# Entrydeck – Dokumentation

> Das Master-CMS von Kreativ Wolke: ein Inhalt, viele Websites. Produktseite: https://entrydeck.app/ · Übersicht: https://entrydeck.app/docs

---

# Erste Schritte

> Vom leeren Mandanten zur ersten ausgespielten Seite: Anmeldung, Website anlegen, KI-Onboarding oder Handarbeit, API-Key ins Frontend.

Quelle: https://entrydeck.app/docs/erste-schritte · Stand: 2026-09-23

Entrydeck ist ein Master-CMS: Inhalte werden einmal gepflegt und an beliebig viele Websites ausgespielt. Diese Seite führt in der Reihenfolge durch die ersten Schritte, in der sie sich in der Praxis bewährt hat — vom ersten Login bis zur ersten Seite, die ein Frontend über die Delivery-API abruft.

## Was Sie brauchen

- Einen Zugang zum Admin unter `https://entrydeck.app/login`. Den ersten Benutzer legen wir nach der Demo an; weitere Benutzer legen Sie selbst unter **Benutzer** an.
- Eine Vorstellung, welche Inhalte es gibt. Für eine Firmenwebsite reichen meist drei bis fünf Inhaltstypen (etwa Leistungen, Team, Referenzen, Beiträge).
- Optional ein Frontend, das die Inhalte rendert. Entrydeck bringt einen eigenen Renderer mit; wer lieber Nuxt, Next, Astro oder PHP verwendet, nutzt die [Delivery API](https://entrydeck.app/docs/delivery-api).

## Schritt 1: Website anlegen

Unter **Websites → Neu** entsteht der erste Auftritt. Ein Name und die Sprache genügen; Domains lassen sich später ergänzen. Jede Website erhält zwei Kennungen:

| Kennung | Sichtbarkeit | Zweck |
| --- | --- | --- |
| Site-ID | öffentlich | benennt die Website in Skript-Einbindungen und in Anfragen |
| API-Key | geheim | autorisiert das Frontend an der Delivery API |

Der API-Key gehört in die Server-Umgebung des Frontends, nie in Browser-Code. Er lässt sich jederzeit neu erzeugen; der alte verliert dann sofort seine Gültigkeit.

## Schritt 2: Inhalte anlegen — zwei Wege

**Weg A: KI-Onboarding.** Unter **Onboarding** beantworten Sie ein paar Fragen zu Branche, Zielgruppe, Leistungen und Tonalität. Der Assistent baut daraus eine komplette Website: Seiten mit Blöcken und Texten, Inhaltstypen mit Beispieleinträgen, Navigation, Formulare, Platzhalterbilder sowie Impressum und Datenschutzerklärung aus festen Bausteinen. Im letzten Schritt zeigt er den Plan; jede Überschrift und jeder Absatz lässt sich vor dem Anwenden überschreiben oder neu formulieren. Alles landet als ganz normaler Inhalt im System.

**Weg B: Handarbeit.** Zuerst die Inhaltstypen unter **Inhaltstypen** modellieren (Felder, Gruppen, Relationen), dann Einträge unter **Inhalte** anlegen, dann Seiten unter **Seiten** aus Blöcken zusammensetzen. Wer bestehende Inhalte aus WordPress, TYPO3 oder einer beliebigen JSON-, REST- oder GraphQL-Quelle hat, zieht sie über den [Content-Mapper](https://entrydeck.app/docs/content-mapper) herüber.

> Der Assistent überschreibt nie bestehende Seiten. Ein zweiter Durchlauf legt eine neue Sitzung und eine neue Website an.

## Schritt 3: Veröffentlichen

Einträge und Seiten durchlaufen Arbeitszustände: **Entwurf → In Prüfung → Freigegeben → Veröffentlicht**. Erst „Veröffentlicht" ist über die Delivery API abrufbar — unabhängig davon, ob eine Seite den Eintrag bereits anzeigt. Wer welchen Schritt gehen darf, steuern Rollen und Rechte unter **Einstellungen → Rollen**.

## Schritt 4: Das Frontend anschließen

Ein erster Aufruf zeigt, ob alles verbunden ist:

```bash
curl https://entrydeck.app/api/v1/delivery/site \
  -H "x-api-key: $ENTRYDECK_API_KEY"
```

Die Antwort enthält Site-ID, Name, Sprachen, Domains, SEO-Einstellungen und das Theme der Website. Danach holt das Frontend Seiten über `GET /delivery/page?route=/&locale=de` und Einträge über `GET /delivery/content/{typ}` — alle Details stehen in der [Delivery API](https://entrydeck.app/docs/delivery-api).

## Schritt 5: Consentdeck und Barrierefreiheit einschalten

Beides ist in jedem Paket enthalten und je Website konfigurierbar:

- **Consentdeck** unter **Consentdeck → Website**: Kategorien und Dienste pflegen, Banner einschalten. Websites, die Entrydeck rendert, binden das Skript automatisch ein; fremde Websites bekommen ein `<script>`-Tag oder ein Plugin.
- **Barrierefreiheit** unter **Barrierefreiheit → Website**: Module wählen, Position und Farbe setzen, einschalten. Auch hier genügt für fremde Websites ein einzelner Script-Tag.

## Tastenkürzel im Admin

| Tasten | Wirkung |
| --- | --- |
| `⌘ K` | Befehle und Inhalte suchen |
| `g` `i` / `g` `p` / `g` `m` | Zu Inhalten, Seiten, Medien springen |
| `⌘ S` | Speichern in Editoren |
| `?` | Alle Tastenkürzel anzeigen |

## Wie es weitergeht

- [Websites & Domains](https://entrydeck.app/docs/websites-domains): Domains, Sprachen und Schlüssel je Website
- [Inhaltstypen & Einträge](https://entrydeck.app/docs/inhaltstypen-eintraege): das Datenmodell
- [Delivery API](https://entrydeck.app/docs/delivery-api): das Frontend anschließen

---

# Websites & Domains

> Wie Websites, Domains, Sprachen, Site-ID und API-Key in Entrydeck zusammenhängen — und wie eine Redaktion mehrere Auftritte aus einem Bestand bespielt.

Quelle: https://entrydeck.app/docs/websites-domains · Stand: 2026-09-23

Eine **Website** ist in Entrydeck ein eigener Auftritt innerhalb eines Mandanten: eigene Domains, eigene Seiten, eigene Navigation, eigene Formulare und ein eigener API-Key. Inhalte (Einträge) und Medien teilen sich dagegen alle Websites eines Mandanten — das ist der Kern des Master-CMS-Gedankens.

## Mandant, Website, Inhalt

| Ebene | Gehört dazu | Beispiel |
| --- | --- | --- |
| Mandant (Tenant) | Benutzer, Rollen, Sprachen, Inhaltstypen, Einträge, Medien, Speicher | „Muster GmbH" |
| Website | Domains, Seiten, Navigation, Formulare, Consentdeck, Barrierefreiheit, API-Key | `muster.de`, `muster-karriere.de` |
| Eintrag | Ein Datensatz eines Inhaltstyps, Websites zugewiesen | Standort „Zwönitz" auf beiden Websites |

Ein Eintrag wird Websites **zugewiesen**. Ändert die Redaktion den Eintrag, ändert er sich überall, wo er zugewiesen ist. Welche Inhaltstypen eine Website überhaupt übernimmt, legt die Website-Einstellung fest.

## Die aktive Website steuert das Admin

Oben in der Navigation wählen Sie die aktive Website. Seiten, Navigation, Formulare und Kennzahlen richten sich danach. „Alle Websites" zeigt die Inhalte des ganzen Mandanten.

## Domains

Jede Domain zeigt auf genau eine Website. Die **primäre Domain** wird für kanonische URLs, hreflang-Alternativen und das SEO-Objekt der Delivery API verwendet. Zusätzlich lassen sich Vorschau-Domains anlegen, die im SEO-Objekt nie als Canonical erscheinen.

Domains sind reine Zuordnung — das DNS und das Zertifikat verwalten Sie dort, wo das Frontend läuft. Wird die Website von Entrydeck selbst gerendert, übernehmen wir das für Sie.

## Sprachen

Sprachen werden zentral unter **Einstellungen → Sprachen** angelegt (die Obermenge des Mandanten). Jede Website wählt daraus ihren Ausschnitt und eine **Standardsprache**. Fehlt eine Übersetzung, liefert die API die Standardsprache aus — sie sollte deshalb immer vollständig gepflegt sein.

Übersetzbar sind nur Felder, die im Inhaltstyp als übersetzbar markiert sind. Eine Artikelnummer gilt für alle Sprachen gemeinsam, eine Beschreibung existiert je Sprache.

## Site-ID und API-Key

| | Site-ID | API-Key |
| --- | --- | --- |
| Sichtbar | ja, öffentlich | nein, geheim |
| Verwendung | Skript-Einbindungen (`?site=…`), `x-site-id` | Header `x-api-key` an der Delivery API |
| Ändern | fest | jederzeit neu erzeugen; der alte gilt sofort nicht mehr |

Vor dem Neuerzeugen des API-Keys erst das Frontend umstellen, dann erzeugen. Für Plattformen, die viele Websites aus einem Renderer bedienen, gibt es zusätzlich den Plattform-Schlüssel (`x-platform-key` plus `x-site-host`), beschrieben in der [Delivery API](https://entrydeck.app/docs/delivery-api#authentifizierung).

## Status: aktiv, Staging, archiviert

- **Aktiv**: normaler Betrieb.
- **Staging**: der Auftritt ist noch nicht öffentlich, lässt sich aber vollständig vorbereiten und über die API mit dem Key abrufen.
- **Archiviert**: nimmt die Website aus dem Auswahlmenü, ohne Daten zu löschen.

## Theme je Website

Jede Website trägt ein Theme (Farben, Schriften, Radien, Logo, Preset). Die Delivery API liefert es unter `GET /delivery/site` im Feld `theme` — ein Frontend kann sich vollständig daraus einfärben. So laufen mehrere Marken aus einer Codebasis.

## Webhooks

Unter **Einstellungen → Webhooks** hinterlegen Sie URLs, die bei Ereignissen aufgerufen werden — etwa um ein statisches Frontend neu zu bauen, sobald ein Eintrag veröffentlicht wird. Jede Auslieferung wird protokolliert, ein Test-Ereignis lässt sich per Klick auslösen.

## Typische Aufteilungen

- **Hauptseite + Landingpages**: eine Website je Kampagnen-Domain, alle teilen sich Leistungen und Team.
- **Marken eines Konzerns**: je Marke eine Website mit eigenem Theme, gemeinsame Standorte und Personen.
- **Agentur mit Kunden**: je Kunde ein Mandant, je Auftritt eine Website; die Agentur arbeitet mit einem Konto über alle Mandanten.

---

# Inhaltstypen & Einträge

> Das Datenmodell von Entrydeck: Inhaltstypen mit Feldern, Gruppen und Relationen, Einträge je Sprache, Workflows und die Zuweisung an Websites.

Quelle: https://entrydeck.app/docs/inhaltstypen-eintraege · Stand: 2026-09-23

Ein **Inhaltstyp** ist die Form, die Inhalte annehmen: welche Felder es gibt, wie sie heißen und was hineindarf. Ein **Eintrag** ist ein Datensatz genau eines Inhaltstyps — ein Blogbeitrag, ein Produkt, eine Person. Inhaltstypen entstehen im Klick-Baukasten unter **Inhaltstypen**, ohne YAML, ohne TypoScript, ohne Migration.

## Inhaltstyp anlegen

Ein Inhaltstyp hat einen Namen, einen **Slug** und Felder. Der Slug ist der API-Name: er taucht in den URLs der Delivery API auf (`/delivery/content/{slug}`). Er lässt sich später ändern, dann müssen aber alle Abfragen im Frontend nachgezogen werden.

Empfehlung: lieber wenige, klare Typen. Zwei Typen mit je acht Feldern sind leichter zu pflegen als einer mit zwanzig optionalen Feldern.

