Signatur-Policy · Übersicht & Generator Secret: gesetzt Debug frei: JA Zuletzt erzeugte Links

Diese Seite erklärt, welche Endpoints signaturpflichtig sind, zeigt die aktuelle Konfiguration und erzeugt gültige Abruf-Links für ein konkretes Ergebnis (per result_id). Die Signatur ist eine Abrufberechtigung für genau dieses eine Ergebnis; optional zeitlich begrenzt (TTL).

Was ist ein Endpoint hier?

Endpoint = die konkrete Server-URL, an der die Prüfung stattfindet. Beispiele:

Signiert = Der Link enthält sig (und optional exp), berechnet als HMAC(sha256) über die Payload (id bzw. id&exp) mit einem Secret aus config.php. Der Server verifiziert das beim Aufruf.

Aktuelle Policy (aus /config.php)

Globale Pflicht (enforce): NEIN (nur selektiv pro Slug)

Pflicht je Slug (by_slug): A10

Schonfrist (grace): AN – bei fehlender/ungültiger Signatur 403 (empfohlen)

Standard-TTL (ttl_sec): 0 (Sek.) – 0 = kein Ablauf

Debug frei (RESULT_SIG_ALLOW_DEBUG): JA – ?debug=1 umgeht die Pflicht

Prüfung: /result_view_pretty.php (HTML) und /result_view_pretty.csv.php (CSV).

Wirksamer Status für Slug

Status „A10“: Signatur ist pflichtig. Aufrufe ohne gültige Signatur: 403 (sofern grace=AN).

Beispiele (wie die Signatur aussieht)

Ohne Ablauf

/result_view_pretty.php?id=45&sig=<hex>
sig = HMAC_SHA256("id=45", SECRET)

Mit Ablauf

/result_view_pretty.php?id=45&exp=1730000000&sig=<hex>
sig = HMAC_SHA256("id=45&exp=1730000000", SECRET)

Signierten Link erzeugen

Zuletzt erzeugte Links

TTL 0 = kein Ablauf. Bei TTL > 0 wird exp gesetzt; nach Ablauf → 403.

Technisch verankert

Test-Hinweis: Wenn testweise eine Ergebnis-Seite ohne Signaturprüfung geöffnet werden soll (falls erlaubt), formuliere den Link z. B. so (PID=11): /result_view_pretty.php?id=11&debug=1