. Entwickler solcher Tools sollten ihren Code überprüfen, um sicherzustellen, dass er keine Remote-Netzwerkverbindung (z. B. HTTP, WebSocket) zu einer Drittanbieter-Ressource enthält.

Erwägen Sie alternative Skripte

Wenn möglich, können Entwickler von Gadgets und Benutzerskripten Ressourcen wiederverwenden, die bereits auf den Wikimedia-Servern verfügbar sind. Standardmäßig enthält MediaWiki eine Reihe von Skripten oder Modulen. Bevor externe Ressourcen in Betracht gezogen werden, könnten Entwickler prüfen, ob bereits MediaWiki-Module oder benutzergenerierte Skripte existieren, die denselben Zweck erfüllen könnten. Beim Wiederverwenden oder Verbessern von Skripten, die innerhalb der Community verfügbar sind, ist es auch gute Praxis, allgemeine Richtlinien für die Entwicklung von Gadgets zu befolgen, insbesondere in Bezug auf Schmerzpunkte wie Fehlerbehandlung und Code-Wartung.

Exemptions

Opt-in exemption granted by users

By default, gadgets and userscripts are not allowed to load non-production resources. However, users can authorize some gadgets and userscripts to load third-parties. In this case, users must opt-in — give their informed consent before using those specific gadgets and userscripts. While it is expected that users must express their consent through a flow similar to OAuth authorization, the practical implementation of this opt-in mechanism is purposely not written in detail in this policy. Instead, the opt-in exemption principle is referenced here to support the practical implementation once it is in place.

Additional transparency requirements

Although users' consent is required, a third-party resource must also meet a number of transparency conditions before being embedded in gadgets and userscripts. To be exempted, an external resource must:

• Have its source code public and referenced at Third-party resources policy/Noticeboard, alongside an up-to-date description of the personal information processed, and a point of contact for raising issues. This will help ensure public scrutiny and some auditability of the resource.
• If the third-party resource is hosted on Wikimedia Cloud Services code, its code should comply with WMCS terms of use. Also, its code must be inspectable — the WMCS resource developer must ensure that the code hosted on WMCS is human-readable, except for configuration files containing credentials. This will ensure that automated code scanning and other auditing mechanisms can be carried out for better security and privacy.

Enforcement

If the use of third-party resources results in the violation of this policy, two sets of actions can help safeguard the privacy of end-users: manual removal and automated disabling.

Manual removal

Manual removal involves a direct intervention by Wikimedia users.

If you hold sufficient permissions and come across a gadget or user script which violates this policy, you can proceed in blanking the page and notify its author with a message on their talk page. If you are unsure whether you should remove the gadget or user script, please report it to an Administrator or Steward or send an email to the Foundation’s Security team (security-team[at]wikimedia.org).

Automated disabling through CSP

Automated disabling involves disabling at the software or server level with no direct human intervention. In the current policy, automated disabling takes the form of Content Security Policy (CSP). CSP is a layer of security within the MediaWiki software which can prevent the loading of third-party resources. Currently, this feature does not block any third-party resources but is only enabled in report-only mode on some wikimedia projects.However, there are ongoing discussions to set CSP to enforce on all Wikimedia projects at some point in the future. Once it is in effect, CSP will also enforce this policy and bar user scripts and gadgets from loading third-party resources in production, unless those are covered by this policy's exemptions.