## Feldtypen

| Feldtyp | Eingabe | In der API |
| --- | --- | --- |
| Text, Textarea | einzeilig / mehrzeilig | `string` |
| Rich-Text | Editor mit Überschriften, Listen, Links, Bildern | HTML-`string` |
| Zahl, Boolean, Datum | Zahl, Schalter, Datumswahl | `number`, `boolean`, ISO-`string` |
| Auswahl | Einzel- oder Mehrfachauswahl aus festen Optionen | `string` oder `string[]` |
| Medien | ein Bild/Dokument oder eine Galerie aus der Mediathek | Asset-ID, mit `expand=media` das Objekt |
| Relation | Verweis auf Einträge eines anderen Typs | Eintrags-ID, mit `expand=relations` der Eintrag |
| JSON | freies JSON für wiederkehrende Strukturen | Objekt |
| Geodaten | Koordinaten, Ort, Region | Objekt |

Jedes Feld hat einen Schlüssel (`key`), unter dem der Wert in `data` erscheint, sowie Pflicht, Hilfetext und Vorgabewert.

## Gruppen

Felder lassen sich in **Gruppen** ordnen — „Stammdaten", „Beschreibung", „SEO". Gruppen strukturieren nur die Eingabemaske; in der API bleiben alle Felder flach unter `data`. Für wiederholbare Strukturen (etwa eine Liste von Öffnungszeiten) eignet sich ein JSON-Feld mit Schema oder ein eigener Inhaltstyp mit Relation.

## Relationen

Eine Relation verweist auf einen oder mehrere Einträge eines anderen Typs: ein Beitrag hat einen Autor (Person), ein Produkt gehört zu einer Kategorie. In der API steht standardmäßig nur die ID; mit `expand=relations` wird der verknüpfte Eintrag mitgeliefert:

```bash
curl "https://entrydeck.app/api/v1/delivery/content/beitrag/relaunch-2026?locale=de&expand=relations,media" \
  -H "x-api-key: $ENTRYDECK_API_KEY"
```

```json
{
  "id": "…",
  "slug": "relaunch-2026",
  "locale": "de",
  "data": {
    "title": "Relaunch 2026",
    "author": { "id": "…", "slug": "manuel-grasse", "data": { "name": "Manuel Grasse" } },
    "hero": { "id": "…", "url": "https://…/hero-large.webp", "alt": "…", "width": 1600, "height": 900 }
  },
  "seo": { "title": "…", "canonical": "https://muster.de/blog/relaunch-2026", "jsonLd": [ … ] }
}
```

Relationen werden beim Import über den [Content-Mapper](https://entrydeck.app/docs/content-mapper) ebenfalls aufgelöst — anhand des Schlüssels in der Quelle.

## Sprachen

Als **übersetzbar** markierte Felder existieren je Sprache; alles andere gilt für alle Sprachen gemeinsam. Gespeichert wird je Sprache: Der Sprachumschalter im Editor wechselt die Übersetzung, ungespeicherte Änderungen bleiben beim Wechsel erhalten. Fehlt eine Übersetzung, liefert die API die Standardsprache der Website.

## Slug und SEO je Eintrag

Der Slug wird aus dem Titel vorgeschlagen und danach nicht mehr automatisch geändert — sonst brächen veröffentlichte Links. Rechts im Editor stehen die SEO-Felder: Titel, Beschreibung, Bild, Canonical, `noindex`, Keywords, Open Graph. Die Delivery API baut daraus ein fertiges [SEO-Objekt](https://entrydeck.app/docs/delivery-api#das-seo-objekt) mit JSON-LD.

## Status und Workflow

| Status | Bedeutung |
| --- | --- |
| Entwurf | in Arbeit, nicht abrufbar |
| In Prüfung | wartet auf die Freigabe |
| Freigegeben | geprüft, noch nicht live |
| Veröffentlicht | über die Delivery API abrufbar |

Wer welchen Übergang gehen darf, steuern Rollen und Rechte je Inhaltstyp (etwa `content.publish`). Jede Änderung landet im Änderungsprotokoll unter **Audit-Log**, mit Vorher/Nachher der geänderten Felder.

## Zuweisung an Websites

Ein Eintrag wird einer oder mehreren Websites zugewiesen. Nur zugewiesene und veröffentlichte Einträge erscheinen in der API der jeweiligen Website. So bleibt ein Standort auf der Hauptseite und der Karriereseite identisch, ohne kopiert zu werden.

## Listen und Filter

Die Liste unter **Inhalte** filtert nach Typ, Status und Sprache; Suche, Filter und Sortierung stehen in der Adresszeile und lassen sich als Link weitergeben. `⌘ K` öffnet die Befehlspalette mit Volltextsuche über alle Einträge.

---

# Seiten & Blöcke

> Seiten gehören zu einer Website und bestehen aus Blöcken. Vorlagen, Pfade, Musterseiten mit Parametern, Breadcrumbs und SEO je Seite.

Quelle: https://entrydeck.app/docs/seiten-bloecke · Stand: 2026-09-23

Anders als Einträge gehören **Seiten** immer zu genau einer Website und haben einen festen Pfad. Sie bestehen aus **Blöcken** in einer Reihenfolge — Hero, Text, Galerie, Formular, Eintragsliste — und sind das, was Besucher tatsächlich aufrufen.

## Seite anlegen

Unter **Seiten → Neu** wählen Sie Titel, Pfad, Sprache und optional eine Vorlage. Der Pfad ist vollständig, inklusive Schrägstrich am Anfang; die Startseite hat den Pfad `/`. Seiten lassen sich verschachteln: `/leistungen/webdesign` liegt unter `/leistungen`, die Delivery API liefert daraus die Breadcrumbs.

## Blöcke

Jeder Block hat einen Typ und eigene Felder. Die Reihenfolge ändert man per Anfasser links am Block (Drag-and-drop); gespeichert wird sie mit der Seite. Häufige Blocktypen:

| Block | Wofür |
| --- | --- |
| Hero | Überschrift, Text, Bild, Schaltflächen |
| Text / Rich-Text | Fließtext mit Überschriften, Listen, Links |
| Bild, Galerie | Medien aus der Mediathek, mit Varianten |
| Eintragsliste | Einträge eines Inhaltstyps, gefiltert und sortiert |
| Eintrag | ein einzelner Eintrag, z. B. das Produkt einer Musterseite |
| Formular | ein Formular aus **Formulare** |
| Cookie-Erklärung | die Consentdeck-Erklärung, immer aktuell |
| Karte, Video, Einbettung | mit Platzhalter, bis Consentdeck die Kategorie freigibt |

Unbekannte Blocktypen — etwa aus einem Frontend, das eigene Blöcke definiert — bleiben erhalten und werden als JSON angezeigt, statt gelöscht zu werden.

## Vorlagen

Eine **Seitenvorlage** ist kein Inhalt, sondern ein Bauplan: Sie legt den **Komponenten-Schlüssel** fest (unter dem das Frontend die Render-Komponente sucht, z. B. `LandingPage`), schränkt optional die erlaubten Blöcke ein und gibt jeder neuen Seite Standard-Blöcke in fester Reihenfolge mit. Benutzte Vorlagen lassen sich nicht löschen, nur archivieren.

## Musterseiten mit Parametern

Ein Pfad darf Parameter enthalten: `/produkte/:slug` oder `/team/:person`. Die Delivery API vergleicht Segment für Segment, `:name` passt auf ein beliebiges Segment, und liefert die Werte unter `params`:

```bash
curl "https://entrydeck.app/api/v1/delivery/page?route=/produkte/master-cms&locale=de&expand=all" \
  -H "x-api-key: $ENTRYDECK_API_KEY"
```

```json
{
  "page": { "title": "Produkt", "fullPath": "/produkte/:slug", "blocks": [ … ], "seo": { … } },
  "params": { "slug": "master-cms" },
  "requestedRoute": "/produkte/master-cms",
  "breadcrumbs": [ { "title": "Produkte", "fullPath": "/produkte" }, { "title": "Produkt", "fullPath": "/produkte/:slug" } ]
}
```

Das Frontend holt anschließend den passenden Eintrag über `GET /delivery/content/produkt/master-cms`. Feste Pfade haben Vorrang vor Mustern.

## Sprachen

Der Sprachumschalter in der Kopfzeile wechselt die Übersetzung der Seite. Jede Sprachfassung hat ihren eigenen Pfad; die API liefert unter `seo.hreflang` alle Alternativen derselben Seite.

## SEO je Seite

Rechts im Editor: Titel, Beschreibung, Bild, Canonical, `noindex`, Sitemap-Priorität und Änderungsfrequenz. Bleiben Titel oder Beschreibung leer, nimmt die API den Seitentitel und die erste Textzeile der Blöcke als Rückfall. Das Ergebnis ist das [SEO-Objekt](https://entrydeck.app/docs/delivery-api#das-seo-objekt) mit Meta-Tags, Open Graph, hreflang und JSON-LD (inklusive `BreadcrumbList`).

## Veröffentlichen

Eine veröffentlichte Seite ist über die API der Website abrufbar. Entwürfe bleiben unsichtbar — auch wenn sie in der [Navigation](https://entrydeck.app/docs/navigation) verlinkt sind. `GET /delivery/pages/tree` liefert den veröffentlichten Seitenbaum für Menüs und Sitemaps, `GET /delivery/sitemap` alle Pfade mit Zeitstempeln.

## Tipps

- Erst Seite, dann Navigation: ein Menüpunkt auf eine nicht existierende Seite führt ins Leere.
- `⌘ S` speichert; beim Verlassen mit offenen Änderungen fragt das Admin nach.
- Für Inhalte, die auf mehreren Websites erscheinen sollen, einen Eintrag anlegen und per Block einbinden — nicht den Text in mehrere Seiten kopieren.

---

# Navigation

> Menüs je Website mit Schlüssel, Verschachtelung, lokalisierten Beschriftungen und Rückfall auf die Standardsprache — und wie das Frontend sie abruft.

Quelle: https://entrydeck.app/docs/navigation · Stand: 2026-09-23

Die **Navigation** sind die Menüs einer Website: Hauptnavigation, Fußzeile, Meta-Menü oder was das Frontend sonst abfragt. Ein Menüpunkt zeigt auf eine Seite, einen Eintrag oder eine freie URL. Gepflegt wird sie unter **Seiten → Navigation**.

## Mehrere Menüs je Website

Jedes Menü hat einen **Schlüssel** (Handle), unter dem das Frontend es abruft — typischerweise `main` und `footer`. Der Schlüssel existiert je Website genau einmal und muss zum Frontend passen. Weitere Menüs (etwa `legal` oder `social`) legen Sie frei an.

## Menüpunkte

| Ziel | Verhalten |
| --- | --- |
| Seite | Verweis auf eine Seite dieser Website; die Sprache löst sich automatisch auf |
| Eintrag | Verweis auf einen Eintrag, das Frontend baut daraus die URL |
| Freie URL | beliebige Adresse, je Sprache eigene URL möglich, optional in neuem Tab |

Punkte lassen sich per Ziehen einrücken und so zu Untermenüs machen. Wie tief das Frontend das darstellt, ist dessen Sache — zwei Ebenen sind üblich.

## Lokalisierung

Ein Menü gilt für **alle Sprachen** der Website: Aufbau und Reihenfolge sind gemeinsam, übersetzt werden nur die Beschriftungen. Der Sprachumschalter oben wechselt, welcher Text gezeigt und bearbeitet wird.

- Ein Punkt ohne Text in der aktiven Sprache ist gestrichelt umrandet und zeigt den Text der Standardsprache. „Übersetzung übernehmen" kopiert ihn als Ausgangspunkt.
- Seitenziele finden ihre Sprache selbst: Das Frontend bekommt den Pfad der jeweiligen Sprachfassung.
- Nur bei freien URLs lässt sich je Sprache eine eigene Adresse hinterlegen.

## Abruf im Frontend

```bash
curl "https://entrydeck.app/api/v1/delivery/navigation/main?locale=de" \
  -H "x-api-key: $ENTRYDECK_API_KEY"
```

```json
{
  "handle": "main",
  "locale": "de",
  "items": [
    { "label": "Leistungen", "href": "/leistungen", "target": null, "children": [
      { "label": "Webdesign", "href": "/leistungen/webdesign", "target": null, "children": [] }
    ] },
    { "label": "Blog", "href": "/blog", "target": null, "children": [] },
    { "label": "Kontakt", "href": "/kontakt", "target": null, "children": [] }
  ]
}
```

Die Antwort ist ein verschachtelter Baum. `href` enthält für Seiten den Pfad der angefragten Sprache, für Einträge den Pfad nach dem Muster der Website und für freie URLs die hinterlegte Adresse.

