// Chrome DevTools Extension

Tracking Auditor Extension

Ein schlankes Panel für die Chrome-DevTools, das jeden Tracking-Hit des inspizierten Tabs mitschneidet und lesbar aufbereitet. Erfasst werden Requests an GA4, Google Ads, Floodlight, Meta, Bing UET, TikTok, Pinterest, LinkedIn, Reddit, Snapchat, HubSpot, Criteo, Taboola, Outbrain und Awin – 15 Dienste, einschließlich alternativer Transportwege.

Der Fokus liegt auf dem Google Produktumfeld und anderen Marketing-Tools, explizit nicht weitere Webanalyse-Lösungen wie Piwik PRO, Matomo oder anderen. Hierfür bleibt der Analytics Debugger meine erste Wahl ;) Diese Extension existiert eher deshalb, weil Sonderfälle üblicherweise übersehen werden und ich gern ein Gesamtbild in einem laufenden "Stream" von Requests an einer zentralen Stelle ohne viel Klicks haben wollte.

Denn moderne Setups senden ihre Daten längst nicht mehr nur an die Standard-Endpunkte: Ob server-side GTM, Stape Custom Loader, ein Meta-First-Party-Proxy oder eine ganz eigene Ausspielung – der Tracking Auditor erkennt sie und dekodiert Events, Parameter und Consent-Status direkt an Ort und Stelle. Kein Umweg über den Netzwerk-Tab, kein manuelles Entschlüsseln von Query-Strings.

Außerdem sind mir die zahlreichen "Pixel Helper", welche sonst für die weiteren unterstützten Services benötgt werden, eine ungeliebte Last im Browser. Deshalb soll diese Extension eine Alternative anbieten, die ein Debugging in einer gemeinsamen Ansicht möglich macht.

Alle Hits auf einen Blick

Jeder erfasste Request erscheint als farblich nach Dienst kodierte Karte – mit Zeitstempel, Event-Name, ID sowie den wichtigsten Kennzeichen: Consent-Status (AD: GRANTED, ANALYTICS: GRANTED), Umsatz und Währung, E-Commerce-Kennung, Deduplizierung, Enhanced/Advanced Matching und erkannte PII-Felder (1× EMAIL, 1× PHONE …).

So sieht man auf einer Seite, welche Plattformen bei einem Seitenaufruf oder Kauf feuern, ob der Consent-Zustand passt und ob Umsatzwerte konsistent übergeben werden – ohne einen einzigen Request von Hand aufklappen zu müssen.

Eine Aktion, eine Karte: Viele Dienste fächern eine einzelne Nutzeraktion über mehrere gespiegelte Requests auf – Google Ads über Conversion-, Remarketing- und Measurement-Endpunkte, Floodlight über activity + activityi, LinkedIn über /collect + /wa/, Awin über sread auf mehreren Domains. Statt jeden Mirror einzeln zu listen, faltet der Auditor alle Spiegelungen eines logischen Hits in eine einzige Karte (mit ×N transports) und zeigt so, was passiert ist – nicht, wie oft der Browser dafür nach Hause telefoniert hat.

15 Dienste – vom Standard-Pixel bis zum Affiliate-Netzwerk

Der Fokus liegt auf dem Google-Produktumfeld und den großen Marketing-Plattformen. Erkannt und dekodiert werden:

• GA4 – Standard, first-party sGTM / Google Tag Gateway, Stape & taggrs Custom Loader, eigene Klartext-Auslieferungspfade
• Google Ads – Conversion, Remarketing/Audience, Enhanced-Conversions-UPD, dynamische Remarketing-Produktdaten; Transport-Fan-out in eine Karte gefaltet
• Floodlight – Google Marketing Platform (CM360 / DV360), Counter- und Sales-Activities inkl. Matrix-Parameter
• Meta (Facebook) Pixel – alle Events, GET oder Form-POST, plus Warnung bei stillen Pixeln
• Bing / Microsoft UET – Standard-Tag und first-party-proxied action, mit asc-Consent-Auswertung
• TikTok Pixel – alle Events, Advanced Matching, Data-Quality-Signale
• Pinterest Tag – alle Events, Enhanced Match
• LinkedIn Insight Tag – Page Views, Conversions und der /wa/-Enhanced-Conversions-POST als eigene Karte
• Reddit Pixel – alle Events, manuelle und auto-erfasste gehashte Identifier
• Snapchat Pixel – alle Events, vollständiger gehashter Identifier-Satz (E-Mail, Telefon, Name, Geo, Alter)
• HubSpot – Page View, Custom Events, automatische Erfassung und Collected Forms inkl. Identitätsdaten (Klartext)
• Criteo – OneTag-Event-Beacon, doppelt kodiertes Item-Array mit berechnetem Umsatz, Klartext-E-Mail, Consent
• Taboola – Pixel-Beacons / Page View, alle Events, gehashte E-Mail, Consent
• Outbrain – Page View, alle Events, Conversion-Pixel (das Native-Ads-Pendant zu Taboola)
• Awin – Affiliate-MasterTag, Sale und Product-Level-Tracking über mehrere gespiegelte Transportwege

