Websites und Spenden-Formulare - Meinungsbild gefragt

[SFFox]

Liebe Kollegen des Web-Bereichs, seid gegrüßt.

Ich interessiere mich für ein Stimmungsbild eurer Erfahrungen und werde den Spenden-Formular-Anbieter, über den ich mich gerade aufrege, nicht namentlich nennen, aber würde gerne wissen, ob ihr über folgende Arbeits-Voraussetzungen auch nur den Kopf schüttelt

Ich habe einige Spendenformulare diverser Anbieter auf Webseiten integriert. Die simple Variante ist ja immer schon der iframe gewesen und bequem ist der Spaß rechtlich/technisch ja auch, denn mit der Bearbeitung der Nutzer-/Zahlungsdaten ist dann sehr klar getrennt, was auf der eigenen Plattform passiert und was outgesourced ist zum Formular-Dienstleister. Die optischen Anpassungsmöglichkeiten beschränken sich häufig auf fixe Farbwerte oder vllt. noch eigene CSS Regeln.

Dann gibt es oft noch die andere Variante eine API zu nutzen, womit man sehr frei ist in der HTML/CSS Gestaltung des Formulares selbst, dessen Daten man dann auf verschiedene Weisen an die Dienstleister-API schickt und eben mit der API kommuniziert.

Der von mir aktuell zu nutzende Anbieter arbeitet grundsätzlich mit der iframe Variante, die Anforderungen an die optischen Änderungen sind aber sehr umfangreich, so dass sich (v.a. interaktive) Wünsche per CSS (dafür gibt es auch hier ein Feld) nicht komplett umsetzen lassen. Jetzt ist der Clou (und das scheint der Großteil derer Kundschaft, die es auch einsetzen, immer zu schlucken), dass es neben dem CSS Feld ein Javascript Feld gibt 🙈, in dem dann Code unter gebracht wird, um damit das HTML zu manipulieren. Man kriegt also einen indirekten Zugriff per Javascript auf den Quellcode im iframe.

Die HTML Struktur ist allerdings aus der Hölle! Je nach Formular-Schritt sind ähnliche Elemente komplett anders geschachtelt, html-IDs werden auf einmal für völlig andere Bestandteile genutzt. Ich krieg' mich an der Stelle nicht mehr beherrscht . Am sinnvollsten wäre sicherlich gewesen vor Jahren beim Projektstart per JS einfach alle Input-Felder im Code jedes Formularschrittes zu sammeln und ein komplettes HTML replace zu machen mit einem eigenen Formular und nur die passenden Fieldnames zu setzen, der Zug ist aber schon lange abgefahren und im Nachhinein würde niemand den dafür nötigen Aufwand tragen wollen.

Ich fühle mich schmutzig daran zu arbeiten und kann nicht verstehen, wie dieser Anbieter relativ große Kunden haben und halten kann. Vielleicht bin ich aber auch sonst einfach zu verwöhnt? Habt ihr sowas schon mal gesehen? Wie ist eure Erfahrung in dem Bereich?

 

[madmax2010]

Sobald es auch nur ansatzweise darum geht zahlungsdaten zu verarbeiten: externe Dienstleister.
Alleine schon, weil ich keine Lust auf den juristischen rattenschwanz habe

Aber ey. Ich habe auch schon Leute gesehen, die Kreditkarten Daten für Spenden mit einem WordPress Gästebuch Formular Gesammelt und das Gästebuch mit einem 301 'unerreichbar' gemacht haben

Zusatz:
Mit externen Dienstleistern meine ich übrigens explizit Zahlungsdienstleister wie bezahl.de, stripe, Paypal und Co

Bei einem externen Formular.. Nope. Un gern

 

[SFFox]

Sobald es auch nur ansatzweise darum geht zahlungsdaten zu verarbeiten: externe Dienstleister.
Alleine schon, weil ich keine Lust auf den juristischen rattenschwanz habe

DAS ist klar, mir geht's vor allem um die technische Umsetzung des Anbieters, so dass gezielte Manipulation des HTMLs durch ein zur Verfügung gestelltes Javascript Feld, als offizielles Feature angepriesen wird... bzw. inoffziell dazu geraten (und alle tun es), die öffentlich Doku ist natürlich veraltet und sagt dazu auch nichts.

Als Entwickler schaut man ja vor der Auswahl eines Anbieters gerne kurz in die Doku, das wäre schon ein NoGo gewesen, wenn die beim Kunden nicht schon den Fuß in der Türe gehabt hätten.

Aber ey. Ich habe auch schon Leute gesehen, die Kreditkarten Daten für Spenden mit einem WordPress Gästebuch Formular Gesammelt und das Gästebuch mit einem 301 'unerreichbar' gemacht haben

Gruselig 😱

 

[floq0r]

Ich arbeite schon seit ein paar Jahren mit Stripe (das ist auch meine einzige Erfahrung) und das sind einfach Vollprofis. Es gibt eine Front- und eine Backend API mit Zugriff auf das gesamte Ökosystem, es gibt Integration verschiedener internationaler und nationaler Zahlungsmethoden, Billing, invoice handling, risk assessment, 3D secure handling, autorenewal von expired cards, SEPA Debit Mandate,... Auf die vertrau ich beinah blind.
Mit solchen shady Buden wär ich vorsichtig, allein schon wegen der üblen Nachrede die man ggf. hat und wer weiß wie rechtlich safe die iframe Variante wirklich ist wenns hart auf hart kommt, da heißt es möglicherweise "hätte wissen müssen" / Sorgfaltspflicht.