Beispiel in einem Nuxt-Frontend:

```ts
const { data: nav } = await useFetch('/delivery/navigation/main', {
  baseURL: 'https://entrydeck.app/api/v1',
  headers: { 'x-api-key': useRuntimeConfig().entrydeckApiKey },
  query: { locale: 'de' },
})
```

## Seitenbaum als Alternative

Wer die Navigation direkt aus der Seitenstruktur ableiten will, nutzt `GET /delivery/pages/tree?locale=de`. Er liefert alle veröffentlichten Seiten als Baum mit Titel und Pfad — ohne redaktionelle Sortierung, dafür ohne Pflege.

## Stolpersteine

- **Gelöschte Seiten hinterlassen Lücken.** Wird eine verlinkte Seite gelöscht, bleibt der Menüpunkt bestehen und zeigt ins Leere. Nach dem Aufräumen von Seiten lohnt ein Blick in die Navigation.
- **Entwürfe sind unsichtbar.** Ein Menüpunkt auf eine unveröffentlichte Seite wird zwar ausgeliefert, die Seite selbst antwortet mit 404.
- **Externe Links kennzeichnen.** „In neuem Tab öffnen" ist für interne Ziele unüblich und stört die Navigation.

---

# Medien

> Die Mediathek je Mandant: Upload, Varianten und Thumbnails, Speicher lokal oder im eigenen S3-Bucket, Metadaten für SEO, Barrierefreiheit und Urheberrecht.

Quelle: https://entrydeck.app/docs/medien · Stand: 2026-09-23

Die **Mediathek** verwaltet Bilder, Dokumente und Videos eines Mandanten. Jede Datei wird einmal hochgeladen und kann in beliebig vielen Einträgen und Seiten — auf allen Websites des Mandanten — verwendet werden.

## Upload

Dateien lassen sich per Drag-and-drop oder über den Dialog hochladen, auch mehrere auf einmal. Beim Upload passiert automatisch:

1. Der Dateityp wird geprüft (Bilder, PDF und Office-Dokumente, Video, Audio).
2. Für Bilder entstehen **Varianten** in allen benötigten Größen; für Videos ein Posterbild.
3. Metadaten wie Abmessungen, Dateigröße und MIME-Typ werden festgehalten.

## Varianten und Thumbnails

| Variante | Verwendung |
| --- | --- |
| `thumbnail` | Listen, Vorschau |
| `small` | mobile Darstellung |
| `medium` | Standardbreite |
| `large` | Hero, Vollbild |

Die Voreinstellungen der Varianten pflegen Sie unter **Einstellungen → Speicher & Medien**. Bestehende Dateien lassen sich dort neu berechnen — einzeln, in Mehrfachauswahl oder komplett. Ein **Fokuspunkt** je Bild sorgt dafür, dass beim Beschneiden das Wesentliche im Bild bleibt.

## Metadaten

Metadaten stehen am Inhalt, nicht im Kopf der Redaktion:

- **Alternativtext** (je Sprache) — Pflichtprogramm für Screenreader und für den Fall, dass ein Bild nicht lädt. Ein Satz genügt; Dateinamen wie `IMG_4711` helfen niemandem.
- **Titel und Bildunterschrift** (je Sprache)
- **Fotograf, Quelle, Lizenz** — wer das beim Upload einträgt, muss später nicht raten, ob ein Bild verwendet werden darf.
- **Geodaten** — Koordinaten und Ort, etwa für Standortbilder.
- **Kennzeichnung Platzhalter** — Bilder aus dem KI-Onboarding tragen sie und lassen sich gezielt herausfiltern.

## Speicher: lokal oder S3

Unter **Einstellungen → Speicher & Medien** wählen Sie den **Speichertreiber** je Mandant:

| Treiber | Ablageort | Wann |
| --- | --- | --- |
| Lokal | Dateisystem des Servers in Deutschland | Standard, keine Einrichtung nötig |
| S3 | eigener Bucket (AWS S3, Hetzner Object Storage, MinIO, jeder S3-kompatible Dienst) | große Bestände, eigene Datenhoheit, CDN davor |

Für S3 werden Endpoint, Region, Bucket, Access-Key und Secret hinterlegt; optional eine öffentliche Basis-URL (CDN). Ein Wechsel verschiebt vorhandene Dateien nicht — neue Uploads landen am neuen Ort, alte bleiben, wo sie sind, und bleiben erreichbar.

## Medien in der Delivery API

Medienfelder enthalten standardmäßig die Asset-ID. Mit `expand=media` liefert die API das aufgelöste Objekt:

```json
{
  "id": "…",
  "url": "https://entrydeck.app/uploads/…/hero.webp",
  "thumbnailUrl": "https://…/hero-thumbnail.webp",
  "variants": { "small": "…", "medium": "…", "large": "…" },
  "width": 2400, "height": 1350,
  "mimeType": "image/webp",
  "alt": "Team vor dem Bürogebäude",
  "title": "Team 2026",
  "focalX": 0.5, "focalY": 0.35
}
```

Damit baut ein Frontend `srcset` und `<picture>` ohne eigene Bildverarbeitung.

## Löschen und Aufräumen

Löschen ist endgültig: Die Datei verschwindet aus dem Speicher, Einträge, die sie verwendet haben, zeigen dann eine Lücke. Die Detailansicht zeigt vorher, wo eine Datei eingebunden ist. Über die Auswahlkästchen lassen sich mehrere Dateien gleichzeitig löschen oder neu berechnen.

## Limits

Der Medienspeicher ist je Paket begrenzt (5 GB im Starter, 50 GB im Professional, 250 GB im Business). Mit eigenem S3-Bucket zählt nur der Speicher Ihres Buckets — siehe [Pläne & Abrechnung](https://entrydeck.app/docs/plaene-abrechnung).

---

# Formulare

> Formulare mit Vorlagen, Feldtypen und Validierung, die auf Server und Client identisch gilt; Einsendungen, Benachrichtigungen, Spam-Schutz und die Anbindung an SmartCaptcha und Hellolead.

Quelle: https://entrydeck.app/docs/formulare · Stand: 2026-09-23

**Formulare** sammeln Nachrichten von Besuchern: Kontakt, Rückruf, Terminanfrage, Bewerbung. Das Frontend rendert sie anhand der im Admin definierten Felder — es muss nichts doppelt gepflegt werden. Formulare gehören zur Website und werden unter **Formulare** verwaltet.

## Vorlagen

Ein neues Formular startet wahlweise leer oder aus einer Vorlage:

| Vorlage | Felder |
| --- | --- |
| Kontakt | Name, E-Mail, Telefon, Nachricht, Datenschutz-Einwilligung |
| Rückruf-Bitte | Name, Telefon, Wunschzeit (vormittags / nachmittags / abends) |
| Terminanfrage | Name, E-Mail, Wunschtermin, Uhrzeit, Anliegen |
| Angebotsanfrage | Name, Firma, E-Mail, Budgetrahmen, Beschreibung |
| Bewerbung | Name, E-Mail, Telefon, Position, Wunschtermin, Lebenslauf als Datei |

Alle Beschriftungen liegen zweisprachig (DE/EN) vor und lassen sich je Sprache ändern.

## Felder

Jedes Feld hat einen **Namen** (Schlüssel, unter dem die Antwort in Einsendungen und API erscheint), einen Typ, Beschriftung und Platzhalter je Sprache, Pflichtangabe und Validierungsregeln. Feldtypen: Text, Textarea, E-Mail, Telefon, Zahl, Datum, Auswahl, Mehrfachauswahl, Checkbox, Datei, Einwilligung, Honeypot.

Pflichtfelder sparsam setzen: Jedes Pflichtfeld kostet Absendungen. Name und eine Kontaktmöglichkeit reichen meistens.

## Validierung — einmal definiert, zweimal geprüft

Die Regeln liegen je Feld als JSON und werden von **derselben Engine** auf dem Server (beim Absenden) und im Browser (vor dem Absenden) ausgewertet. Das Frontend bekommt die Regeln über die Delivery API mitgeliefert und zeigt Fehler sofort, der Server entscheidet endgültig.

```json
{
  "required": true,
  "minLength": 2, "maxLength": 120,
  "type": "email",
  "pattern": "^[0-9]{5}$", "flags": "i",
  "patternMessage": { "de": "Bitte eine fünfstellige PLZ eingeben." },
  "sameAs": "email",
  "allowedExtensions": ["pdf", "jpg"], "maxSizeKb": 5120,
  "messages": { "required": { "de": "Bitte ausfüllen." } }
}
```

Typ-Voreinstellungen: `email`, `tel`, `url`, `number`, `integer`, `date`, `postalCode` (mit Land), `iban`. Der Feldtyp impliziert ein Preset (E-Mail-Feld → `email`), `validation.type` gewinnt, wenn beides gesetzt ist. Fehlermeldungen lassen sich je Regel und Sprache überschreiben.

## Formular im Frontend

Definition abrufen:

```bash
curl "https://entrydeck.app/api/v1/delivery/form/kontakt" \
  -H "x-api-key: $ENTRYDECK_API_KEY"
```

Die Antwort enthält Felder, Regeln, Beschriftungen und — falls aktiv — den öffentlichen SmartCaptcha-Site-Key samt Widget-URL. Das Secret verlässt den Server nie.

Absenden:

```ts
await $fetch(`/forms/${form.id}/submissions`, {
  method: 'POST',
  baseURL: 'https://entrydeck.app/api/v1',
  headers: { 'x-api-key': apiKey },
  body: { data: { name: 'Erika Muster', email: 'erika@example.org', message: 'Hallo!' }, locale: 'de' },
})
```

Der Server prüft die Regeln, wertet Honeypot und Captcha aus, speichert die Einsendung und antwortet mit `201` oder einer Fehlerliste je Feld. Rate-Limits (3 pro Minute je Adresse) schützen vor Massenversand.

## Einsendungen

Alles, was hereingekommen ist, liegt unter **Formulare → Einsendungen** — mit Zeitstempel, allen Feldern und einem Status (offen, erledigt, Spam) für die Arbeit im Team. Der CSV-Export enthält die aktuell gefilterten Einsendungen. Einsendungen enthalten meist personenbezogene Daten: Was nicht mehr gebraucht wird, sollte gelöscht werden — pro Eintrag möglich.

## Benachrichtigungen

Eine Empfängeradresse je Formular sorgt dafür, dass niemand die Liste im Blick behalten muss. Ohne Empfänger liegen Einsendungen still im System.

## Spam-Schutz

- **Honeypot-Feld**: ein unsichtbares Feld, das nur Bots ausfüllen.
- **Mindestdauer** bis zum Absenden.
- **SmartCaptcha** (Add-on): unsichtbare Prüfung ohne Bilderrätsel, Entscheidung serverseitig, je Formular ein- und ausschaltbar — siehe [Add-ons](https://entrydeck.app/docs/addons).

## Leads weitergeben

Mit dem Add-on **Hellolead** wird jede Einsendung als Lead übergeben — mit Feldzuordnung je Formular und ohne Copy-und-paste. Ein Fehler bei der Übergabe blockiert nie den Eingang: Die Einsendung wird immer gespeichert, die Übergabe protokolliert.

## Newsletter

Anmeldungen zum Newsletter laufen über ein eigenes Formular mit **Double-Opt-in**: Die Adresse wird per Bestätigungslink verifiziert, Abmeldungen bleiben als abgemeldet geführt (damit dieselbe Adresse nicht versehentlich erneut importiert wird). Der CSV-Export liefert Adresse, Status und Anmeldedatum für den Versanddienst.

---

# Content-Mapper

> Inhalte aus JSON, REST und GraphQL importieren — Quelle, Pfade, Feldzuordnung mit Relationen, eindeutiger Schlüssel, Zeitplan und Protokoll. Der Weg von WordPress und TYPO3 nach Entrydeck.

Quelle: https://entrydeck.app/docs/content-mapper · Stand: 2026-09-23

Der **Content-Mapper** (im Admin: **Importe**) holt Daten aus fremden Quellen und legt daraus Einträge an — wiederholbar, nach Zeitplan und mit Protokoll je Lauf. Damit ziehen Bestände aus WordPress, TYPO3, Shops, PIM-Systemen oder jeder anderen JSON-, REST- oder GraphQL-Quelle nach Entrydeck um, ohne Neuanfang.

