Title: Bastora Security Audit Author: Bastora Published: སྤྱི་ཟླ་དྲུག་པ། 10, 2026 Last modified: སྤྱི་ཟླ་དགུ་པ། 1, 2026 --- Search plugins ![](https://ps.w.org/bastora-security-audit/assets/banner-772x250.png?rev=3568084) ![](https://ps.w.org/bastora-security-audit/assets/icon-256x256.png?rev=3568084) # Bastora Security Audit By [Bastora](https://profiles.wordpress.org/mathiasva/) [Download](https://downloads.wordpress.org/plugin/bastora-security-audit.1.9.2.zip) * [Details](https://dzo.wordpress.org/plugins/bastora-security-audit/#description) * [Reviews](https://dzo.wordpress.org/plugins/bastora-security-audit/#reviews) * [Installation](https://dzo.wordpress.org/plugins/bastora-security-audit/#installation) * [Development](https://dzo.wordpress.org/plugins/bastora-security-audit/#developers) [Support](https://wordpress.org/support/plugin/bastora-security-audit/) ## Description **Bastora** prüft Deine WordPress-Installation gegen einen festen Katalog aus ** 62 Sicherheitspunkten**, härtet sie automatisch und wehrt laufende Angriffe ab. Installieren, aktivieren, einmal „Sicherheitsprüfung starten” klicken. Mehr ist nicht zu tun. Drei Dinge macht Bastora anders: 1. **Ehrliche Außensicht.** Bastora prüft Deine Seite so, wie ein Bot sie sieht: Versionslecks im HTML, offene Verzeichnisse, fehlende Security-Header, sichtbare Endpoints. Die meisten anderen Plugins prüfen nur ihre eigene Konfiguration. 2. **Konflikt-erkennend.** Läuft schon Wordfence, Sucuri, Solid Security, All-In-One WP Security, MalCare, WP Cerber, Limit Login Attempts, Really Simple SSL oder ein vergleichbares Plugin, tritt Bastora in den überlappenden Bereichen zur Seite, statt einen Konflikt zu bauen. Im Dashboard steht pro Härtung im Klartext, warum sie aktiv oder inaktiv ist. 3. **Null Konfiguration.** Härtungen sind ab Werk aktiv, jede Verbindung nach außen ist ab Werk aus. #### Was Bastora tut * **Firewall.** Prüft den ganzen Aufruf: Adresszeile, Formulardaten, Roh-Inhalt, hochgeladene Dateien und Kopfzeilen. Die Regeln gegen kritische Lücken im WordPress- Kern greifen in jedem Modus. * **Login-Schutz.** Fehlversuche zählen je Adresse, je Konto und für die ganze Website: fünf Fehlversuche sperren 30 Minuten, bei Wiederholung 4 und dann 24 Stunden. Dazu Honeypot, ein einmal gültiges Sicherheitswort im Formular und eine Rechenaufgabe, wenn es eng wird. Cloudflare- und Proxy-IPs werden korrekt erkannt, IPv6 auf dem /64-Präfix gesperrt. * **Datei-Wache mit Auto-Reparatur.** Täglicher Abgleich von Kern, Plugins und Themes gegen die Originale auf wordpress.org. Manipulierte Kerndateien ersetzt Bastora nach doppelter Hash-Prüfung selbst, die vorgefundene Fassung wandert in die Quarantäne. * **Schadcode-Scanner.** PHP, JavaScript, HTML und Server-Regeldateien, alle vier Stunden, neue und geänderte Dateien zuerst. Ein Fund nennt Plugin oder Theme beim Namen, dazu Pfad und Zeile. * **Bot- und Scanner-Abwehr.** Wer Adressen abfragt, die es auf einer WordPress- Website nie gibt, sperrt sich selbst aus. Das Dashboard zeigt, wie viel Deines Bot-Verkehrs von SEO-Diensten und KI-Sammlern kommt, und weist sie auf Klick ab. Suchmaschinen und Linkvorschauen bleiben zugelassen. * **Datenbank-Prüfung.** Läuft täglich im Hintergrund und meldet untergeschobene Konten, geänderte Adressen und Code in den Einstellungen, ohne dass jemand das Backend öffnen muss. * **Härtung.** Versionslecks, RSD- und WLW-Verweise, XML-RPC, Pingbacks, REST-API- Benutzer, Application Passwords, X-Powered-By, Author-Enumeration, Security-Header, PHP-Sperre im Uploads-Verzeichnis, Revisions-Limit und HTTPS-Umstellung auf einen Klick. * **Dashboard im Klartext.** Score, jeder Prüfpunkt mit Erklärung, Tagesprofil der letzten 24 Stunden und alle ausgesperrten Adressen mit Grund und Restlaufzeit, einzeln wieder freizugeben. #### Was Bastora bewusst nicht macht * **Kein erzwungenes TOTP.** Solopreneure sperren sich regelmäßig mit Authenticator- Apps aus. Bastora setzt stattdessen auf Brute-Force-Schutz, Rate-Limit und Anomalie- Erkennung. * **Kein Verstecken der Login-URL.** Eine umbenannte Login-URL macht den Passwort- Reset-Link kaputt, sobald das Plugin deaktiviert wird. Rate-Limit plus Honeypot ist die saubere Lösung. * **Keine Verbindung nach außen ohne Deine Freigabe.** Versions-Abgleich gegen wordpress.org, Bastora-Schwarm, Schad-URL-Feed, Passwort-Leck-Check und die Einwilligung zur Sicherheitsforschung sind einzeln zuschaltbar und ab Werk aus. #### Einwilligung zur Sicherheitsforschung (Opt-in) Mit Deiner Einwilligung schickt Bastora nach der Einrichtung und danach alle 28 Tage eine anonyme Zusammenfassung an einen Server in Deutschland: Versionen, Punktzahl, Prüfpunkte, Plugin- und Theme-Liste, Hosting-Anbieter, dazu abgewehrte Angriffe samt erkanntem Angriffsmuster. Daraus entstehen neue Firewall-Regeln für alle Bastora- Websites. Nicht übertragen werden: Domain, IP-Adressen, Benutzernamen, E-Mail-Adressen und alles, was jemand in ein Formular Deiner Website eingibt. Erweitert eine neue Fassung den Umfang, fragt Bastora vorher im Backend nach. Jederzeit widerrufbar in den Einstellungen. Alle Einzelheiten stehen unter „Privacy”. ### Privacy #### Externe Verbindungen Ab Werk baut Bastora keine einzige Verbindung nach außen auf. Jede der folgenden Verbindungen schaltest Du im Einrichtungs-Assistenten oder in den Einstellungen einzeln frei und kannst sie jederzeit wieder abschalten. Angesprochen werden dabei nur zwei Gegenstellen: **wordpress.org** und **bastora.de**. **1. Abgleich gegen wordpress.org (Opt-in)** Bastora fragt die offizielle WordPress-API nach der aktuellen Kern-Version, nach den Datei-Hashes Deiner Version und nach dem Update-Stand der installierten Plugins und Themes. Für den Datei-Abgleich und die Reparatur lädt Bastora zusätzlich die offiziellen Pakete von wordpress.org. Das ist dieselbe Schnittstelle, die WordPress für seine eigenen Update-Prüfungen nutzt. Übertragen wird nur der Slug des jeweiligen Plugins oder Themes, keine Domain, keine Nutzerdaten, keine