Bewusst voreingestellt: Um bei aktiven Setups keine Pill-Flut zu erzeugen, zeichnen die vier Nischen-/Affiliate-Dienste Criteo, Taboola, Outbrain und Awin standardmäßig nicht auf. Wer einen davon debuggen möchte, aktiviert ihn einmalig über die RECORD-Auswahl. Neu ist außerdem eine Option, die farbige Hintergrund-Codierung der Karten je Dienst bei Bedarf abzuschalten.

Jeden Hit im Detail dekodiert

Ein Klick klappt die Karte auf und zeigt den vollständig aufgeschlüsselten Request: Event-Name, Measurement-ID, Transportweg (Standard, sGTM, Custom Loader), Methode und die komplette Request-URL.

Hilfreich für die Bestimmung passender Flags in den Requests ist der Consent-Block: Er stellt gcs und gcd im Klartext dar und zeigt für jede Kategorie den Übergang – etwa ad_storage: denied → granted. Darunter folgen sämtliche Query-Parameter des Hits, sauber tabellarisch aufgelistet. Das macht Consent-Mode-Verhalten und Parameter-Übergabe nachvollziehbar, ohne einen einzigen URL-String selbst zerlegen zu müssen. Auch bei Microsoft Ads wird eine entsprechende Auswertung des asc Parameters angezeigt.

E-Commerce lesbar aufgeschlüsselt: Bei GA4 werden die sonst kryptisch tilde-gepackten Produktparameter (pr1..prN) in klar benannte Felder zerlegt – Item-ID, Name, Marke, Kategorien, Variante, Preis, Menge, Coupon, Rabatt, Position, Liste und item-eigene Custom-Parameter. Unbekannte Codes werden angezeigt statt verworfen, jedes Produkt als eigene Untertabelle mit „items ×N"-Pill.

Stille Pixel erkennen: Ein Meta-Pixel kann initialisieren (sein signals/config-Fetch feuert), aber danach keinen einzigen /tr/-Event senden – ein lautloser Tracking-Ausfall, meist durch Metas Traffic-Permission-Einstellungen. Bleibt nach dem Config-Fetch ein Event aus, zeigt der Auditor eine einzelne Warnkarte (ein späterer Event heilt sie selbst). Reine Netzwerk-Inferenz, ohne zusätzliche Berechtigungen.

Hinweis: Wer eine Aufzeichnung über mehrere Tabs und Domains hinweg benötigt, kann alternativ die thematisch verwandte Erweiterung Enhanced Conversions Data Validator verwenden.

PII & User-Data – über alle Dienste einheitlich

Jede Hit-Detailansicht trägt denselben „PII / User Data"-Block – egal ob GA4, Meta, TikTok, Reddit, Snapchat oder HubSpot. Für jedes Nutzerdatenfeld wird der rohe Parameter, eine Klartext-Kategorie (etwa u_hem → E-Mail, l_city → Stadt) und die erkannte Hash-Form (SHA-256, SHA-1, MD5, auch base64url-SHA-256) angezeigt.

Ein knapper Hinweis erscheint nur dann, wenn die erkannte Form dem widerspricht, was der Dienst eigentlich verlangt – etwa ein MD5-förmiger Wert, wo SHA-256 erwartet wird. Klartext-Übergaben (z. B. bei HubSpot, das nicht hasht) werden nüchtern als „not hashed" ausgewiesen, ohne Leak-Alarm. Der Block liest nur: keine Klartext-Vergleiche, keine Normalisierung, keine Hash-Validierung – das übernimmt bei Bedarf der EC Data Validator.