## Ein Konnektor besteht aus zwei Teilen

1. **Quelle**: woher die Daten kommen — URL, Authentifizierung, seitenweiser Abruf.
2. **Zuordnung**: wie sie ins CMS übersetzt werden — Quellfeld zu Zielfeld des Inhaltstyps.

Beides steht auf einer Seite unter **Importe → Konnektor**.

## Quellen

| Quelle | Konfiguration |
| --- | --- |
| JSON-Datei / Feed | URL, optional Header |
| REST | URL, Methode (GET/POST), Header, Query, Authentifizierung (Bearer, Basic, Header, Query-Parameter), seitenweiser Abruf (Seite, Offset oder Cursor) |
| GraphQL | Endpoint, Query mit Variablen, Pfad zum Ergebnisfeld |

Für WordPress genügt die REST-API `https://alte-seite.de/wp-json/wp/v2/posts?_embed&per_page=50&page={page}`; TYPO3 liefert über Extensions wie `headless` oder eine eigene JSON-Ausgabe.

## Pfade in die Antwort

Ein Pfad wie `data.items` greift in die JSON-Antwort. Die **Baumansicht** links zeigt eine echte Antwort der Quelle — ein Klick übernimmt den Pfad. Der **Elementpfad** bestimmt, welche Liste als Datensätze gilt; Feldpfade sind relativ dazu (`title.rendered`, `_embedded.wp:featuredmedia.0.source_url`).

## Feldzuordnung

Erst den **Ziel-Inhaltstyp** wählen, dann je Zielfeld ein Quellfeld. Nicht zugeordnete Felder bleiben leer, sie verhindern den Import nicht. Drei Arten von Regeln stehen bereit:

- **Feldregeln** mit Transformation: `trim`, `slugify`, `number`, `boolean`, `date`, `stripHtml`, `join`, `split` oder `template` (mehrere Quellwerte zu einem Text zusammensetzen), jeweils mit optionalem Vorgabewert.
- **Medienregeln**: eine Bild-URL wird heruntergeladen, in die Mediathek gelegt und mit Varianten versehen — einzeln oder als Liste.
- **Relationsregeln**: ein Fremdschlüssel wird über ein Feld des Ziel-Inhaltstyps aufgelöst (`matchBy`), auf Wunsch wird der verknüpfte Eintrag angelegt, wenn er noch fehlt.

Die Zuordnung entsteht im Admin per Klick; intern sieht sie so aus (Auszug für WordPress-Beiträge):

```json
{
  "fields": [
    { "target": "title", "source": "title.rendered", "transform": "stripHtml" },
    { "target": "slug",  "source": "slug", "transform": "slugify" },
    { "target": "body",  "source": "content.rendered" },
    { "target": "date",  "source": "date", "transform": "date" }
  ],
  "media": [
    { "target": "hero", "source": "_embedded.wp:featuredmedia.0.source_url", "download": true }
  ],
  "relations": [
    { "target": "author", "relatedTypeSlug": "person", "source": "author", "matchBy": "wpId", "createIfMissing": false }
  ]
}
```

## Eindeutiger Schlüssel

Das Feld aus der Quelle, das einen Datensatz eindeutig identifiziert — meist eine ID oder ein Slug. Der Import **aktualisiert** dann vorhandene Einträge, statt neue anzulegen. Ohne Schlüssel legt jeder Lauf alles neu an.

## Probelauf, Zeitplan, Protokoll

- **Probelauf** zeigt, wie viele Datensätze ankommen und was daraus würde, ohne etwas zu schreiben. Den Zeitplan schaltet man erst ein, wenn das Ergebnis stimmt.
- **Seitenweiser Abruf**: Seitengröße und maximale Seitenzahl begrenzen, wie viel ein Lauf holt. Vorsichtige Werte beim ersten Versuch sparen Zeit.
- **Zeitplan in Minuten**: der Abstand zwischen zwei Läufen. Unter fünfzehn Minuten lohnt sich selten.
- **Protokoll**: Jeder Lauf listet angelegte, aktualisierte und übersprungene Datensätze samt Fehlermeldungen je Datensatz. Bei einem unerwarteten Ergebnis beginnt die Suche dort.

## Status importierter Einträge

Importierte Einträge landen wahlweise als **Entwurf** (Redaktion prüft und veröffentlicht) oder direkt als **Veröffentlicht** (für laufend synchronisierte Bestände wie Produkte oder Termine). Die Zuweisung an Websites lässt sich im Konnektor vorbelegen.

## Migration in der Praxis

1. Inhaltstypen in Entrydeck anlegen, die zur Zielstruktur passen — nicht zur Quelle.
2. Konnektor je Quelltyp anlegen (Beiträge, Seiten, Personen), Relationen zuletzt.
3. Probelauf, Zuordnung korrigieren, Probelauf.
4. Erster Lauf als Entwurf, Stichproben prüfen, dann veröffentlichen.
5. Bis zum Umschalten der Domain den Zeitplan laufen lassen — dann bleibt das alte System bis zur letzten Minute führend.

Der Mapper ist ab dem Professional-Paket enthalten, siehe [Pläne & Abrechnung](https://entrydeck.app/docs/plaene-abrechnung).

---

# Delivery API

> Die öffentliche Lese-API von Entrydeck: Authentifizierung mit x-api-key oder Plattform-Schlüssel, alle Endpunkte, expand für Relationen und Medien, das SEO-Objekt, Musterseiten, Beispiele mit curl und fetch.

Quelle: https://entrydeck.app/docs/delivery-api · Stand: 2026-09-23

Die **Delivery API** ist die Lese-Schnittstelle, über die Frontends veröffentlichte Inhalte abrufen. Sie ist bewusst schlank: wenige Endpunkte, JSON, ein Header zur Authentifizierung, HTTP-Caching mit ETag. Jedes Frontend-Framework kann sie verwenden — Nuxt, Next, Astro, SvelteKit, PHP, statische Generatoren.

Basis-URL: `https://entrydeck.app/api/v1/delivery`

## Authentifizierung

| Header | Wer | Bedeutung |
| --- | --- | --- |
| `x-api-key` | jedes Frontend | der geheime API-Key **einer** Website (Website-Einstellungen) |
| `x-site-id` | optional | öffentliche Site-ID; mit `x-api-key` muss sie zum Key passen |
| `x-platform-key` | Plattform-Renderer | ein gemeinsamer Schlüssel für einen Renderer, der viele Websites bedient |
| `x-site-host` | nur mit Plattform-Schlüssel | Hostname der gewünschten Website (der `Host` des Browsers) |

Der API-Key gehört in die Server-Umgebung, nie in Browser-Code. `x-site-host` allein wird nie beachtet — ohne Plattform-Schlüssel kann niemand durch einen gefälschten Header den Mandanten wechseln. Fehlt oder stimmt der Schlüssel nicht, antwortet die API mit `401`.

```bash
export ENTRYDECK_API_KEY="ed_live_…"
curl https://entrydeck.app/api/v1/delivery/site -H "x-api-key: $ENTRYDECK_API_KEY"
```

## Endpunkte

| Methode und Pfad | Zweck |
| --- | --- |
| `GET /site` | Website-Info: Site-ID, Name, Sprachen, Domains, SEO-Einstellungen, Theme |
| `GET /page?route=/pfad&locale=de` | eine veröffentlichte Seite mit Blöcken, Breadcrumbs, SEO |
| `GET /pages/tree?locale=de` | veröffentlichter Seitenbaum für Menüs und Sitemaps |
| `GET /navigation/{handle}?locale=de` | ein Menü als verschachtelter Baum |
| `GET /content/{typ}?locale=de` | Liste veröffentlichter Einträge eines Typs (Filter, Sortierung, Seiten) |
| `GET /content/{typ}/{slug}?locale=de` | ein Eintrag |
| `GET /search?q=…&locale=de` | Volltextsuche über veröffentlichte Einträge |
| `GET /sitemap?locale=de` | alle Seitenpfade und Eintrags-Slugs mit Zeitstempeln |
| `GET /form/{slug}` | Formulardefinition mit Validierungsregeln und Captcha-Site-Key |
| `POST /../forms/{id}/submissions` | Formular absenden (siehe [Formulare](https://entrydeck.app/docs/formulare)) |
| `GET /consent`, `GET /consent/declaration` | Consentdeck-Konfiguration und Cookie-Erklärung |
| `GET /a11y` | Konfiguration des Barrierefreiheits-Widgets |

Alle Antworten enthalten nur **veröffentlichte** Inhalte, die der Website zugewiesen sind.

## Listen: Filter, Sortierung, Seiten

```bash
curl "https://entrydeck.app/api/v1/delivery/content/beitrag?locale=de&page=1&limit=20&sort=publishedAt&order=desc&featured=true&filter[category]=news" \
  -H "x-api-key: $ENTRYDECK_API_KEY"
```

| Parameter | Werte |
| --- | --- |
| `page`, `limit` | Seite ab 1, bis 100 Einträge je Seite (Standard 20) |
| `sort` | `createdAt`, `updatedAt`, `publishedAt`, `slug` |
| `order` | `asc`, `desc` |
| `featured` | nur Einträge mit `data.featured = true` |
| `filter[feld]=wert` | Gleichheit auf einem Datenfeld, mehrfach kombinierbar |
| `expand` | `relations`, `media` oder `all` |

Die Antwort enthält `items`, `total`, `page`, `limit`.

## expand: Relationen und Medien auflösen

Standardmäßig enthalten Relations- und Medienfelder nur IDs — das hält Antworten klein. `expand=relations` liefert die verknüpften Einträge, `expand=media` die Medienobjekte mit URL, Varianten, Abmessungen, Alternativtext und Fokuspunkt. `expand=all` beides. Das gilt für Seiten (Blöcke) und Einträge gleichermaßen.

```ts
const entry = await $fetch('/content/produkt/master-cms', {
  baseURL: 'https://entrydeck.app/api/v1/delivery',
  headers: { 'x-api-key': process.env.ENTRYDECK_API_KEY! },
  query: { locale: 'de', expand: 'all' },
})
entry.data.hero.url        // aufgelöstes Medium
entry.data.category.slug   // aufgelöste Relation
```

## Seiten und Musterseiten

`GET /page?route=/produkte/master-cms` findet zuerst eine Seite mit genau diesem Pfad. Gibt es keine, werden Musterseiten wie `/produkte/:slug` Segment für Segment verglichen; die Werte kommen unter `params` zurück. Die Antwort:

```json
{
  "website": { "siteId": "…", "name": "Muster GmbH", "defaultLocale": "de" },
  "page": { "id": "…", "title": "…", "fullPath": "/produkte/:slug", "template": { "componentKey": "ProductPage" }, "blocks": [ … ], "seo": { … } },
  "params": { "slug": "master-cms" },
  "requestedRoute": "/produkte/master-cms",
  "breadcrumbs": [ { "title": "Produkte", "fullPath": "/produkte" } ]
}
```

## Das SEO-Objekt

Seiten und Einträge tragen ein fertig aufgelöstes `seo`-Objekt. Das Frontend muss nichts mehr zusammensetzen:

```json
{
  "title": "Master-CMS · Muster GmbH",
  "description": "…",
  "canonical": "https://muster.de/produkte/master-cms",
  "robots": "index, follow", "noindex": false,
  "keywords": ["cms", "headless"],
  "image": { "url": "…", "width": 1200, "height": 630, "alt": "…" },
  "ogTitle": "…", "ogDescription": "…", "ogImage": { … }, "ogType": "website",
  "twitterCard": "summary_large_image",
  "hreflang": [ { "locale": "de", "href": "https://muster.de/produkte/master-cms" }, { "locale": "en", "href": "https://muster.de/en/products/master-cms" } ],
  "geo": { "lat": 50.63, "lng": 12.81, "place": "Zwönitz", "region": "DE-SN" },
  "meta": [ { "name": "geo.position", "content": "50.63;12.81" } ],
  "jsonLd": [ { "@type": "BreadcrumbList", "itemListElement": [ … ] }, { "@type": "Product", "name": "…" } ]
}
```

Titel und Beschreibung fallen auf Seitentitel bzw. die erste Textzeile zurück; die Canonical-URL nutzt die primäre Domain der Website; `hreflang` enthält dieselbe Seite in allen Sprachen; `jsonLd` baut derselbe Generator wie die Vorschau im Admin.