Besucher-IP. Antworten werden 24 Stunden zwischengespeichert, geladene Pakete liegen 7 Tage lokal im Quarantäne-Verzeichnis. Vor dem Ersetzen einer Kerndatei prüft Bastora deren Hash gegen den von wordpress.org gemeldeten Wert. Plugins und Themes, die nicht im offiziellen Verzeichnis liegen (Premium, Eigenentwicklung), werden als „extern, nicht prüfbar” geführt; bei Plugins repariert Bastora bewusst nicht, sondern meldet abweichende Dateien per Mail. Ohne diese Freigabe gelten die betroffenen Prüfpunkte als „nicht prüfbar” und es geht keine Anfrage raus. **2. Bastora-Schwarm (Opt-in)** Anonymer Austausch von Angreifer-Adressen mit anderen teilnehmenden Websites, über bastora.de. Beim Aktivieren vergibt der Server einen anonymen Token; übertragen wird dabei nur die Plugin-Version. Bei einem erkannten Angriff meldet Bastora Token, Angreifer-IP, Angriffs-Typ, Schweregrad und Plugin-Version. Im Gegenzug holt Bastora alle paar Minuten die Sperrliste und zweimal täglich die signierten Firewall-Regeln ab, jeweils nur mit dem Token im Header. Beim Abschalten oder Deinstallieren wird der Knoten sofort gelöscht. Der User-Agent ist statisch („Bastora-Swarm”), damit WordPress die Domain nicht mitschickt. Nicht übertragen werden Domain, URL, Besucher-IPs und Betreiberdaten. Reports werden serverseitig nach 14 Tagen gelöscht, Sperrlisten-Einträge verfallen nach 72 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Angriffsabwehr). **3. Passwort-Leck-Check (Opt-in, nur Backend-Login)** Beim Backend-Login schickt Bastora höchstens einmal pro Nutzer und Woche die ersten fünf Hex-Zeichen des SHA-1-Hashes des eingegebenen Passworts an bastora.de. Mehr geht nicht raus: nicht das Passwort, nicht der vollständige Hash, kein Benutzername, keine Domain, keine Kennung. Der Server fragt damit die offizielle haveibeenpwned. com-API ab und liefert die Hash-Endungen zurück, der Abgleich passiert lokal in WordPress. Das Verfahren heißt k-Anonymity und wird auch von 1Password, Firefox und Chrome genutzt. Bei einem Treffer bekommt der Nutzer einen Hinweis, der Login wird nie blockiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. **4. Schad-URL-Feed (Opt-in)** Einmal täglich holt Bastora eine Liste bekannter Schad-Domains von bastora.de, optional nur die Neuzugänge seit dem letzten Abruf. Es geht keine Domain, keine Besucher- Daten und keine Kennung raus. Die Antwort ist eine reine JSON-Liste aus Schad-Domain, Typ und Schweregrad, ohne ausführbaren Code. Quellen: URLhaus (abuse.ch, CC0 1.0) und der OpenPhish-Community-Feed. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. **5. Einwilligung zur Sicherheitsforschung (Opt-in)** Nach der Einrichtung und danach alle 28 Tage schickt Bastora eine anonyme Zusammenfassung an bastora.de. Vor Deiner Einwilligung wird kein einziger Aufruf ausgeführt. Übertragen werden: * eine zufällige anonyme Site-ID (UUID), lokal beim ersten Start erzeugt * Versionen und Umgebung: Bastora, WordPress samt Update-Status, PHP, MySQL, Server- Software, Locale, Zeitzone, Multisite-Flag * ein anonymer Hosting-Anbieter-Slug (z. B. „hetzner”, „ionos”), ermittelt aus lokalen Markern und einer lokalen Namensauflösung der eigenen Server-IP. Die Server-IP selbst wird nicht gesendet. * je installiertem Plugin (max. 200) und Theme (max. 75): Slug, Version, verfügbare Version, Update- und Auto-Update-Status, aktiv oder inaktiv * Nutzerzahlen je Rolle und Inhaltszahlen (Beiträge, Seiten, Kommentare), nur Zahlen, keine Namen, keine Inhalte * Konfigurations-Flags wie WP_DEBUG, DISALLOW_FILE_EDIT, FORCE_SSL_ADMIN * Punktzahl und je Prüfpunkt ein Status-Code (bestanden / Hinweis / offen / nicht prüfbar), einmalig auch der Stand vor der Härtung * erkannte Sicherheits-Plugins und die Bastora-Härtungen mit Aktiv-Status und erkannten Konflikten * zu abgewehrten Angriffen: das erkannte Muster, die aufgerufene Adresse, die Kennung des Aufrufers und die Uhrzeit, ausschließlich aus Adresszeile und Kopfdaten des Angriffs * die Installationsart (self / agency / org) samt Erstwahl * ein Tagesprofil des letzten vollständigen Tages: je Stunde fünf Zahlen (Seitenaufrufe, Bot-Anfragen, Fehlerseiten, Anmeldeversuche, abgewehrte Angriffe) plus Wochentag und Zeitzone Nie übertragen werden: Domain, URL, Server-IP, Besucher-IPs, E-Mail-Adressen, Benutzernamen, Beitrags-, Datei- und Datenbank-Inhalte sowie alles, was jemand in ein Formular Deiner Website eingibt. Der Server loggt keine Aufrufer-IP und akzeptiert pro Site- ID höchstens einen Eintrag am Tag. Erweitert eine neue Plugin-Fassung den Umfang, fragt Bastora vorher im Backend nach. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Bei Deinstallation wird die lokale Site-ID gelöscht. **Einordnung zur Quasi-Eindeutigkeit:** Die Kombination aus Plugin- und Theme-Inventar, Versionen, Hosting-Anbieter und Locale ist statistisch sehr individuell. Auch ohne Domain entsteht damit ein Fingerabdruck der Installation. Bastora wertet die Daten ausschließlich für die Sicherheitsforschung aus (häufigste Lücken, Update-Rückstände, neue Angriffsmuster) und führt sie nie mit anderen Datenquellen zusammen. Wenn das für Dich nicht in Ordnung ist, lass die Einwilligung weg, das Plugin funktioniert ohne sie vollständig. **6. Rückmeldung an Bastora (nur auf Deinen Klick)** Der Feedback-Knopf in den Einstellungen schickt Deine Nachricht an bastora.de. Name, Adresse und Website sind freiwillig, wer nur die Nachricht ausfüllt, schreibt anonym. Ohne Klick geht nichts raus. #### Datenschutzhinweis Vollständige Datenschutzerklärung: https://bastora.de/datenschutz.php Verantwortliche Stelle laut Impressum: https://bastora.de/impressum.php ## Screenshots [⌊Der erste Scan startet, Bastora prüft 62 Sicherheitspunkte in etwa 25 Sekunden.⌉⌊ Der erste Scan startet, Bastora prüft 62 Sicherheitspunkte in etwa 25 Sekunden.⌉[ Der erste Scan startet, Bastora prüft 62 Sicherheitspunkte in etwa 25 Sekunden. [⌊Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte.⌉⌊Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte.⌉[ Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte. [⌊Bastora schaltet die Härtungen scharf, wo ein anderes Sicherheits-Plugin schon zuständig ist, lässt Bastora die Hand davon.⌉⌊Bastora schaltet die Härtungen scharf, wo ein anderes Sicherheits-Plugin schon zuständig ist, lässt Bastora die Hand davon .⌉[ Bastora schaltet die Härtungen scharf, wo ein anderes Sicherheits-Plugin schon zuständig ist, lässt Bastora die Hand davon. [⌊Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Prüfpunkt mit Klartext-Erklärung.⌉⌊Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Prüfpunkt mit Klartext-Erklärung.⌉[ Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Prüfpunkt mit Klartext-Erklärung. ## Installation 1. Installiere das Plugin aus dem WordPress-Plugin-Verzeichnis oder lade den ZIP-Ordner nach `/wp-content/plugins/`. 2. Aktiviere das Plugin im Menü „Plugins”. 3. Öffne das neue Menü „Bastora” und klicke einmal auf „Sicherheitsprüfung starten”. Mehr ist nicht zu tun. Bastora richtet sich selbst ein. ## FAQ ### Brauche ich technisches Wissen, um Bastora zu nutzen? Nein. Bastora braucht keine Konfiguration. Installieren, aktivieren, scannen, fertig. ### Funktioniert Bastora neben Wordfence, Sucuri oder Solid Security? Ja. Bastora erkennt diese Plugins und tritt in den überlappenden Bereichen zur Seite. Das Dashboard zeigt, welche Härtungen deshalb inaktiv sind. Die Regeln gegen kritische Kern-Lücken bleiben in jedem Fall aktiv. ### Überträgt das Plugin Daten von meiner Seite? Ab Werk nichts. In den Einstellungen gibst Du einzeln frei: Versions-Abgleich gegen api.wordpress.org, Bastora-Schwarm, Schad-URL-Feed, Passwort-Leck-Check und die Einwilligung zur Sicherheitsforschung. Vor Deinem Häkchen geht kein einziger Request raus. ### Wie widerrufe ich die Einwilligung zur Sicherheitsforschung? Bastora Einstellungen Schalter aus speichern. Ab da geht kein Datensatz mehr an bastora.de. Bereits übertragene Datensätze werden nicht rückwirkend gelöscht, weil sie keinen Bezug zu Deiner Website haben, sondern nur zu einer zufälligen UUID. ### Wo werden die Daten gespeichert? Auf deutschen Servern. Bastora arbeitet ausschließlich mit einem deutschen Hoster. ### Was passiert, wenn ich Bastora deinstalliere? Bei einfacher Deaktivierung bleiben die Einstellungen erhalten. Beim Löschen entfernt Bastora alle Einstellungen, Audit-Ergebnisse und Kennungen und rollt die Härtungen zurück. Ein aktiver Schwarm-Knoten wird vorher abgemeldet. ### Wie funktioniert der Bastora-Schwarm? Erkennt eine teilnehmende Website einen Brute-Force-Angriff oder einen Scanner, meldet sie die Angreifer-IP anonym an einen zentralen Server. Melden mehrere Websites dieselbe IP, wandert sie in einen Sperrkatalog, den alle teilnehmenden Websites abholen und vorbeugend anwenden. Einträge verfallen nach 72 Stunden ohne neue Meldung, bekannte Crawler wie Googlebot oder Bingbot werden nie übernommen. Deine Seite gibt dabei nur einen anonymen Token, die Angreifer-IP, den Angriffs-Typ und die Plugin- Version heraus, keine Domain und keine Nutzerdaten. ## Reviews There are no reviews for this plugin. ## Contributors & Developers “Bastora Security Audit” is open source software. The following people have contributed to this plugin. Contributors * [ Bastora ](https://profiles.wordpress.org/mathiasva/) “Bastora Security Audit” has been translated into 1 locale. Thank you to [the translators](https://translate.wordpress.org/projects/wp-plugins/bastora-security-audit/contributors) for their contributions. [Translate “Bastora Security Audit” into your language.](https://translate.wordpress.org/projects/wp-plugins/bastora-security-audit) ### Interested in development? [Browse the code](https://plugins.trac.wordpress.org/browser/bastora-security-audit/), check out the [SVN repository](https://plugins.svn.wordpress.org/bastora-security-audit/), or subscribe to the [development log](https://plugins.trac.wordpress.org/log/bastora-security-audit/) by [RSS](https://plugins.trac.wordpress.org/log/bastora-security-audit/?limit=100&mode=stop_on_copy&format=rss). ## Changelog #### 1.9.2 * **Bastora sucht jetzt dort, wo ein Scanner von außen nicht hinkommt.** Ein Angreifer, der sich festsetzen will, legt selten eine auffällige Datei ab. Er schiebt eine Datei vor jeden einzelnen Seitenaufruf, hängt sich an eine Datei, die WordPress noch vor allen Erweiterungen lädt, oder legt seinen Code gleich in der Datenbank ab. Bastora sieht an all diesen Stellen nach, weil es von innen schaut. * **Was vor jedem Aufruf geladen wird, wird geprüft.** Bastora liest die Serverkonfiguration aus und beurteilt die vorgeschaltete Datei: Steckt Schadcode darin, liegt sie an einem Ort, an dem so etwas nichts zu suchen hat, oder verweist sie ins Leere. Reicht eine Datei den Wert an eine zweite weiter, geht Bastora diesen Schritt mit. * **Die vier Dateien, die WordPress vor allen Erweiterungen lädt**, werden auf Schadcode geprüft. Bisher liefen sie mit, ohne dass jemand hinsah. * **Schadcode in der Datenbank wird gefunden.** Ein Eintrag mit ausführbarem Code fällt jetzt auf, egal wie er heißt: ob er unter tausend harmlosen Einträgen mit knapp einem Kilobyte liegt oder mehrere hundert Kilobyte groß ist und den Code erst ganz am Ende trägt. Nur Dateien zu löschen half bisher nichts, wenn sich der Code aus der Datenbank wieder herstellt. * **Verschleierung zählt in der Häufung.** Ein einzelner verschleierter Codeabschnitt kann in einer gekauften Erweiterung stehen, deshalb löst er allein weiterhin keine Meldung aus. Treffen mehrere Verschleierungs-Verfahren in derselben Datei zusammen, ist es keine gekaufte Erweiterung mehr. Damit fällt auch ein untergeschobenes Plugin auf, das sich mit erfundenem Autor unter die echten mischt. * **Eine PHP-Datei mit zufälligem Namen fällt auf**, ebenso eine PHP-Datei, die um ein Vielfaches größer ist, als sie sein dürfte. * **Große Dateien werden nicht mehr übersprungen.