Den Candela Recorder
zulassen.

Jemand in Ihrer Organisation macht mit Candela einen Produktfilm und braucht dafür den Candela Recorder, eine Chrome-Erweiterung (Manifest V3), die einen Ablauf in Ihrer eigenen Webanwendung aufzeichnet. Wenn Ihr verwalteter Browser Erweiterungen oder den Entwicklermodus sperrt, finden Sie hier alles, um sie zu prüfen und per Richtlinie zu verteilen. Es ist eine Zusammenfassung zur Prüfung, kein Vertrag; die Bedingungen der Datenbearbeitung stehen in Ihrer Vereinbarung mit Candela. Menü- und Richtliniennamen sind so angegeben, wie sie in den englischen Konsolen erscheinen.

1. Die Erweiterung auf einen Blick
2. Berechtigungen und ihr Zweck
3. Umgang mit Daten
4. Web Store oder selbst gehostet
5. Chrome-Richtlinien
6. Windows-Gruppenrichtlinie und Registry
7. Microsoft Intune
8. macOS-Konfigurationsprofil
9. Google Admin-Konsole
10. Microsoft Edge
11. Netzwerk und TLS-Inspektion
12. E-Mail an die IT
13. Quellen

Die Erweiterung auf einen Blick

Berechtigungen und wozu sie dienen

Genau das, was das manifest.json des Pakets verlangt.

Umgang mit Daten

• Was aufgezeichnet wird. Nur der Tab, in dem die Person Record gedrückt hat, nur bis Stop, nie während einer Pause. Jeder Klick, jedes Enter, jedes Absenden eines Formulars, jede Auswahländerung und jeder Seitenwechsel wird zu einem Schritt: ein Screenshot, DOM und Styles der Seite (mit rrweb aufgezeichnet), das angeklickte Element, die URL und die Fenstergrösse. Das Symbol in der Leiste zeigt REC während der Aufnahme.
• Maskierung. Passwortfelder sind immer maskiert, auch Felder mit geheimen autocomplete-Hinweisen (Passwörter, Einmalcodes, Kartennummern); keine Einstellung schaltet das aus. Alle anderen Eingaben sind standardmässig maskiert. Personen können jedes Element einer Website maskieren (Namen, Beträge, Panels); maskierte Bereiche sind auf Screenshots abgedeckt. Entwickler können Elemente mit data-candela-block markieren, damit sie nie erfasst werden.
• Upload nur bei Send. Bis die Person auf dem Prüfbildschirm Send to Candela drückt, bleibt die Aufnahme im Browser (in der IndexedDB der Erweiterung). Die Person kann Schritte löschen oder alles verwerfen.
• Bei der Übertragung. HTTPS (TLS) ausschliesslich an https://candela.mov, authentifiziert durch das Token des Aufnahme-Links, das Uploads für einen Film erlaubt und nach 7 Tagen abläuft. Der Server speichert nur einen Hash des Tokens.
• Auf dem Server. Candela wird in der Infomaniak Public Cloud in Genf, Schweiz, gehostet (Rechenleistung, Datenbank und Objektspeicher). Der Server maskiert passwortähnliche Werte erneut, löscht den Roh-Upload, sobald das Produkt-Kit erstellt ist, und behält das bereinigte Ergebnis, um den Film zu bauen.
• Aufbewahrung. Produkt-Kits: 90 Tage ohne Verwendung. Filme: 180 Tage nach ihrer letzten Aktivität. Datenbank-Backups: 14 Tage. Alles früher, wenn der Kunde den Film löscht.
• Export und Löschung. Auf Anfrage oder durch den Konto-Inhaber des Kunden in der App: ein Export der Daten der Organisation, die Löschung eines Films samt allem daraus Entstandenen, die Löschung eines Kontos. Details: candela.mov/privacy.
• KI-Bearbeitung. Um den Film zu schreiben, sendet Candela Screenshots und Texte aus dem Kit an seinen KI-Anbieter (Anthropic, USA), gestützt auf einen Auftragsbearbeitungsvertrag; siehe die Auftragsbearbeiter in der Datenschutzerklärung.

Web Store oder selbst gehostet

Zwei Wege, dieselbe Erweiterung zu verteilen. Wählen Sie einen und verwenden Sie dessen ID und Update-URL in den Richtlinien unten.

Chrome-Richtlinien

Wählen Sie, was zu Ihrer bestehenden Richtlinie passt. Die Richtliniennamen sind auf allen Plattformen gleich; die Abschnitte unten zeigen, wo Sie sie setzen.