Einbau in Nuxt:

```ts
useSeoMeta({ title: seo.title, description: seo.description, ogImage: seo.ogImage?.url })
useHead({
  link: [{ rel: 'canonical', href: seo.canonical }, ...seo.hreflang.map(h => ({ rel: 'alternate', hreflang: h.locale, href: h.href }))],
  meta: seo.meta,
  script: seo.jsonLd.map(obj => ({ type: 'application/ld+json', innerHTML: JSON.stringify(obj) })),
})
```

## Caching

Antworten tragen `ETag` und `Cache-Control`. Bei `If-None-Match` antwortet die API mit `304`. Für statische Frontends empfiehlt sich ein Build-Hook über [Webhooks](https://entrydeck.app/docs/websites-domains#webhooks), damit die Seite nach jeder Veröffentlichung neu entsteht.

## Fehler

| Status | Bedeutung |
| --- | --- |
| `400` | Pflichtparameter fehlt (`route`, `locale`, `q`) |
| `401` | Schlüssel fehlt oder ungültig |
| `404` | Seite, Typ oder Eintrag nicht veröffentlicht oder nicht dieser Website zugewiesen |
| `429` | Rate-Limit an Formular-Endpunkten |

## Vollständiges Beispiel mit fetch

```js
const API = 'https://entrydeck.app/api/v1/delivery'
const headers = { 'x-api-key': process.env.ENTRYDECK_API_KEY }

const site = await fetch(`${API}/site`, { headers }).then(r => r.json())
const home = await fetch(`${API}/page?route=/&locale=${site.defaultLocale}&expand=all`, { headers }).then(r => r.json())
const nav  = await fetch(`${API}/navigation/main?locale=${site.defaultLocale}`, { headers }).then(r => r.json())

render({ theme: site.theme, page: home.page, nav: nav.items })
```

---

# Consentdeck

> Einwilligungen einsammeln und jede einzelne beweisen: Einbindung per Script-Tag oder Plugin, Kategorien und Dienste, automatisches Blocking, Google Consent Mode v2, GTM-Export, Cookie-Erklärung, Protokoll mit Prüfsumme.

Quelle: https://entrydeck.app/docs/consentdeck · Stand: 2026-09-23

**Consentdeck** ist die Einwilligungsverwaltung von Entrydeck — als Teil jedes Pakets und als eigenständiges Produkt unter [consentdeck.app](https://entrydeck.app/consentdeck-start). Es zeigt das Banner, hält Dritt-Skripte zurück, bis eine Entscheidung vorliegt, setzt die Signale für Google Consent Mode v2 und schreibt jede Entscheidung mit Prüfsumme in ein Protokoll, das den Nachweis nach Art. 7 Abs. 1 DSGVO erbringt.

## Einbindung

Ein einziges Skript, 17 kB, ohne Abhängigkeiten, möglichst weit oben im `<head>`, damit vor allen anderen Skripten blockiert werden kann:

```html
<script src="https://entrydeck.app/api/consent/embed.js?site=SITE_ID"></script>
```

Die **Site-ID** ist öffentlich und benennt nur die Website; ein Schlüssel wird nicht benötigt. Websites, die Entrydeck selbst rendert, binden das Skript automatisch ein, sobald das Banner eingeschaltet ist.

| Umgebung | Einbindung |
| --- | --- |
| WordPress ab 6.0 | Plugin `consentdeck.zip` mit Einstellungsseite, Shortcode `[consentdeck_declaration]`, Gutenberg-Block |
| TYPO3 v12/v13 | Extension `consentdeck` mit TypoScript-Einbindung und Inhaltselement für die Erklärung |
| Shopware 6 ab 6.5 | Plugin `KwConsentdeck` für Storefront und Checkout |
| Joomla 5 | System-Plugin `plg_system_consentdeck` |
| Nuxt | `app.head.script` in der `nuxt.config` |
| Next.js | `<Script strategy="beforeInteractive">` |
| Alles andere | das Script-Tag von oben |

Alle Pakete tragen die Site-ID bereits eingebacken; sie liegen im Admin unter **Consentdeck → Plugins & Integration**.

## Kategorien und Dienste

Kategorien (`necessary`, `functional`, `analytics`, `marketing`, …) bündeln Dienste. Jede Kategorie hat einen Schlüssel, eine Beschriftung je Sprache, ein Flag „notwendig" und eine Vorbelegung. Dienste kommen aus einem **Katalog** (Google Analytics 4, Tag Manager, Meta Pixel, YouTube, Vimeo, Google Maps, Matomo, HubSpot, …) oder werden frei angelegt — mit Anbieter, Zweck, Cookies und Laufzeiten. Aus diesen Angaben entsteht die Cookie-Erklärung automatisch.

Der **Cookie-Scanner** ruft bis zu 40 Seiten der Live-Website ab und meldet, welche Skripte, Einbettungen und Cookies wirklich vorkommen. Bekannte Dienste übernehmen Sie per Klick; alles Unbekannte gehört geprüft. Im Pro-Paket läuft der Scanner nach Zeitplan mit E-Mail-Bericht.

## Blocking

Skripte, iframes, Bilder und Zählpixel werden zurückgehalten, bis die passende Kategorie erlaubt ist — auch solche, die ein anderes Plugin erst zur Laufzeit in die Seite schreibt. Eigene Einbindungen kennzeichnen Sie so:

```html
<!-- Skript: type="text/plain" verhindert die Ausführung -->
<script type="text/plain" data-consent="analytics" src="/js/statistik.js"></script>

<!-- Einbettung: data-ed-src statt src, dazu ein Platzhalter mit Ladeknopf -->
<iframe data-ed-src="https://www.youtube-nocookie.com/embed/VIDEO_ID" data-ed-service="youtube" title="Video"></iframe>
```

Für Karten und Videos erscheint statt der Einbettung ein Platzhalter mit dem Text aus den Einstellungen und einem Schalter, der genau diesen Dienst freigibt.

## Google Consent Mode v2 und dataLayer

Vor dem ersten Google-Tag stehen alle Signale (`ad_storage`, `ad_user_data`, `ad_personalization`, `analytics_storage`, …) auf `denied` und werden nach der Entscheidung aktualisiert (`wait_for_update: 500`). Zusätzlich schreibt Consentdeck zwei Ereignisse in `window.dataLayer`: `consent_initialized` einmal je Seitenaufruf und `consent_update` nach jeder Entscheidung — mit Kategorien, Diensten, Einwilligungs-ID und Version.

## GTM-Export

Unter **Tag Manager & Doku** erzeugt Consentdeck einen fertigen Container: dataLayer-Variablen `Consent - …` je Kategorie, Trigger `Consent Initialized`, `Consent Update` und `Consent Granted - …` je optionaler Kategorie sowie Tags der eingerichteten Dienste. Im Tag Manager unter *Verwaltung → Container importieren* einspielen (Zusammenführen, Konflikte umbenennen), prüfen, veröffentlichen. Eigene Tags hängen an den Trigger der passenden Kategorie, nicht an *All Pages*.

Der Tag Manager gehört nicht ohne Weiteres in die notwendigen Dienste: Er darf nur dann vorab laden, wenn jedes Tag im Container den Consent Mode beachtet.

## Steuerung aus eigenem Code

```js
Consentdeck.open()              // Einstellungen erneut öffnen
Consentdeck.acceptAll()         // alles zulassen
Consentdeck.accept('analytics') // eine Kategorie zulassen
Consentdeck.reject()            // nur notwendige
Consentdeck.withdraw()          // Einwilligung widerrufen
Consentdeck.has('analytics')    // true, wenn zugestimmt wurde
Consentdeck.get()               // { id, version, ts, action, categories, services }
Consentdeck.on('change', fn)    // bei jeder Änderung
```

Für den Link „Cookie-Einstellungen" im Fußbereich genügt `<button onclick="Consentdeck.open()">`.

## Erscheinungsbild

Fünf Vorlagen (Clean, Midnight, Minimal, Bold, Soft), jeweils mit heller und dunkler Farbwelt; Layout als Leiste oder Fenster, Overlay mit Abdunkelung und Weichzeichnung, Scroll-Sperre, eigenes CSS. Das Banner läuft im Shadow DOM und kollidiert mit keinem Theme. Geo-Regeln zeigen das Banner nur dort, wo es sein muss, mit Vorauswahl passend zur Rechtslage.

## Nachweis

Jede Entscheidung — auch Ablehnung und Widerruf — wird an `POST /api/consent/log?site=…` gemeldet und gespeichert: Zeitpunkt, Einwilligungs-ID, Version, Kategorien, Dienste, Aktion, Sprache, gekürzter Browser-Kennzeichner und ein **Tages-Hash der IP** (nie die IP selbst). Jeder Eintrag trägt einen **HMAC** über ID, Version, Auswahl, Zeitpunkt und Sprache. Im Admin fügen Sie eine Prüfsumme ein und rechnen sie gegen den Eintrag — gültig oder nicht. Aufbewahrung einstellbar, Export als CSV und JSON.

Die Entscheidung liegt im Browser im Cookie `consentdeck` (JSON, `SameSite=Lax`, Laufzeit einstellbar). Jedes Speichern im Admin erhöht die Version; Besucher werden dann erneut gefragt — Änderungen deshalb sammeln.

## Bewusst nicht enthalten

Kein A/B-Test des Banners (Optimierung auf Zustimmungsquote gilt als Nudging) und keine IAB-TCF-2.2-Zertifizierung: Consentdeck ist für Unternehmens-Websites, Shops und Portale ohne Werbenetzwerke gebaut. Wer AdSense oder Ad Manager einsetzt, braucht eine IAB-registrierte CMP.

Preise und Pakete (Free, Pro, Agentur) stehen unter [Pläne & Abrechnung](https://entrydeck.app/docs/plaene-abrechnung#consentdeck).

---

# Barrierefreiheit

> Das Barrierefreiheits-Widget von Entrydeck: 17 Module in vier Gruppen, Einbindung per Script-Tag auf jeder Website, Sprungziele, Tastenkürzel, ohne Cookies und ohne Tracking — Unterstützung für BFSG und WCAG.

Quelle: https://entrydeck.app/docs/barrierefreiheit · Stand: 2026-09-23

Das **Barrierefreiheits-Widget** lässt Besucher eine Website an ihre Bedürfnisse anpassen: Schriftgröße, Zeilenhöhe, Kontraste, Leselinie, Bilder ausblenden, Sprungziele. Es ist in jedem Entrydeck-Paket enthalten, wird je Website unter **Barrierefreiheit** konfiguriert und lässt sich per Script-Tag auch auf Websites einbinden, die nicht mit Entrydeck laufen. Auf der [Produktseite](https://entrydeck.app/#barrierefreiheit) steht die Kurzfassung.

## Warum

Seit dem 28. Juni 2025 gilt das **Barrierefreiheitsstärkungsgesetz (BFSG)**: Viele Websites und Online-Shops, die Verbraucherverträge anbahnen, müssen barrierefrei sein. Das Widget ersetzt keine barrierefreie Gestaltung (semantisches HTML, Kontraste, Tastaturbedienung bleiben Aufgabe des Frontends), ergänzt sie aber um Anpassungen, die Besucher selbst wählen — orientiert an den Erfolgskriterien der **WCAG 2.2**: Textgröße und -abstand (1.4.4, 1.4.12), Kontrast (1.4.3, 1.4.6), Bewegung (2.2.2, 2.3.3), Blöcke überspringen (2.4.1), Fokus (2.4.7).

## Einbindung

Websites, die Entrydeck rendert, binden das Skript automatisch ein, sobald das Widget aktiv ist. Für alle anderen Systeme genügt ein Tag vor `</body>`:

```html
<script src="https://entrydeck.app/api/a11y/embed.js?site=SITE_ID" defer></script>
```

Die Konfiguration steckt direkt im Skript — eine Anfrage statt zwei, mit `ETag` und fünf Minuten Cache. Ist das Widget für die Site abgeschaltet, liefert die Adresse ein leeres, harmloses Skript: kein 404 in der Konsole. Die Konfiguration allein gibt es unter `/api/a11y/config?site=SITE_ID` (JSON, CORS offen).