** Bis zu einer bestimmten Größe hörte die Prüfung vorher einfach auf. Genau darin haben sich Angreifer eingerichtet: Code an eine aufgeblähte Datei zu hängen, war der einfachste Weg, ungesehen zu bleiben. Bastora prüft jetzt Anfang und Ende jeder Datei. * **Ein Kommentar ist kein Versteck mehr.** Bestimmte Marken erkennt Bastora jetzt auch dann, wenn sie als Kommentar getarnt sind. * **Bekannte Sicherheitslücken werden benannt.** Bastora gleicht Kern, Plugins und Themes täglich gegen die bekannten Schwachstellen ab und sagt, welche Erweiterung betroffen ist, unter welcher Nummer die Lücke geführt wird und ab welcher Version sie behoben ist. Der Abgleich lädt nur die Liste herunter, über Deine Website wird dabei nichts übertragen. * **Behoben: Schalter sprangen beim Speichern aus der Reihe.** Die Bestätigung „ Gespeichert” erschien rechts neben dem Schalter, schob ihn nach links und blieb danach als unsichtbarer Platzhalter stehen. Die Bestätigung steht jetzt links vom Schalter und verschwindet restlos. Der Schalter bleibt, wo er ist. * **Behoben: Das Feedback-Formular saß an der falschen Stelle.** Es rutschte unter das Menü und war nur halb lesbar. Feedback und Kontakt haben jetzt eine eigene Seite im Bastora-Menü, erreichbar auch über den Link unter jeder Bastora-Seite. * **Behoben: Die Anmeldewache sperrte Nutzer mit wechselnder Internet-Adresse aus.** Die meisten deutschen Anschlüsse bekommen bei jeder Einwahl eine neue Adresse, im Mobilfunk wechselt sie noch häufiger. Die Wache hielt jede davon für ein fremdes Netz. Lag zusätzlich ein offener Schadcode-Fund vor, waren das zwei Verdachtsgründe und das Konto wurde für 24 Stunden gesperrt: bei jeder Anmeldung aufs Neue. Bastora erkennt jetzt, wenn ein Anschluss ohnehin ständig wechselt, und wertet ein neues Netz aus demselben Anbieter-Bereich nicht mehr als Verdachtsgrund. Alle anderen Verdachtsgründe zählen unverändert weiter. #### 1.9.1 * **Behoben: Bastora meldete reguläre Administrator-Konten als untergeschoben.** Der Abgleich mit der eigenen Aufzeichnung fragte eine Spalte ab, die es in der Tabelle nicht gibt. Jedes nach der Installation angelegte Administrator-Konto galt dadurch als an WordPress vorbei entstanden, mit Mail an die hinterlegten Empfänger. * **Was sich nicht belegen lässt, wird nicht gemeldet.** Antwortet die Aufzeichnung nicht oder fehlt sie, schweigt die Prüfung. Maßgeblich ist außerdem, seit wann das Protokoll wirklich mitschreibt, nicht seit wann Bastora installiert ist. * **Bastora beurteilt die Umstände, unter denen ein Administrator-Konto entsteht.** Wer legt an, ist derjenige angemeldet, kommt er aus einem gewohnten Netz, entsteht ein einzelnes Konto oder eine ganze Reihe, wie ist die Lage auf der Website. Der Alltagsfall wird gar nicht erst gemeldet. * **Bei klarer Lage handelt Bastora, statt zu fragen.** Zwei unabhängige Anhaltspunkte genügen: Administrator-Rechte entzogen, Sitzungen beendet, Herkunft 24 Stunden gesperrt, eine halbe Stunde Notbremse für jedes weitere neue Administrator-Konto. Die Mail berichtet, was passiert ist, und jede Maßnahme lässt sich mit einem Klick zurücknehmen. * **Auch die Anmeldung wird beurteilt.** Meldet sich ein Administrator aus einem Netz an, aus dem sich dieses Konto noch nie angemeldet hat, prüft Bastora die Lage. Ein neues Netz allein ist harmlos. Kommt ein zweiter Anhaltspunkt dazu, ist der Zugang 24 Stunden zu, und an das Konto geht ein Link für ein neues Passwort. Damit ist der Zugang sofort wieder frei. * **Bastora sperrt Dich nicht aus Deiner eigenen Website aus.** Ein Netz, aus dem sich schon einmal ein Administrator angemeldet hat, wird nie gesperrt. Gesperrt wird nur, wenn die Mail mit dem Link auch rausgeht. Jede Sperre endet nach 24 Stunden von allein. * **Rollen mit weitreichenden Rechten werden nicht mehr pauschal gemeldet.** Shop- und Mitglieder-Erweiterungen richten solche Rollen absichtlich ein. Bastora hält den Grundzustand fest und bewertet nur noch Änderungen daran: erklärt eine Installation oder Aktualisierung das neue Recht, bleibt es still. Der Knopf entfernt dann nur die neu hinzugekommenen Rechte, nie den Bestand. * **„Feedback & Kontakt zu Bastora“ steht jetzt auf jeder Bastora-Seite**, unten mit Abstand, zusammen mit dem BSI-Hinweis. Vorher lag das Feld ganz unten in den Einstellungen. * **Die Karte zur abgewehrten Kern-Lücke nennt die Lücke beim Namen.** Vorher stand dort „Diese Lücke“, ohne dass irgendwo stand, welche gemeint ist. #### 1.9.0 * **Die Firewall prüft den ganzen Aufruf.** Adresszeile, Formulardaten, Roh-Inhalt, hochgeladene Dateien und Kopfzeilen. Die Regeln gegen kritische Kern-Lücken gelten in jedem Modus und auch neben anderen Sicherheits-Plugins. * **Grundschutz ab der ersten Minute.** Login-Schutz, Uploads-Sperre, Enumerationsschutz, Fehlerprotokoll und Datei-Wache arbeiten ab der Aktivierung. Der Assistent regelt nur, was in den laufenden Betrieb eingreift. * **Login-Schutz gegen verteiltes Raten.** Fehlversuche zählen je Adresse, je Konto und für die gesamte Website. Anmeldungen ohne Formular haben eine engere Grenze, jedes Formular trägt ein einmal gültiges Sicherheitswort, und wenn es eng wird, kommt für alle die Rechenaufgabe dazu. * **Scanner sperren sich selbst aus.** Wer Adressen abfragt, die es auf einer WordPress- Website nie gibt, oder im Sekundentakt ins Leere läuft, wird abgewiesen: 15 Minuten, dann 2, dann 24 Stunden. Angemeldete Benutzer und geprüfte Suchmaschinen bleiben ausgenommen. Ausgesperrte Adressen stehen mit Grund und Restlaufzeit unter Statistik und lassen sich einzeln freigeben. * **Bot-Verkehr wird sichtbar.** Das Dashboard zeigt den Anteil von SEO-Diensten und KI-Sammlern an den letzten 28 Tagen, mit den häufigsten Namen und einem Knopf, der sie abweist. Suchmaschinen und Linkvorschauen bleiben zugelassen. * **Fremde Adressen im Suchmaschinen-Bestand fallen auf.** Bastora zeigt das Muster mit Beispielen. Auf Klick antworten diese Adressen mit „410 Gone”, damit Suchmaschinen sie zügig aus dem Bestand nehmen. Eigene Inhalte werden nie angeboten, die Entscheidung lässt sich zurücknehmen. * **Der Schadcode-Scanner deckt mehr ab.