Wenn Erweiterungen gesperrt sind (ExtensionInstallBlocklist enthält *)

Fügen Sie die ID zu ExtensionInstallAllowlist hinzu, damit Personen sie selbst installieren können, oder installieren Sie sie zwangsweise (nächster Punkt).

pemkanpgneajllajfenhcebakboijecl

Für alle installieren: ExtensionInstallForcelist

Jeder Eintrag ist die Erweiterungs-ID, optional gefolgt von ; und einer Update-URL. Eine zwangsweise installierte Erweiterung kann die Person weder entfernen noch deaktivieren, und sie ist auch erlaubt, wenn * gesperrt ist.

pemkanpgneajllajfenhcebakboijecl;https://candela.mov/recorder/update.xml

Alles in einem: ExtensionSettings

Die JSON-Richtlinie, die die ID-Listen oben ersetzt. Dieses Beispiel installiert das selbst gehostete Paket zwangsweise, heftet es an die Symbolleiste und zeigt, wo Sie die gewährbaren Websites einschränken. update_url dient der Installation; mit override_update_url holt Chrome auch die Updates von dort.

{
  "pemkanpgneajllajfenhcebakboijecl": {
    "installation_mode": "force_installed",
    "update_url": "https://candela.mov/recorder/update.xml",
    "override_update_url": true,
    "toolbar_pin": "force_pinned"
  }
}

• Stattdessen aus dem Web Store: Verwenden Sie die Web-Store-ID mit "update_url": "https://clients2.google.com/service/update2/crx" und ohne override_update_url.
• Erlauben, aber nicht erzwingen: "installation_mode": "allowed" (oder "normal_installed", um sie zu installieren, aber Deaktivieren zu erlauben).
• Websites, die er aufnehmen darf: Der Recorder fragt die Person jeweils nach einer Website. Setzt Ihr Standardeintrag ("*") runtime_blocked_hosts, fügen Sie die aufzunehmenden Webanwendungen zu den runtime_allowed_hosts dieser ID hinzu (zum Beispiel ["*://app.example.com"]), und sperren Sie nie *://candela.mov, das er zum Hochladen braucht. Ein ID-spezifischer Eintrag erbt runtime_blocked_hosts nicht von "*", nur installation_mode und update_url.
• Gesperrte Berechtigungen: Setzt "*" blocked_permissions, stellen Sie sicher, dass activeTab, scripting und storage für diese ID nicht gesperrt sind.

ExtensionInstallSources

Für Installationen per Richtlinie nicht nötig. Nur wenn Personen das CRX selbst über einen Link öffnen sollen: Erlauben Sie den Ort des CRX und die verlinkende Seite, z. B. https://candela.mov/*.

Entwicklermodus

Die Installation von Hand (Load unpacked) braucht den Entwicklermodus auf chrome://extensions. Chrome schaltet ihn aus, wenn DeveloperToolsAvailability 2 ist (DevTools verboten), oder ab Chrome 128, wenn ExtensionDeveloperModeSettings 1 ist. Eine Installation per Richtlinie braucht keinen Entwicklermodus; Sie können beide lassen, wie sie sind.

Windows: Gruppenrichtlinie und Registry

Mit installierten ADMX-Vorlagen für Google Chrome: Computer Configuration › Administrative Templates › Google › Google Chrome › Extensions:

• Configure the list of force-installed apps and extensions (ExtensionInstallForcelist): Enabled, pemkanpgneajllajfenhcebakboijecl;https://candela.mov/recorder/update.xml hinzufügen.
• Configure extension installation allow list (ExtensionInstallAllowlist), Extension management settings (ExtensionSettings, eine Zeile JSON).

Dasselbe als Registry-Werte (für das ganze Gerät, unter HKLM; jeder Listeneintrag ist ein Zeichenfolgenwert mit dem Namen 1, 2, 3…):

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist]
"1"="pemkanpgneajllajfenhcebakboijecl;https://candela.mov/recorder/update.xml"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallAllowlist]
"1"="pemkanpgneajllajfenhcebakboijecl"

Enthalten diese Schlüssel schon Werte, nehmen Sie statt 1 die nächste freie Nummer. Prüfen Sie das Ergebnis auf chrome://policy (Reload policies), danach auf chrome://extensions.

Microsoft Intune

Devices › Configuration › Create › New policy, Plattform Windows 10 und höher, Profiltyp Settings catalog. Suchen Sie Google Chrome › Extensions (die Chrome-Einstellungen sind eingebaut) und setzen Sie Configure the list of force-installed apps and extensions auf Enabled mit pemkanpgneajllajfenhcebakboijecl;https://candela.mov/recorder/update.xml. Für Edge steht die Einstellung unter Microsoft Edge › Extensions › Control which extensions are installed silently. Weisen Sie sie der Benutzer- oder Gerätegruppe zu.