## Module

Das Panel zeigt Kacheln in vier Gruppen. Jedes Modul lässt sich je Website ein- oder ausschalten; ausgeschaltete Module sind für Besucher unsichtbar.

| Gruppe | Module |
| --- | --- |
| Inhaltsmodule | Schriftgröße (7 Stufen), Zeilenhöhe (3), Lesbare Schriftart, Großer Cursor, Buchstabenabstand (3), Ausrichten, Schriftstärke |
| Farbmodule | Heller Kontrast, Hoher Kontrast, Monochrom |
| Orientierungsmodule | Leselinie, Lese-Maske, Bilder ausblenden, Inhalt hervorheben, Animationen stoppen, Links hervorheben |
| Navigation | Zum Inhalt springen (Landmarken, Überschriften, eigene Sprungziele) |

Die Schriftgröße skaliert jedes Textelement ausgehend von seiner eigenen Größe — Überschriften bleiben Überschriften. „Lesbare Schriftart" ersetzt die Schrift durch eine serifenlose Systemschrift; es werden keine Schriften nachgeladen. „Animationen stoppen" schaltet Übergänge ab und hält Videos an.

## Sprungziele

„Zum Inhalt springen" listet automatisch die Landmarken der Seite (Hauptinhalt, Navigation, Fußbereich) und alle Überschriften. Eigene Sprungziele — das Kontaktformular, die Preisliste — ergänzen Sie mit Beschriftung und CSS-Selektor (`#kontakt`, `form.contact`). Fehlt das Element auf einer Seite, wird der Eintrag dort nicht angezeigt.

## Erscheinungsbild

Position (vier Ecken), Auslöser als Symbol oder Pille, Akzentfarbe, helles oder dunkles Thema oder automatisch nach System, Beschriftung je Sprache. Das Panel behält seine Größe, auch wenn ein Besucher die Schrift der Website vergrößert. Die Zeile „Unterstützt durch Entrydeck" lässt sich abschalten.

## Mehrsprachig

Das Skript bringt vollständige Oberflächentexte für **Deutsch und Englisch** mit und wählt nach der Seitensprache (`html lang`). Für andere Sprachen greift die eingestellte Standardsprache; die Beschriftung des Auslösers lässt sich je Sprache pflegen (auch FR, IT, ES vorbelegt).

## Tastatur

| Tasten | Wirkung |
| --- | --- |
| `Alt` + `Umschalt` + `A` | Panel öffnen bzw. schließen; holt eine ausgeblendete Symbolleiste zurück |
| `Tab` / `Umschalt` + `Tab` | im Panel zwischen Kacheln wechseln (Fokus bleibt im Panel) |
| `Esc` | Panel schließen |

Der Auslöser ist ein echter `<button>` mit `aria-label`; das Panel ist ein `dialog` mit Fokusfalle. Alle Kacheln sind per Tastatur bedienbar und melden ihren Zustand über `aria-pressed`.

## Datenschutz

Alle Einstellungen bleiben im Browser des Besuchers (`localStorage`) — ohne Cookies, ohne Tracking, ohne Anfrage an einen Dritten. Das Skript wird von unserem Server in Deutschland ausgeliefert und lädt nichts nach. Blendet ein Besucher die Symbolleiste aus, gilt das nur für die Sitzung.

## Vorschau im Admin

Die Live-Vorschau lädt das echte Skript auf einer Beispielseite. Was dort funktioniert, funktioniert auch auf der Website — auch vor dem Speichern. Weniger Kacheln machen das Panel übersichtlicher: Nicht jede Website braucht alle Module.

---

# Add-ons

> SmartCaptcha und Hellolead als Add-ons aus dem eigenen Haus: Aktivierung je Mandant, Konfiguration, Verhalten je Formular, Abrechnung.

Quelle: https://entrydeck.app/docs/addons · Stand: 2026-09-23

**Add-ons** sind optionale Funktionen, die je Mandant zugeschaltet werden. Was nicht aktiviert ist, taucht im Admin gar nicht erst auf. Beide Add-ons stammen von Kreativ Wolke, laufen auf Servern in Deutschland und laden keine fremden Skripte in das Frontend. Buchbar ab dem Professional-Paket; im Website-Paket ist SmartCaptcha bereits enthalten.

## SmartCaptcha

Spam-Schutz, den niemand bemerkt: eine unsichtbare Prüfung beim Absenden, ohne Bilderrätsel, ohne Klicks, ohne Cookies. Die Entscheidung fällt serverseitig in unter 80 Millisekunden.

**Konfiguration** unter **Add-ons → SmartCaptcha**:

| Feld | Bedeutung |
| --- | --- |
| Site-Key | öffentlich, wird dem Frontend über `GET /delivery/form/{slug}` mitgeliefert |
| Secret | geheim, bleibt auf dem Server; verifiziert jede Einsendung |
| Standard-Aktion | Name der Aktion, die das Widget meldet (z. B. `contact`) |
| API-Basis-URL | nur ändern, wenn Sie eine eigene SmartCaptcha-Instanz betreiben |

**Je Formular** lässt sich SmartCaptcha ein- und ausschalten und die Strenge einstellen. Das Frontend lädt das Widget von der mitgelieferten URL, hängt das Token an die Einsendung, der Server prüft es und speichert das Ergebnis in den Metadaten der Einsendung. Schlägt die Prüfung fehl, wird die Einsendung abgelehnt — mit einer Fehlermeldung, die das Frontend anzeigen kann.

```html
<!-- Frontend: Widget einbinden, Token beim Absenden mitschicken -->
<script src="{{ form.captcha.widgetUrl }}" defer></script>
<form data-smartcaptcha-sitekey="{{ form.captcha.siteKey }}"> … </form>
```

## Hellolead

Aus einem Formulareingang wird ein Kontakt: Eingegangene Formulare werden automatisch als Lead an Hellolead übergeben — mit Feldzuordnung und ohne Copy-und-paste zwischen zwei Systemen.

**Konfiguration** unter **Add-ons → Hellolead**:

| Feld | Bedeutung |
| --- | --- |
| API-Basis-URL | Adresse Ihrer Hellolead-Instanz |
| Kampagnen-API-Key | Schlüssel der Kampagne, in der die Leads landen |
| Standard-Quelle | Herkunft, die jeder Lead trägt (z. B. `website`) |
| Einwilligung (Standard) | ob eine Einwilligung vorliegt, falls das Formular kein Einwilligungsfeld hat |

**Je Formular** ordnen Sie Formularfelder den Lead-Feldern zu (Name, E-Mail, Telefon, Firma, Nachricht, Einwilligung) und schalten die Übergabe ein. Die Übergabe erfolgt direkt beim Eingang; ein Fehler blockiert nie den Eingang — die Einsendung wird immer gespeichert und das Ergebnis der Übergabe protokolliert, damit sich ein Lead später nachreichen lässt.

## Consentdeck als Add-on

Auf dem Entrydeck-Host erscheint Consentdeck ebenfalls in der Add-on-Liste — als Teil jedes Pakets, ohne Aufpreis. Die Konfiguration liegt je Website unter **Consentdeck**, siehe [Consentdeck](https://entrydeck.app/docs/consentdeck).

## Aktivieren und Deaktivieren

- **Aktivieren wirkt sofort**: Nach dem Einschalten erscheinen die zugehörigen Menüpunkte, Blöcke und Formularoptionen beim nächsten Seitenaufruf.
- **Konfiguration je Add-on**: Fehlt die Konfiguration, ist das Add-on zwar aktiv, tut aber nichts.
- **Deaktivieren löscht keine Daten**: Ausgeschaltete Add-ons behalten ihre Einstellungen; beim erneuten Einschalten ist alles wieder da.
- Secrets werden verschlüsselt gespeichert und nach dem Speichern nie wieder im Klartext angezeigt.

## Abrechnung

SmartCaptcha und Hellolead sind eigenständige Dienste von Kreativ Wolke und werden separat nach ihren eigenen Tarifen abgerechnet. Im CMS sind sie ab dem Professional-Paket als Add-on buchbar; Details unter [Pläne & Abrechnung](https://entrydeck.app/docs/plaene-abrechnung).

---

# Pläne & Abrechnung

> Die Pakete von Entrydeck (Starter, Website-Paket, Professional, Business, Enterprise) und Consentdeck (Free, Pro, Agentur): Umfang, Limits, Preise, Laufzeiten, Kündigung und Rechnung.

Quelle: https://entrydeck.app/docs/plaene-abrechnung · Stand: 2026-09-23

Alle Preise verstehen sich in Euro **zzgl. MwSt.** Jährliche Zahlung entspricht zehn Monatsraten — zwei Monate gratis. Die Pakete sind monatlich kündbar, es gibt keine Einrichtungsgebühr und keine Mindestlaufzeit. Hosting in Deutschland ist in jedem Paket enthalten. Die aktuelle Übersicht steht unter [Preise](https://entrydeck.app/#preise).

## Entrydeck

| Paket | Preis / Monat | Websites | Nutzer | Medien | Wofür |
| --- | --- | --- | --- | --- | --- |
| Starter | 29 € | 1 | 3 | 5 GB | die erste Website, die sauber laufen soll |
| Website-Paket | 79 € | 1 | 3 | 10 GB | fertige Website aus dem KI-Assistenten, inklusive Hosting |
| Professional | 79 € | 5 | 10 | 50 GB | Agenturen mit mehreren Auftritten aus einer Redaktion |
| Business | 199 € | unbegrenzt | 50 | 250 GB | Portale und Konzerne mit vielen Marken und Sprachen |
| Enterprise | auf Anfrage | unbegrenzt | unbegrenzt | nach Bedarf | Self-Hosting, White-Label, SSO, SLA |

**In jedem Paket enthalten:** Inhaltstypen, Seiten und Blöcke, Medien mit Varianten, Formulare, Newsletter mit Double-Opt-in, Delivery-API mit eigenem API-Key, Consentdeck, Barrierefreiheits-Widget, zweisprachige Oberfläche, Hosting in Deutschland.

**Ab Professional:** Import-Mapper für JSON, REST und GraphQL, Workflows (Entwurf → Prüfung → Freigabe → Veröffentlicht), Rollen, Rechte und Änderungsprotokoll, Add-ons buchbar, Support werktags.

**Ab Business:** eigene S3-Anbindung je Mandant, API-Priorität und höhere Limits, SLA 99,9 % Verfügbarkeit, Onboarding und Schulung.

**Enterprise:** Betrieb auf Ihrer Infrastruktur oder Self-Hosting, White-Label (eigenes Logo, eigene Domain), Single Sign-on, individuelles SLA mit benanntem Ansprechpartner, individuelle Entwicklung und Datenmigration.

Das **Website-Paket** ist der schnellste Weg zu einer fertigen Website: Branche wählen, Fragen beantworten, in zehn Minuten online — mit Entrydeck Starter, Consentdeck, SmartCaptcha, generiertem Impressum und Datenschutzerklärung.

## Consentdeck

Consentdeck ist in jedem Entrydeck-Paket enthalten und außerdem eigenständig buchbar. Gezählt werden Domains und Sitzungen, nicht Inhalte.

| Paket | Preis / Monat | Domains | Sitzungen | Besonderheiten |
| --- | --- | --- | --- | --- |
| Free | 0 € | 1 | 5.000 / Monat | Banner, Consent Mode v2, Cookie-Erklärung, Nachweis mit Prüfsumme |
| Pro | 9 € | 5 | unbegrenzt | Scanner mit Zeitplan, GTM-Export, Plugins, Erscheinungsbild, CSV/JSON-Export |
| Agentur | 29 € | unbegrenzt | unbegrenzt | White-Label-Banner, API-Zugriff, mehrere Nutzer mit Rollen, vorrangiger Support |

Das Free-Paket ist dauerhaft kostenlos, ohne Kreditkarte.

## Add-ons

SmartCaptcha und Hellolead sind eigenständige Dienste mit eigenen Tarifen und werden separat abgerechnet. Im CMS sind sie ab Professional buchbar; im Website-Paket ist SmartCaptcha enthalten. Siehe [Add-ons](https://entrydeck.app/docs/addons).

## Limits

- **Websites, Nutzer, Medien** sind je Paket begrenzt (Tabelle oben). Bestehende Inhalte bleiben bei einem erreichten Limit unangetastet.
- **Medienspeicher** zählt nur bei lokalem Speicher. Mit eigenem S3-Bucket (ab Business) liegt der Speicher bei Ihnen.
- **API-Aufrufe** sind in Starter bis Professional fair-use-begrenzt; Business erhält Priorität und höhere Limits.