** Neben ausführbaren Dateien jetzt auch HTML, JavaScript und Server-Regeldateien, alle vier Stunden, neue und geänderte Dateien zuerst. Bei PHP zählt nur der Code, der auch ausgeführt wird. Ein Fund nennt Plugin oder Theme beim Namen, dazu Pfad und Zeile. Die Quarantäne liegt außerhalb des Medien-Verzeichnisses in einem Ordner mit unvorhersehbarem Namen. * **Die Datenbank-Prüfung läuft täglich im Hintergrund**, mit Nachricht an die gewählten Empfänger. Untergeschobene Konten, geänderte Adressen und Code in Einstellungen fallen damit auf, ohne dass jemand das Backend öffnet. * **Die Uploads-Sperre setzt ihre Regeln nach vorn.** Eine vorgefundene Regeldatei wird gesichert, eine fremde als Fund gemeldet. Wo der Server solche Dateien nicht liest, sagt Bastora das offen. * **Gewissheit bei der Lücke, die gerade massenhaft ausprobiert wird.** Bastora prüft Konfigurationsdatei, Einstellungen, WordPress-Kern und Zwischenspeicher des Servers und zeigt das Ergebnis mit der Zahl der Versuche und dem Prüfzeitpunkt. Ein Klick bereinigt, jede Fundstelle wird vorher gesichert. Wer nie betroffen war, sieht nichts davon. * **Ein Tagesprofil zeigt, wann auf Deiner Website etwas los ist.** Je Stunde fünf Zahlen: Seitenaufrufe, Bot-Anfragen, Fehlerseiten, Anmeldeversuche, abgewehrte Angriffe. * **Bastora hält sich selbst aktuell.** Sicherheits-Updates des Plugins spielen sich von allein ein, unabhängig davon, wie die übrigen Auto-Updates eingestellt sind. * **Neue Angaben in der Sicherheitsforschung werden einzeln freigegeben.** Erweitert eine Fassung den Umfang, fragt Bastora im Backend nach und sendet den neuen Teil erst nach Deiner Zustimmung. Wer beim Bisherigen bleibt, behält ihn, und die Frage kommt kein zweites Mal. #### 1.8.0 * Die anonyme Statistik meldet den Verlauf tagesgenau, mit Datum der ersten und letzten Sichtung je Firewall-Regel. * Der tägliche Kurzbericht trägt Zählwerte je Gefahrenstufe. * Vollständige Regelverteilung statt einer Auswahl. * Die Firewall führt ihre Trefferliste ab der Aktivierung. * Das Fehlerprotokoll bleibt frei von Meldungen des Plugins. #### 1.7.1 * **Beitrags-Versionen aufräumen braucht die Freigabe.** Wer die zentrale Übersicht nutzt, entscheidet in der Website selbst, was von dort aus eingreifen darf. Das Aufräumen alter Beitrags-Versionen zählt jetzt dazu, denn es lässt sich nicht rückgängig machen. Veröffentlichte Inhalte sind davon ohnehin nie betroffen. #### 1.7.0 * **Mehrere Websites in einer Übersicht.** Wer viele Websites betreut, kann sie künftig gebündelt im Blick behalten. Bastora bringt dafür die Schnittstelle mit, das Zusatz-Plugin dazu kommt von Bastora. Solange kein solches Zusatz-Plugin installiert und angemeldet ist, ändert sich nichts: Die Schnittstelle ruft von sich aus nichts auf und gibt nichts heraus. * **Meldungen sagen, um welche Website es geht.** Betreff und Text jeder Nachricht nennen die Adresse. Wer mehrere Websites betreut, erkennt schon im Posteingang, worum es geht, und eine weitergeleitete Mail lässt sich ohne Rückfrage zuordnen. * **Feedback-Knopf in den Einstellungen.** Eine Nachricht direkt an Bastora, ohne Umweg über E-Mail-Programm oder Formular im Netz. Name, Adresse und Website sind freiwillig, wer nur die Nachricht ausfüllt, schreibt anonym. * **Rückmeldung beim Abschalten.** Wer Bastora deaktiviert, kann in einem Dialog sagen, warum. Acht Gründe zur Auswahl, fünf davon mit Feld für Details. Überspringen geht immer und sendet nichts. * **Die SSL-Quellen-Prüfung läuft seltener.** Sie rief bisher täglich die eigene Website auf und belegte dabei einen zweiten Arbeitsprozess. Jetzt: nach einem Erfolg eine Woche Ruhe, nach einem Fehlschlag drei Tage. Das spart auf kleinen Paketen spürbar Laufzeit. * **Der Update-Stand wird sichtbar.** Wer die anonyme Statistik eingeschaltet hat, schickt zusätzlich zum vollständigen Bericht einmal täglich vier Angaben: die anonyme Kennung, die Bastora-Version, die WordPress-Version und den Zeitpunkt. Damit lässt sich erkennen, ob ein Sicherheits-Update die Installationen erreicht. Bisher zeigte sich das erst nach bis zu vier Wochen. Es wird keine zusätzliche Datenart übertragen, alle vier stehen ohnehin im vollständigen Bericht. #### 1.6.0 * **Sicherheitsprüfung auf Knopfdruck.** Die Firewall zählt Angriffsversuche. Ob jemand durchgekommen ist, beantwortet jetzt ein eigener Vorgang: Bastora holt die Prüfsummen der offiziellen WordPress-Dateien und vergleicht sie mit Deinen, danach jedes Plugin und jedes Theme gegen die Originale aus dem Verzeichnis. Wo ein Original vorliegt, schreibt Bastora es zurück, die vorgefundene Fassung wandert in die Quarantäne und lässt sich von dort zurückholen. * **Sieben Bereiche statt zwei.** Durchsucht werden jetzt auch die dauerhaft geladenen Erweiterungen, der Plugin-Ordner, das Inhalte-Verzeichnis und die WordPress-Wurzel. Der wichtigste Zuwachs sind die dauerhaft geladenen Erweiterungen: was dort liegt, startet bei jedem einzelnen Seitenaufruf mit, ohne in der Plugin-Liste zu erscheinen. * **Die Datenbank wird mitgeprüft.** Wer über gestohlene Zugangsdaten hereinkommt, hinterlässt keine veränderte Datei. Bastora prüft deshalb Konten, Rollen, die Web-Adresse, Einstellungen, die bei jedem Aufruf mitladen, und geplante Aufgaben. Beurteilt wird nur, was nach der Installation von Bastora entstanden ist, alles davor bleibt außen vor. * **Untergeschobene Konten verlieren sofort ihre Rechte.** Trägt ein Administrator- Konto eine E-Mail-Adresse, die es technisch nicht geben kann, und ist es an WordPress vorbei entstanden, entzieht Bastora die Rechte ohne Rückfrage. Das Konto bleibt bestehen, der Schritt lässt sich zurücknehmen. Dein eigenes Konto und der letzte verbliebene Administrator sind davon immer ausgenommen. * **Statistik mit wählbarem Zeitraum.** Sieben, vierzehn, achtundzwanzig Tage oder das laufende Jahr, ohne dass die Seite neu lädt. * **Das Fehlerprotokoll landet außer Reichweite.