Klartext-Dienste transparent gemacht: Bei HubSpot erfasst der Auditor die Tracking-Beacons (__ptq.gif Page View, __ptbe.gif Custom Behavioral Event, __ptc.gif Klick/Interaktion) sowie die Collected-Forms-Submits. Da HubSpot Identitätsdaten im Klartext überträgt – im doppelt kodierten i-Parameter oder als contactFields eines abgegriffenen Formulars – macht der PII-Block genau das sichtbar. Auch Criteo gibt seine E-Mail im OneTag-Event (ce) unverschlüsselt weiter und wird entsprechend nüchtern als „not hashed" ausgewiesen.

Filtern & gezielt aufzeichnen

Damit man bei aktiven Setups nicht in Hits ertrinkt, lässt sich die Aufzeichnung steuern: Über die RECORD-Auswahl bestimmt man, welche Dienste überhaupt mitgeschnitten werden. Die SHOW-Pills blenden zudem einzelne Plattformen in der Ansicht ein und aus – gebaut werden sie nur für die Dienste, die man auch tatsächlich aufzeichnet (mit all / none-Shortcuts). Ein Freitextfilter durchsucht Events, IDs, Labels und Parameter gezielt nach bestimmten Einträgen.

Neue Hits und Seitenaufruf-Blöcke erscheinen oben statt unten (newest first): Der frischeste Hit bleibt im Blick, und dank Scroll-Anchoring bleibt das, was man gerade liest, an Ort und Stelle stehen. Aufzeichnungen lassen sich zudem exportieren und wieder einlesen – praktisch z. B. zur Sicherung eines Zustands vor und nach einer Korrektur und zur Dokumentation funktionierender Übergabezustände neuer Setups.

Deep Capture: Hits aus dem Service Worker

Manche First-Party-Setups liefern ihre Tags über einen Service Worker aus – Google Tag Gateway, ein Cloudflare-/Edge-Worker oder Bing UET – und verschicken ihre Hits aus dem eigenen Scope des Workers heraus, wo das seitengebundene DevTools-Netzwerk sie schlicht nie sieht.

Der optionale Modus Deep Capture (⚙ → Advanced) ergänzt einen zweiten Beobachter über chrome.webRequest, der genau diese Hits einfängt, gegen den normalen Feed dedupliziert und die Worker-only-Treffer mit einem ⚡ service worker-Badge markiert. Der Auditor weist auch von sich aus auf einen erkannten Google-Tag-Gateway-Loader (sw_iframe.html) hin.

Zwei Feinschliffe aus Version 1.0.1 machen den Modus robuster: server-side-GTM-Hits, die ein Service Worker von einer Subdomain (z. B. data.example.com) aus verschickt, werden jetzt zuverlässig erfasst (Same-Site statt exaktem Origin-Abgleich), und nach dem Recycling des Hintergrund-Workers durch MV3 stellt das Panel die Verbindung automatisch wieder her – kein stilles Aussetzen mehr, das ein manuelles Aus- und Einschalten erfordert hätte.

Bewusst opt-in: Deep Capture ist standardmäßig aus. Die dafür nötige breite Host-Berechtigung wird erst in dem Moment angefragt, in dem man den Modus einschaltet – bei der Installation wird also nichts Weitreichendes gewährt, solange man das Feature nicht aktiv nutzt.

Dark Mode inklusive

Das Panel folgt dem Theme der DevTools und ist damit auch im Dark Mode angenehm lesbar – dieselben farbcodierten Karten, nur augenschonend bzw. passend zur eingestellten Darstellung in den DevTools.

Installation

Die Erweiterung ist kostenlos im Chrome Web Store verfügbar. Nach der Installation findet sich das Panel als eigener Reiter Tracking Auditor in den Chrome-DevTools (F12). Der Quellcode steht auf GitHub bereit und lässt sich alternativ über chrome://extensions/ per „Load unpacked" einbinden.

Datenschutz: Die Extension sammelt nichts. Sie dekodiert die Requests, die die inspizierte Seite ohnehin bereits sendet, und zeigt sie dir lokal und ausschließlich im Speicher an, solange das Panel geöffnet ist – kein Server, keine Telemetrie, keine Übertragung irgendeiner Art. Details in der Privacy Policy.