## Laufzeit, Kündigung, Wechsel

- Monatliche Zahlung: Kündigung jederzeit zum Monatsende.
- Jährliche Zahlung: zehn Monatsraten im Voraus, Kündigung zum Ende des Jahres.
- Ein Wechsel in ein größeres Paket ist jederzeit möglich; ein Wechsel nach unten gilt ab der nächsten Abrechnung, sofern die Limits des kleineren Pakets eingehalten sind.

## Rechnung und Zahlung

Rechnungen kommen je nach Zahlweise monatlich oder jährlich per E-Mail. Consentdeck wird gemeinsam mit Entrydeck abgerechnet. Auf Wunsch schließen wir eine **Auftragsverarbeitung nach Art. 28 DSGVO** ab, siehe [Sicherheit & Datenschutz](https://entrydeck.app/docs/sicherheit-datenschutz).

## Demo und Test

Wir zeigen das System an einem echten Mandanten: 30 Minuten, online, ohne Vorbereitung — [Demo anfragen](https://entrydeck.app/#demo). Ein Angebot gibt es erst, wenn Sie es möchten.

---

# Sicherheit & Datenschutz

> Hosting in Deutschland, Mandantentrennung, Zwei-Faktor-Authentifizierung und Single Sign-on, Rollen und Rechte, Audit-Log, Backups, Auftragsverarbeitung, Datenschutz auf den Produktseiten und in Consentdeck.

Quelle: https://entrydeck.app/docs/sicherheit-datenschutz · Stand: 2026-09-23

Entrydeck wird von Kreativ Wolke entwickelt und betrieben — auf Servern in Deutschland, ohne Fremd-CDN, ohne Tracking auf den Produktseiten. Diese Seite fasst zusammen, wie Daten geschützt werden und welche Werkzeuge Sie selbst in der Hand haben.

## Hosting

- **Standort Deutschland**: Rechenzentrum in Deutschland, Betrieb durch Kreativ Wolke. Keine Übermittlung in Drittländer für den Betrieb des CMS.
- **Transport**: TLS für alle Verbindungen (Admin, API, Skript-Auslieferung), `upgrade-insecure-requests` im Admin.
- **Content Security Policy** im Admin mit Nonce für Skripte, `frame-ancestors 'none'`, keine Inline-Skripte ohne Nonce.
- **Enterprise**: Betrieb auf Ihrer Infrastruktur oder Self-Hosting.

## Mandantentrennung

Jeder Kunde ist ein **Mandant** mit eigenen Benutzern, Rollen, Inhalten und Medien. Alle Datenbankabfragen sind an den Mandanten gebunden; die Delivery API antwortet nur mit Inhalten, die der authentifizierten Website zugewiesen sind. Ein gefälschter `x-site-host`-Header ohne Plattform-Schlüssel wird ignoriert.

## Rollen und Rechte

Rechte hängen an **Rollen**, nicht an Personen. Eine Rolle bündelt Rechte wie `content.publish`, `pages.edit`, `media.delete`, `settings.manage` — je Website und Inhaltstyp einschränkbar. Typische Rollen: Redaktion (anlegen, bearbeiten, zur Prüfung geben), Chefredaktion (freigeben, veröffentlichen), Administration (Einstellungen, Benutzer). Super-Admins sehen alle Mandanten und sind nur für den Betrieb gedacht.

- Änderungen an Rollen greifen bei der nächsten Anmeldung.
- Konten lassen sich **sperren** statt löschen — sie bleiben im Audit-Log sichtbar.
- Passwörter: mindestens acht Zeichen, gespeichert nur als bcrypt-Hash; ein neues Passwort beendet aktive Sitzungen.
- Anmeldung mit Rate-Limit (fünf Versuche je Minute); Passwort-Zurücksetzen per E-Mail-Link.

## Zwei-Faktor-Authentifizierung

Jedes Konto kann unter **Einstellungen → Sicherheit** einen zweiten Faktor einrichten — **optional je Nutzer**:

1. QR-Code mit einer Authenticator-App scannen (etwa Google Authenticator, Microsoft Authenticator, 1Password).
2. Den Bestätigungscode der App eingeben — damit ist der zweite Faktor aktiv.
3. Die **zehn Backup-Codes** sicher ablegen; jeder gilt einmal und ersetzt die App, wenn das Gerät fehlt.

Deaktivieren geht an derselben Stelle mit Passwort und aktuellem Code. Administratoren setzen unter **Einstellungen → Sicherheit** die Mandanten-Richtlinie **„2FA erzwingen"**: Dann kommt niemand ohne zweiten Faktor ins Admin. Verliert ein Nutzer sein Gerät und die Backup-Codes, setzt ein Super-Admin den zweiten Faktor in der **Nutzerverwaltung** zurück.

| Einstellung | Wirkung |
| --- | --- |
| Optional (Standard) | jeder Nutzer entscheidet selbst |
| „2FA erzwingen" je Mandant | alle Nutzer des Mandanten müssen einen zweiten Faktor einrichten |
| Zurücksetzen (Super-Admin) | der zweite Faktor eines Kontos wird entfernt, der Nutzer richtet ihn neu ein |

## Single Sign-on

Statt Passwörtern meldet sich das Team mit dem Firmenkonto an. Unter **Einstellungen → Anmeldung & SSO** legen Sie einen Provider an — **global** (nur Super-Admin, gilt für alle Mandanten) oder **je Mandant**:

| Provider-Typ | Wofür |
| --- | --- |
| Google | Google-Workspace-Konten |
| Microsoft Entra ID | Microsoft-365-Konten (ehemals Azure AD) |
| Generisches OpenID Connect | Keycloak, Okta, Authentik und jeder andere OIDC-Anbieter |

Beim Anbieter hinterlegen Sie die **Redirect-URI**, die das Formular zum Kopieren anzeigt:

```text
https://entrydeck.app/api/v1/auth/sso/<provider-id>/callback
```

Zurück in Entrydeck tragen Sie Client-ID, Client-Secret und (bei OpenID Connect) die Issuer-URL ein. Weitere Optionen je Provider:

- **Domain-Whitelist**: nur Konten dieser E-Mail-Domains dürfen sich anmelden.
- **Neue Nutzer automatisch anlegen** mit einer Standardrolle — Kollegen brauchen keine Einladung.
- **„Verbindung testen"** prüft die Konfiguration, bevor der Provider live geht.

Auf der Login-Seite erscheint je Provider eine Schaltfläche. Scheidet jemand aus dem Unternehmen aus, endet mit dem Firmenkonto auch der Zugriff auf Entrydeck. Nicht enthalten sind SAML und Passkeys — wer SAML braucht, setzt einen OIDC-fähigen Identity-Provider davor.

## Audit-Log

Wer hat wann was geändert: Das Protokoll wird automatisch geschrieben und lässt sich nicht bearbeiten. Einträge enthalten Benutzer, Aktion, Objekt, Zeitpunkt und bei vielen Aktionen die geänderten Felder mit Vorher/Nachher. Filter nach Benutzer, Aktion und Zeitraum. Das Protokoll erklärt, was passiert ist — wiederherstellen muss man im jeweiligen Editor.

## Schlüssel und Secrets

- **API-Keys** je Website, jederzeit neu erzeugbar; der alte verliert sofort seine Gültigkeit.
- **Add-on-Secrets** (SmartCaptcha, Hellolead) werden verschlüsselt gespeichert und nach dem Speichern nie wieder im Klartext angezeigt.
- Sitzungen laufen über signierte, ablaufende Tokens; die Abmeldung beendet die Sitzung.

## Backups

Die Datenbank wird täglich automatisch auf dem Server gesichert. Mit eigenem S3-Bucket verantworten Sie die Sicherung der Medien selbst — oder wir richten die Versionierung des Buckets mit Ihnen ein.

## Logs

Die Zugriffs- und Fehlerprotokolle des Webservers werden täglich rotiert und nach 14 Tagen gelöscht. Sie dienen der Fehlersuche und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Es gibt keine Nutzungsprofile und keine Weitergabe.

## Datenschutz auf den Produktseiten

Die Produktseiten unter entrydeck.app und consentdeck.app laden nichts von Dritten, setzen keine Cookies, für die eine Einwilligung nötig wäre, und binden Schriften lokal ein. Deshalb gibt es dort kein Einwilligungsbanner. Details in der [Datenschutzerklärung](https://entrydeck.app/datenschutz).

## Datenschutz in Consentdeck und im Widget

- **Consentdeck** speichert je Entscheidung einen Tages-Hash der IP, nie die IP selbst; keine Profile, keine Weitergabe; Aufbewahrung einstellbar, ältere Einträge werden automatisch gelöscht. Details unter [Consentdeck](https://entrydeck.app/docs/consentdeck#nachweis).
- Das **Barrierefreiheits-Widget** speichert Einstellungen ausschließlich im Browser des Besuchers, ohne Cookies und ohne Anfrage an Dritte.
- **Formular-Einsendungen** enthalten personenbezogene Daten. Löschen ist je Eintrag möglich; Benachrichtigungen gehen nur an hinterlegte Adressen.

## Auftragsverarbeitung

Auf Wunsch schließen wir einen Vertrag zur **Auftragsverarbeitung nach Art. 28 DSGVO** mit Ihnen ab, inklusive Verzeichnis der technischen und organisatorischen Maßnahmen und der Liste der Subunternehmer (Rechenzentrum). Schreiben Sie an [post@kreativ-wolke.de](mailto:post@kreativ-wolke.de).

## Sicherheitsmeldungen

Wer eine Schwachstelle findet, schreibt bitte an [post@kreativ-wolke.de](mailto:post@kreativ-wolke.de). Wir melden uns zurück und geben Bescheid, sobald die Lücke geschlossen ist.

---

# Häufige Fragen

Quelle: https://entrydeck.app/faq

## Allgemein

### Was heißt „Master-CMS"?

Ein Inhalt wird einmal gepflegt und an beliebig viele Websites ausgespielt. Jede Website entscheidet selbst, welche Inhaltstypen und Einträge sie übernimmt — ohne Kopieren, ohne doppelte Pflege. Ändert sich der Inhalt, ändert er sich überall.

### Ist Entrydeck ein Headless-CMS?

Ja — und mehr. Inhalte kommen über die Delivery-API als JSON in jedes Frontend (Nuxt, Next, Astro, PHP). Zusätzlich bringt Entrydeck einen eigenen Renderer mit, mit dem eine Website ohne eigene Entwicklung online geht, inklusive Hosting in Deutschland.

### Brauche ich Entwickler, um loszulegen?

Für die Redaktion nicht. Inhaltstypen entstehen im Klick-Baukasten, Seiten im Drag-and-drop-Editor mit Blöcken, und das KI-Onboarding baut aus wenigen Angaben eine komplette Website. Entwickler kommen erst ins Spiel, wenn ein eigenes Frontend gebaut wird — dafür genügt die Delivery-API mit einem API-Key je Website.

### Für wen ist Entrydeck gedacht?

Für Agenturen, die mehrere Auftritte aus einer Redaktion bespielen, für Mittelstand und Verbände mit mehreren Marken oder Standorten, für Portale mit vielen Sprachen und für Behörden, die Hosting in Deutschland und Barrierefreiheit brauchen.

### Wie funktioniert die Freigabe im Team?

Jeder Inhalt durchläuft Entwurf → Prüfung → Freigabe → Veröffentlicht. Wer welchen Schritt gehen darf, steuern Rollen und Rechte je Website und Inhaltstyp. Jede Änderung landet im Änderungsprotokoll mit Vorher/Nachher.

### Was macht das KI-Onboarding genau?

Der Assistent fragt Branche, Zielgruppe, Leistungen und Tonalität ab und baut daraus Seiten mit Blöcken und Texten, Inhaltstypen mit Beispieleinträgen, Navigation, Formulare und Platzhalterbilder. Impressum und Datenschutzerklärung entstehen aus festen Bausteinen, nicht aus der KI. Vor dem Anwenden lässt sich jeder Text ändern; bestehende Seiten werden nie überschrieben.

### Spricht die Oberfläche auch Englisch?

Ja. Das Admin ist auf Deutsch und Englisch verfügbar, folgt dem Systemthema (hell/dunkel) und ist per Tastatur bedienbar. Inhalte lassen sich in beliebig vielen Sprachen pflegen.