** Liegt es öffentlich abrufbar im Inhalte-Verzeichnis, verlegt Bastora es in ein gesperrtes Verzeichnis und nimmt den bisherigen Inhalt mit. * **Sicherheits-Header auf Knopfdruck.** Fehlen sie, hängt Bastora sie an jede Antwort Deiner Website. Wo Server oder ein anderes Sicherheits-Plugin bereits einen setzt, bleibt dieser unangetastet, und Bastora sagt Dir, wer zuständig ist. * **Gründlicheres Aufräumen abgelaufener Cache-Einträge.** Auch Reste ohne zugehörigen Wert verschwinden jetzt, und die tägliche Bereinigung wird gleich mit eingerichtet. * **Schlanker im laufenden Betrieb.** Was nur im Backend gebraucht wird, lädt auch nur dort. Jeder Besucher-Aufruf liest dadurch rund ein Drittel weniger mit. #### 1.5.4 * **Die Firewall lernt aus echten Angriffen.** Wer die anonyme Statistik freigegeben hat, teilt jetzt auch, womit angegriffen wurde: das Angriffsmuster aus der Adresszeile, die Kennung des Angriffswerkzeugs und die Tageszeit. Daraus entstehen neue Firewall- Regeln, die alle Bastora-Websites über den gemeinsamen Schutz erreichen, ohne auf ein Update zu warten. * **Eingaben aus Formularen bleiben, wo sie sind.** Geteilt wird ausschließlich, was in der Adresszeile oder in der Kennung des Aufrufers stand. Was jemand in ein Formular Deiner Website getippt hat, verlässt sie nie. #### 1.5.3 * **Der Ausgangszustand wird vollständig festgehalten.** Wer die anonyme Statistik freigegeben hat, schickt einmalig ein vollständiges Bild des Zustands vor der Härtung mit: Prüfpunkte, Versionsstände, installierte Erweiterungen. Daraus wird sichtbar, wie Websites aussehen, bevor sie abgesichert werden, und was die Härtung daran ändert. Danach wird der Ausgangszustand nicht erneut übertragen. #### 1.5.2 * **Die anonyme Statistik meldet sich erst, wenn die Einrichtung durch ist.** Vorher lief sie kurz nach dem Häkchen los, also mitten im Einrichten. Jetzt steht am Ende ein fertiger Stand. * **Der Ausgangswert wandert mit.** Wer die Statistik freigegeben hat, schickt zusätzlich das Ergebnis des allerersten Scans mit. Daraus wird sichtbar, was die Härtung bewirkt und welche Punkte sie nicht schließen kann. Nur Prüfpunkt- Kennungen und Status, wie beim aktuellen Stand auch. #### 1.5.1 * **Firewall-Schutz verstärkt.** Anfragen mit bekannten Angriffsmustern werden abgewiesen, Angriffe auf kritische Lücken im WordPress-Kern in jedem Fall. Wer im Backend angemeldet ist, wird dabei nie ausgesperrt. * **Firewall-Schalter in den Einstellungen.** Der Schutz lässt sich dort sichtbar ein- und ausschalten. * **Erkennung der angemeldeten Sitzung gehärtet.** * **Der Schwarm lernt aus abgewehrten Angriffen.** Wehrt eine Bastora-Seite einen Einbruchsversuch ab, wandert die Adresse des Angreifers anonym in den geteilten Sperrkatalog, und die anderen teilnehmenden Seiten sperren sie vorbeugend. * **Regeln aus dem Schwarm greifen zuverlässiger.** #### 1.5.0 * **Abgelaufene Cache-Einträge auf einen Klick.** Der Prüfpunkt zu den Transients hat jetzt einen eigenen Knopf: Er räumt die abgelaufenen Einträge aus der Datenbank und richtet die tägliche Bereinigung ein, damit sich derselbe Ballast nicht wieder ansammelt. * **Ein Knopf-Stil für alle Aufräum-Aktionen.** Bisher sah jede Aktion in der Prüfliste anders aus, mal blau, mal umrandet, mal gar keine. Jetzt trägt jeder Punkt, bei dem Bastora selbst helfen kann, denselben Knopf an derselben Stelle. * **Ehrliche Rückmeldung nach dem Aufräumen.** Nach dem Klick steht in Klartext, wie viel entfernt wurde, und der Punkt wird frisch nachgeprüft statt blind auf grün gesetzt. Bleibt bei sehr vollen Datenbanken etwas übrig, sagt Bastora das. #### 1.4.9 * **Schutz gegen die neue WordPress-Kern-Lücke „wp2shell”.** Angreifer nutzen aktuell eine Schwachstelle im WordPress-Kern selbst aus, um über die Sammel-Schnittstelle unbemerkt Daten aus der Datenbank zu ziehen und Hintertüren zu setzen. Bastoras Firewall erkennt diese Anfrage und weist sie ab, bevor sie den Kern erreicht. * **Die Kerndatei-Wache erkennt jetzt auch getarnte Eindringlinge.** Fremde ausführbare Dateien, die sich als WordPress-Kern ausgeben und sich in den Kern-Ordnern verstecken, werden gefunden und automatisch in Quarantäne gelegt. Deine echten Kerndateien und Inhalte bleiben unangetastet, eine Neuinstallation ist nicht nötig. #### 1.4.4 * **HTTPS-Erkennung wird fälschungssicher.** Bastora prüft aktiv, wie die sichere Verbindung Deiner Website zustande kommt, direkt am Server, über einen lokalen Reverse-Proxy oder über Cloudflare, und erzwingt HTTPS im Backend nur dann, wenn die Quelle bestätigt ist. Ein gefälschter Verbindungs-Header kann die Erkennung nicht mehr täuschen. * **Firewall prüft mehr Angriffswege.** Neben Adresszeile und Formulardaten werden jetzt auch JSON-Daten und verschleierte Adress-Parameter untersucht. * **Schadcode wird auch in gekauften Themes sichtbar.** Klare Backdoor-Muster in Themes ohne Vergleichsoriginal werden gemeldet, statt still übergangen zu werden. Ein erneuter Befall nach einer Bereinigung löst wieder eine Warnung aus. * **Echte Suchmaschinen-Bots über IPv6 werden nicht mehr fälschlich blockiert.** * **Login-Schutz greift zuverlässiger.** Ein Bot, der das Anmeldeformular umgeht, wird abgewiesen, während App- und Schnittstellen-Anmeldungen unberührt bleiben. #### 1.4.3 * **Firewall-Schutz verstärkt.** Eine Lücke, über die sich die Web-Firewall mit einem angehängten Zusatz-Parameter aushebeln ließ, ist geschlossen. Die Prüfung greift jetzt bei jedem Seitenaufruf zuverlässig. * **Schutz vor dem Auslesen von Benutzernamen erweitert.** Die Absicherung greift jetzt auch auf Websites mit einfachen Permalinks, nicht mehr nur bei sprechenden Adressen. * **Einrichtung und Nachprüfung robuster.** Der Einrichtungs-Assistent und die einzelne Nachprüfung eines Punktes im Dashboard verkraften jetzt auch seltene Fehlerfälle, ohne hängen zu bleiben. #### 1.4.2 * **Bastora heilt veränderte Theme-Dateien von selbst.