Sind die Chrome-Einstellungen in Ihrem Tenant nicht verfügbar, importieren Sie die ADMX-Vorlagen von Google in Intune (Googles Anleitung «Manage Chrome browser with Intune», unter Quellen) und setzen Sie dort dieselbe Richtlinie. Menünamen können je nach Tenant abweichen

macOS-Konfigurationsprofil

Verteilen Sie mit Ihrem MDM (Jamf, Kandji, Intune, Mosyle…) als benutzerdefinierte Einstellungen für die Präferenzdomäne com.google.Chrome (Edge: com.microsoft.Edge):

<key>ExtensionInstallForcelist</key>
<array>
  <string>pemkanpgneajllajfenhcebakboijecl;https://candela.mov/recorder/update.xml</string>
</array>
<key>ExtensionInstallAllowlist</key>
<array>
  <string>pemkanpgneajllajfenhcebakboijecl</string>
</array>

Google Admin-Konsole (Chrome Enterprise)

1. Menu › Chrome browser (or Devices › Chrome) › Apps & extensions › Users & browsers, wählen Sie die Organisationseinheit.
2. Klicken Sie auf + (Add), dann auf Add Chrome app or extension by ID.
3. Geben Sie pemkanpgneajllajfenhcebakboijecl ein. Wählen Sie From the Chrome Web Store oder From a custom URL mit https://candela.mov/recorder/update.xml für das selbst gehostete Paket.
4. Setzen Sie die Installationsrichtlinie auf Force install (optional Force install + pin to browser toolbar) oder Allow install, und speichern Sie.

In Chrome Enterprise Core registrierte Browser übernehmen sie beim nächsten Abruf der Richtlinien.

Microsoft Edge

Edge verwendet dieselben Richtliniennamen unter eigenen Schlüsseln. Die Standard-Updatequelle von Edge sind die Microsoft Edge Add-ons; eine Chrome-Web-Store-ID braucht deshalb die ausgeschriebene Chrome-Update-URL:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist]
"1"="pemkanpgneajllajfenhcebakboijecl;https://candela.mov/recorder/update.xml"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallAllowlist]
"1"="pemkanpgneajllajfenhcebakboijecl"

Gruppenrichtlinie (Edge-ADMX): Administrative Templates › Microsoft Edge › Extensions › Control which extensions are installed silently. Laut Microsoft brauchen selbst gehostete Erweiterungen unter Windows ein Gerät, das in Active Directory eingebunden ist (oder hybrid in Microsoft Entra).

Netzwerk und TLS-Inspektion

Nehmen Sie candela.mov von der TLS-Inspektion aus (SSL Deep Inspection bei Fortinet, Zscaler, Palo Alto, Netskope und ähnlichen). Uploads sind grosse binäre Anfragen; Inspektions-Proxys, die Zertifikate neu signieren oder Inhalte puffern, führen zu fehlgeschlagenen Uploads und Zertifikatsfehlern. Muss die Inspektion aktiv bleiben, stellen Sie sicher, dass der Browser dem Stammzertifikat des Proxys vertraut und die Upload-Grenze mindestens 16 MB pro Anfrage beträgt.

E-Mail an die IT

Für die Person, die den Recorder braucht: Kopieren Sie den Text oder öffnen Sie ihn in Ihrem Mailprogramm.

Betreff: Bitte Browser-Erweiterung Candela Recorder zulassen

Guten Tag

Für einen Produktfilm, den wir mit Candela (candela.mov) machen, brauche ich die Erweiterung Candela Recorder in Chrome oder Edge. Unsere Browser-Richtlinie verhindert die Installation.

Erweiterung: Candela Recorder (Manifest V3), herausgegeben von der Dafin SA
Erweiterungs-ID: pemkanpgneajllajfenhcebakboijecl
Update-URL (selbst gehostet): https://candela.mov/recorder/update.xml
Eintrag für die Zwangsinstallation (ExtensionInstallForcelist): pemkanpgneajllajfenhcebakboijecl;https://candela.mov/recorder/update.xml

Sie zeichnet nur den Tab auf, in dem ich sie starte, maskiert Passwörter und Eingaben standardmässig und lädt nichts hoch, bevor ich die Aufnahme geprüft und Send gedrückt habe. Die Daten liegen in der Schweiz (Infomaniak).

Berechtigungen, Umgang mit Daten und fertige Richtlinien für Windows, Intune, macOS, Google Admin und Edge:
https://candela.mov/de/recorder/it

Vielen Dank!

Quellen

Richtliniennamen, Registry-Pfade und die Regel für verwaltete Geräte wurden am 13. Oktober 2026 anhand dieser Quellen geprüft. Mit Menünamen können abweichen markierte Punkte beschreiben Konsolen, deren Menüs sich oft ändern.

• Chrome Enterprise policy list: ExtensionInstallForcelist, ExtensionSettings, ExtensionInstallAllowlist, ExtensionInstallSources, ExtensionDeveloperModeSettings, DeveloperToolsAvailability
• Google: Set Chrome app and extension policies (Windows), Set Chrome app and extension policies (Mac), Configure ExtensionSettings policy, Manage Chrome browser with Intune (import administrative templates)
• Chrome for developers: Self-host for Linux (the update manifest format), externally_connectable
• Microsoft: Edge ExtensionInstallForcelist, Self-host Microsoft Edge extensions