## Preise & Verträge

### Was kostet Entrydeck?

Starter ab 29 € im Monat, Website-Paket und Professional 79 €, Business 199 €, Enterprise auf Anfrage — jeweils zzgl. MwSt. Bei jährlicher Zahlung entspricht der Preis zehn Monatsraten. Die vollständige Übersicht steht unter /preise.

### Gibt es eine Mindestlaufzeit oder Einrichtungsgebühr?

Nein. Die Pakete sind monatlich kündbar, es gibt keine Einrichtungsgebühr. Bei jährlicher Zahlung gehen zwei Monate aufs Haus.

### Was ist in jedem Paket enthalten?

Inhaltstypen, Seiten und Blöcke, Medien mit Varianten, Formulare, Newsletter mit Double-Opt-in, Delivery-API mit eigenem API-Key, Consentdeck, das Barrierefreiheits-Widget und Hosting in Deutschland. Import-Mapper, Workflows und Add-ons kommen ab Professional dazu.

### Was kosten SmartCaptcha und Hellolead?

Beide sind eigenständige Dienste von Kreativ Wolke und werden separat nach eigenen Tarifen abgerechnet. Im CMS sind sie ab dem Professional-Paket als Add-on buchbar und lassen sich je Formular ein- und ausschalten. Im Website-Paket ist SmartCaptcha enthalten.

### Kann ich das Paket später wechseln?

Ja. Nach oben jederzeit, nach unten ab der nächsten Abrechnung, sofern die Limits des kleineren Pakets eingehalten sind.

### Kann ich das CMS selbst hosten?

Ja, im Enterprise-Paket. Dort läuft die Plattform auf Ihrer Infrastruktur, optional mit White-Label, Single Sign-on und eigenem SLA.

## Technik & API

### Wie hole ich Inhalte in mein Frontend?

Über die Delivery-API unter /api/v1/delivery mit dem Header x-api-key. GET /site liefert Website und Theme, GET /page?route=/&locale=de eine Seite mit Blöcken und SEO-Objekt, GET /content/{typ} Listen mit Filter und Sortierung, GET /navigation/{handle} ein Menü. Beispiele mit curl und fetch stehen in der Dokumentation.

### Welche Frontends werden unterstützt?

Jedes, das HTTP und JSON spricht: Nuxt, Next, Astro, SvelteKit, PHP, statische Generatoren. Entrydeck schreibt nicht vor, wie gerendert wird — auch mehrere Frontends für eine Website sind möglich.

### Was bedeutet expand?

Relations- und Medienfelder enthalten standardmäßig nur IDs. Mit expand=relations kommen die verknüpften Einträge mit, mit expand=media die Medienobjekte inklusive URL, Varianten, Abmessungen und Alternativtext; expand=all beides.

### Liefert die API fertige SEO-Daten?

Ja. Jede Seite und jeder Eintrag trägt ein seo-Objekt mit Titel, Beschreibung, Canonical, robots, Open Graph, hreflang-Alternativen, Geo-Meta-Tags und JSON-LD. Das Frontend setzt es nur noch in den Head.

### Wo liegen die Medien?

Je Mandant wahlweise lokal auf unseren Servern in Deutschland oder in Ihrem eigenen S3-kompatiblen Bucket (AWS, Hetzner, MinIO). Beim Upload entstehen automatisch Varianten in allen benötigten Größen, inklusive Posterbild für Videos.

### Wie werden Formulare validiert?

Die Regeln je Feld (Pflicht, Länge, Muster, E-Mail, Telefon, PLZ, IBAN, Datei) liegen als JSON und werden von derselben Engine im Browser und auf dem Server geprüft. Das Frontend zeigt Fehler sofort, der Server entscheidet endgültig.

### Gibt es Webhooks?

Ja. Unter Einstellungen → Webhooks hinterlegen Sie URLs, die bei Ereignissen wie „Eintrag veröffentlicht" aufgerufen werden — etwa um ein statisches Frontend neu zu bauen. Jede Auslieferung wird protokolliert.

## Consentdeck

### Was ist Consentdeck?

Die Einwilligungsverwaltung von Entrydeck: Banner mit Script-Blocking, Cookie-Scanner, automatische Cookie-Erklärung, Google Consent Mode v2, GTM-Export und ein Protokoll mit Prüfsumme je Entscheidung. In jedem Entrydeck-Paket enthalten und unter consentdeck.app eigenständig buchbar — mit dauerhaft kostenlosem Free-Paket.

### Wie binde ich Consentdeck ein?

Ein Script-Tag im Kopf der Seite mit Ihrer Site-ID, 17 kB, ohne Abhängigkeiten. Für WordPress, TYPO3, Shopware 6 und Joomla 5 gibt es Plugins mit eingebackener Site-ID. Websites, die Entrydeck rendert, binden das Skript automatisch ein.

### Blockiert Consentdeck wirklich alles?

Skripte, iframes, Bilder und Zählpixel werden zurückgehalten, bis die passende Kategorie erlaubt ist — auch solche, die ein anderes Plugin erst zur Laufzeit einfügt. Für Karten und Videos erscheint ein Platzhalter mit Ladeknopf. Eigene Skripte kennzeichnen Sie mit type="text/plain" und data-consent.

### Was ist mit Google Consent Mode v2 und dem Tag Manager?

Alle Signale stehen vor dem ersten Tag auf denied und werden nach der Entscheidung aktualisiert. Zusätzlich sendet Consentdeck dataLayer-Ereignisse. Für den Tag Manager erzeugt es einen Container mit Variablen, Triggern und Tags, den Sie einmal importieren.

### Wie lässt sich eine Einwilligung nachweisen?

Jede Entscheidung — auch Ablehnung und Widerruf — wird mit Zeitpunkt, Auswahl, Version und einem HMAC gespeichert. Im Admin fügen Sie die Prüfsumme ein und rechnen sie gegen den Eintrag. Export als CSV und JSON; die IP wird nur als Tages-Hash gespeichert.

### Brauche ich TCF 2.2?

Nur wenn Sie Werbenetzwerke wie AdSense oder Google Ad Manager einsetzen. Dafür braucht es eine IAB-registrierte CMP — Consentdeck ist das bewusst nicht. Für Unternehmens-Websites, Shops und Portale ohne Werbenetzwerke ist TCF nicht erforderlich.

### Was kostet Consentdeck?

Free: 0 € für eine Domain und 5.000 Sitzungen im Monat. Pro: 9 € je Website und Monat mit Scanner nach Zeitplan, GTM-Export und Plugins. Agentur: 29 € mit unbegrenzten Domains, White-Label und API. Für Entrydeck-Kunden ist Consentdeck im Paket enthalten.

## Barrierefreiheit

### Was macht das Barrierefreiheits-Widget?

Besucher passen die Website an ihre Bedürfnisse an: Schriftgröße, Zeilenhöhe, lesbare Schrift, Kontraste, Monochrom, Leselinie, Lese-Maske, Bilder ausblenden, Animationen stoppen, Links hervorheben und „Zum Inhalt springen" mit Landmarken, Überschriften und eigenen Sprungzielen. 17 Module in vier Gruppen, je Website einzeln schaltbar.

### Ist das Widget im Preis enthalten?

Ja, in jedem Entrydeck-Paket, ohne Plugin und ohne Aufpreis. Auf der Produktseite unter /#barrierefreiheit steht die Kurzfassung.

### Funktioniert es auch auf Websites, die nicht mit Entrydeck laufen?

Ja. Ein einzelner Script-Tag vor </body> mit der Site-ID genügt — WordPress, TYPO3, Shopify oder handgeschriebenes HTML. Die Konfiguration steckt im Skript, es wird nichts nachgeladen.

### Erfüllt das Widget das BFSG?

Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025. Ein Widget ersetzt keine barrierefreie Gestaltung — semantisches HTML, Kontraste und Tastaturbedienung bleiben Aufgabe des Frontends. Es ergänzt sie um Anpassungen, die Besucher selbst wählen, orientiert an den WCAG-2.2-Kriterien zu Textgröße, Kontrast, Bewegung und Sprungzielen.

### Welche Sprachen spricht das Widget?

Deutsch und Englisch vollständig; das Skript wählt nach der Seitensprache. Die Beschriftung des Auslösers lässt sich je Sprache pflegen, auch für Französisch, Italienisch und Spanisch vorbelegt.

### Speichert das Widget Daten über Besucher?

Nein. Alle Einstellungen bleiben im Browser des Besuchers, ohne Cookies, ohne Tracking und ohne Anfrage an Dritte. Das Skript kommt von unserem Server in Deutschland.

## Datenschutz & Hosting

### Wo liegen meine Daten?

Auf Servern in Deutschland, betrieben von Kreativ Wolke, ohne Fremd-CDN. Medien speichern wir je Mandant lokal oder in Ihrem eigenen S3-Bucket. Die Datenbank wird täglich automatisch gesichert.

### Schließen Sie eine Auftragsverarbeitung ab?

Ja, auf Wunsch nach Art. 28 DSGVO — inklusive Verzeichnis der technischen und organisatorischen Maßnahmen und der Liste der Subunternehmer. Schreiben Sie an post@kreativ-wolke.de.

### Wie sind Mandanten voneinander getrennt?

Jeder Kunde ist ein Mandant mit eigenen Benutzern, Rollen, Inhalten und Medien. Alle Abfragen sind an den Mandanten gebunden; die Delivery-API antwortet nur mit Inhalten, die der authentifizierten Website zugewiesen sind.

### Wie sicher ist die Anmeldung am Admin?

Zwei-Faktor-Authentifizierung richtet jeder Nutzer unter Einstellungen → Sicherheit ein (QR-Code für die Authenticator-App, zehn Backup-Codes); Administratoren können sie für den ganzen Mandanten erzwingen. Single Sign-on gibt es unter Einstellungen → Anmeldung & SSO mit Google, Microsoft Entra ID und jedem OpenID-Connect-Anbieter – mit Domain-Whitelist und automatischem Anlegen neuer Nutzer. Ihr Team meldet sich mit dem Firmenkonto an, Ausscheiden heißt sofort kein Zugriff mehr. Passwörter werden nur als Hash gespeichert, die Anmeldung ist gegen Brute-Force gedrosselt.

### Setzen die Produktseiten Cookies?

Nein. entrydeck.app und consentdeck.app laden nichts von Dritten, setzen keine Cookies, für die eine Einwilligung nötig wäre, und binden Schriften lokal ein. Deshalb gibt es dort kein Einwilligungsbanner.

### Wie lange werden Server-Logs aufbewahrt?

Die Protokolle des Webservers werden täglich rotiert und nach 14 Tagen gelöscht. Sie dienen der Fehlersuche und der Abwehr von Angriffen; es gibt keine Nutzungsprofile und keine Weitergabe.

## Migration von WordPress und TYPO3

### Wie hole ich meine Inhalte aus WordPress oder TYPO3 herüber?

Über den Content-Mapper: Sie hinterlegen eine Quelle (JSON, REST oder GraphQL — bei WordPress die REST-API unter /wp-json/wp/v2), ordnen die Felder per Klick den Feldern Ihres Inhaltstyps zu — Relationen und Bilder eingeschlossen — und legen einen Zeitplan fest. Der Import läuft wiederholbar und protokolliert jeden Lauf.

### Bleiben meine URLs erhalten?

Ja, wenn Sie es wollen: Slugs und Pfade werden aus der Quelle übernommen oder frei vergeben. Für geänderte Adressen richtet das Frontend Weiterleitungen ein; die Sitemap der Delivery-API listet alle veröffentlichten Pfade.

### Was passiert mit Plugins und Extensions?

Das meiste, wofür WordPress und TYPO3 Erweiterungen brauchen, ist in Entrydeck enthalten: Formulare, Newsletter, Medienvarianten, SEO, Mehrsprachigkeit, Consent, Barrierefreiheit, Workflows, Rollen. Was fehlt, bauen wir im Enterprise-Paket oder Sie im Frontend.

### Kann das alte System parallel weiterlaufen?

Ja. Bis zum Umschalten der Domain läuft der Mapper nach Zeitplan und hält Entrydeck aktuell — das alte System bleibt bis zur letzten Minute führend. Der Umzug ist damit ein Umschalten, kein Sprung.

### Wie lange dauert eine Migration?

Der Aufwand steckt in der Zielstruktur, nicht im Import: Sind die Inhaltstypen modelliert, holt der Mapper die Bestände wiederholbar herüber. Für Portale mit vielen Relationen planen wir gemeinsam — auch das gehört zur Demo.