** Weicht eine ausführbare Theme-Datei (PHP, JavaScript) vom geprüften Original auf wordpress.org ab, setzt Bastora sie automatisch auf das Original zurück und sichert die vorgefundene Fassung. Reine Design- und Medien-Dateien wie CSS, Bilder oder Schriften bleiben unangetastet, eine Abweichung dort ist harmlos. * **Neuer Wiederherstellungs-Bereich.** Jede zurückgesetzte Datei lässt sich mit einem Klick zurückholen, falls es doch eine gewollte Anpassung war. Eine Hinweis- Mail informiert über jeden Vorgang und verlinkt direkt dorthin. * **Klarere Datei-Meldungen.** Die Datei-Wache meldet nur noch, was wirklich zählt, ohne doppelte Erklärtexte. #### 1.4.1 * **Bastora fragt nach der Einrichtung, wohin die Meldungen gehen sollen.** Direkt nach dem Setup wählst Du die Empfänger der Sicherheitsmeldungen: alle Administratoren, bestimmte Personen oder eine eigene Adresse, gern auch mehrere zusammen. Bis Du wählst, geht die Meldung an die WordPress-Admin-Adresse, das bleibt die Rückfallebene. * **Neue Angabe zur Installationsart.** Du sagst Bastora, ob Du die Website selbst betreibst, im Auftrag betreust oder für eine Organisation einrichtest. Danach richtet Bastora die Vorbelegung der Empfänger passend aus. Beides lässt sich jederzeit in den Einstellungen ändern. #### 1.3.9 * **Reine Beschreibungsdateien lösen keinen Fehlalarm mehr aus.** Beim Abgleich mit wordpress.org zählen jetzt die Programmdateien. Eine abweichende readme, ein gepflegter Changelog oder eine Sprachdatei gilt als harmlos, weil dort ohnehin kein Code läuft. Veränderte Programmdateien werden weiterhin streng geprüft. * **Ein Knopf führt direkt zu den Updates.** Steht für ein Plugin oder Theme wirklich ein Update bereit, zeigt der passende Punkt jetzt den Knopf „Jetzt aktualisieren”, der Dich direkt zur WordPress-Updates-Seite bringt. #### 1.3.8 * **Deutsche WordPress-Installationen werden korrekt geprüft.** Bastora hat die Kerndateien bisher gegen die englische Ausgabe von WordPress abgeglichen. Auf einer deutschen Installation galt dadurch `wp-includes/version.php` als verändert, obwohl sie in Ordnung war. Bastora prüft jetzt gegen das Sprachpaket, aus dem WordPress tatsächlich installiert wurde, und lädt für eine Reparatur auch die passende Ausgabe. * **Keine unnötige Reparatur mehr an dieser Datei.** Aus demselben Grund hat die Kerndatei-Wache diese eine Datei bei jedem Durchlauf ersetzt und dabei die Sprachkennung von WordPress überschrieben. Das passiert nicht mehr. * **Auch der Kern rät nicht mehr zur Neuinstallation.** Weicht eine Kerndatei ab, holt Bastora das Original zurück und sichert die vorgefundene Fassung in der Quarantäne, wie bei Plugins und Themes auch. * **Der Login-Schutz lässt sich nicht mehr über gefälschte Kopfzeilen austricksen.** Die Brute-Force-Sperre bestimmt die Besucher-Adresse jetzt genauso vorsichtig wie der übrige Schutz und wertet Proxy-Kopfzeilen nur bei einem bekannten Proxy aus. * **Gesicherte Fundstücke sind nicht mehr aufrufbar.** Dateien, die Bastora in die Quarantäne verschiebt, werden mit unschädlicher Endung abgelegt und der Ordner zusätzlich gegen direkten Zugriff gesperrt. * **Keine internen Adressen im Schwarm.** Private und reservierte IP-Adressen werden weder gemeldet noch gesperrt. * **Ein verändertes Theme wird nicht mehr als sauber ausgewiesen.** Weicht das aktive Theme vom Original ab, zeigt der zugehörige Punkt das als Hinweis, statt„ alles in Ordnung” zu melden. #### 1.3.7 * **Status erneuert sich nach einem Update von selbst.** Nach einem Plugin-, Theme- oder WordPress-Update erhebt Bastora den Sicherheitsstatus jetzt im Hintergrund neu, ohne dass Du das Dashboard öffnen musst. Der Schutz war auch vorher durchgehend aktiv, die Anzeige hängt nun nicht mehr hinterher. * **Verfügbare Updates fallen auf einen Hinweis zurück.** Steht für ein Plugin oder Theme ein Update bereit (auch bei abgeschaltetem Auto-Update), zeigt der passende Prüfpunkt das als Hinweis, statt weiter „alles aktuell” zu melden. * **„Dateien reparieren” statt Neuinstallation.** Weicht ein Plugin oder Theme vom Original auf wordpress.org ab, rät Bastora nicht mehr zur riskanten Neuinstallation. Ein Klick ersetzt gezielt nur die abweichenden Dateien durch das Original; die vorgefundene Fassung wird vorher in der Quarantäne gesichert. Einstellungen und Inhalte bleiben unangetastet. #### 1.3.6 * **Login-Captcha wird im Einrichtungs-Assistenten mitaktiviert.** Im Schritt „ Absichern” schaltet Bastora das Captcha jetzt sichtbar zusammen mit den übrigen Schutzschichten scharf. Der zugehörige Punkt steht danach von selbst auf grün, statt nur einen Hinweis ohne Weg zu zeigen. * **Kein Doppel-Scan neben anderen Security-Plugins.** Erkennt Bastora ein Plugin, das den Schadcode-Scan oder die Datei-Integrität bereits übernimmt (etwa Wordfence, Sucuri, MalCare, Solid Security oder WP Cerber), hält es den eigenen Scanner und die Datei-Wachen zurück. Das spart Last und vermeidet widersprüchliche Meldungen; der betroffene Punkt nennt klar, welches Plugin die Aufgabe übernimmt. #### 1.3.5 * **Ehrlichere Score-Gewichtung.** Nicht mehr jeder Prüfpunkt zählt gleich viel: kritische Schutzpunkte wiegen jetzt schwerer als kleine Kosmetik-Punkte. Der Score spiegelt damit den tatsächlichen Sicherheitsgewinn ehrlicher wider. * **Kein doppelter Hinweis mehr.** Wo ein Knopf den Punkt direkt behebt, blendet Bastora den zusätzlichen „Lösung in der Werkstatt”-Link aus. Ein klarer Weg statt zwei. * **Stabilität und Tempo.** Umfassender Code-Durchgang mit Fehlerkorrekturen und Performance-Feinschliff, damit Bastora die Website praktisch nicht ausbremst. #### 1.3.4 * **Restlicher Mixed Content verschwindet.** Nach der aktiven HTTPS-Umstellung weist Bastora den Browser an, jeden verbliebenen http-Verweis automatisch über https zu laden (upgrade-insecure-requests). Das räumt auch Links auf, die fest im Theme stehen und ein Datenbank-Ersetzen nie erreicht. Der HTTPS-Punkt steht danach auf grün. #### 1.3.3 * **Scoring zieht nach jeder Umstellung nach.** Löst Du die HTTPS-Umstellung über den Knopf aus, erkennt das Dashboard die Änderung sofort, bewertet den Punkt neu und passt den Score an. Auch das Rückgängigmachen wirkt sich direkt aus. #### 1.3.2 * **Frischer Status direkt nach dem Update.** Nach einem Plugin-Update erhebt Bastora den Sicherheits-Status von selbst neu, statt ein altes Ergebnis mit alten Einstufungen anzuzeigen. Ein Hard-Refresh im Browser ist nicht mehr nötig. * **Betreuter Schutz trägt wieder das blaue “Pro”-Abzeichen.** Die Ebene zeigt ihr Abzeichen jetzt zuverlässig, auch wenn das gespeicherte Ergebnis noch vom Vorgänger stammt. Die Kachel “Nicht prüfbar” und ihr Filter zählen dieselben Punkte. * **Sicherheits-Header setzt Bastora jetzt selbst.** X-Frame-Options, X-Content- Type-Options, Referrer-Policy und Permissions-Policy liefert Bastora auf sicheren Werten aus, sofern sie nicht schon vom Server oder einem anderen Plugin kommen. Doppelte Header entstehen dabei nicht. * **Autosave und Pingbacks werden automatisch gelöst.** Statt eines Knopfes streckt Bastora das Autosave-Intervall auf 5 Minuten und schaltet aus- und eingehende Pingbacks ab, jeweils konfliktgeprüft. * **Fremdverwaltete Updates: kein leerer Schalter mehr.** Verwaltet eine Hosting- Schicht wie Installatron die automatischen Updates, zeigt Bastora nur noch den Hinweis, keine wirkungslose Checkbox. * **Assets brechen den Cache zuverlässig.** Alle mitgelieferten Skripte und Stile laden nach einer Änderung sicher neu. * **Child-Themes werden erkannt.** Nutzt Du ein Child-Theme (etwa Hello Elementor Child), gleicht Bastora das Eltern-Theme mit dem Original auf wordpress.org ab, statt das Child fälschlich als „Pro-Theme ohne Referenz” zu behandeln. * **Captcha-Hinweis verständlich.** Der Punkt zum Login-Captcha spricht nicht mehr vom „Onboarding”. Nach abgeschlossener Einrichtung schützt das Bastora-Captcha den Login automatisch und der Punkt steht auf grün. * **Sichere Verbindung mit Knopf.** Meldet der Punkt zur sicheren Verbindung noch offene Stellen, führt ein Knopf direkt zur Umstellung. * **Klarere Update-Empfehlung im Assistenten.** Der Einrichtungs-Assistent empfiehlt automatische Updates für Plugins, Themes und den WordPress-Kern in einem Zug. Das Häkchen greift jetzt zuverlässig, sodass die Update-Empfehlung nach der Einrichtung nicht mehr fälschlich erneut erscheint. * **HTTPS stellt Bastora nicht mehr von selbst um.** Die Umstellung auf sichere Links bleibt eine Empfehlung, die Du im Dashboard oder in den Einstellungen selbst auslöst und jederzeit wieder rückgängig machen kannst. Die Prüfung auf unsichere Links (Mixed Content) bleibt erhalten, ein vorhandenes SSL-Plugin bleibt unangetastet. * **Reverse-Proxy sauber erkannt.** Liefert Dein Hoster oder ein Proxy die Seite bereits über https aus, während WordPress intern noch http kennt, zeigt Bastora dafür einen ruhigen Hinweis mit klarer Erklärung statt einer falschen „unverschlüsselt”- Warnung. #### 1.3.0 * **Veränderte Theme-Dateien werden ersetzt, statt gemeldet.** Weicht eine Datei vom Original auf wordpress.org ab, schreibt Bastora das Original selbst zurück und sichert die vorgefundene Fassung in der Quarantäne. Danach steht dort eine Information, keine Aufgabe. * **Die Herkunft entscheidet, nicht das Muster.** Code, der bitgenau so im Original des Themes steht, gehört zum Theme und taucht nirgends mehr als Verdacht auf. * **Ohne Original bleibt der Punkt ehrlich grau.** Bei gekauften Themes, ausgelagerten Builder-Themes und Child-Themes gibt es nichts zu vergleichen. Das sagt Bastora jetzt so, statt Vermutungen anzuzeigen. Eindeutiger Schadcode wie eine Webshell wird dort trotzdem erkannt und behandelt, denn dafür braucht es kein Original. * **Eindeutiger Schadcode wandert von selbst in die Quarantäne.** Trägt eine fremde Datei ein eindeutiges Muster (Webshell, Backdoor, Verwisch-Routine), verschiebt Bastora sie in die Quarantäne und legt eine Sicherungskopie ab. Muster, die auch harmlos sein können, entfernt Bastora nicht von allein: dort steht ein Knopf mit kurzer Empfehlung. Bindet das Theme die Datei ein, bleibt sie unangetastet. * **Der Audit-Punkt bewertet sich nach jedem Eingriff neu.** Bisher konnte er von Funden sprechen, die längst behoben waren. * **Bastora misst nach Änderungen selbst nach.** Bemerkt es eine Änderung am System, meldet es das im Dashboard und erhebt den Status sofort neu. Währenddessen dreht sich der Ring um den Score. Die Aufforderung, selbst einen Scan zu starten, entfällt. * **Fünfte Kachel im Dashboard.** “Bastora Pro” zeigt die Punkte, die der bezahlte Dienst übernimmt, mit derselben Filterung wie die übrigen Kacheln. Die Ebene “ Betreuter Schutz” trägt dazu ein blaues Abzeichen. * **Rot heißt jetzt “Zu beheben”.** Der bisherige Begriff “Offen” ließ sich zu leicht mit “Nicht prüfbar” verwechseln. * **Passwort-Warnung lässt sich ausblenden.** Ein Knopf “Ich kenne das Risiko” legt die Meldung still. Sobald ein sauberes Passwort gesetzt ist, meldet Bastora bei einem künftig geleakten wieder. * **Datei-Inspektor repariert.** Der Vergleich mit dem Original lädt die Referenz jetzt bei Bedarf, statt auf einen zwischenzeitlich geleerten Zwischenspeicher zu warten. * **Menü aufgeräumt.** Dashboard, Status, Einstellungen und Pro. Die Detailseiten bleiben über ihre Links erreichbar. ## Meta * Version **1.9.2** * Last updated **ཉིནམ་ 2། ago** * Active installations **30+** * WordPress version ** 6.0 or higher ** * Tested up to **7.1** * PHP version ** 7.4 or higher ** * Languages * [English (US)](https://wordpress.org/plugins/bastora-security-audit/) and [German](https://de.wordpress.org/plugins/bastora-security-audit/). * [Translate into your language](https://translate.wordpress.org/projects/wp-plugins/bastora-security-audit) * Tags * [Brute Force](https://dzo.wordpress.org/plugins/tags/brute-force/)[firewall](https://dzo.wordpress.org/plugins/tags/firewall/) [hardening](https://dzo.wordpress.org/plugins/tags/hardening/)[malware](https://dzo.wordpress.org/plugins/tags/malware/) [security](https://dzo.wordpress.org/plugins/tags/security/) * [Advanced View](https://dzo.wordpress.org/plugins/bastora-security-audit/advanced/) ## Ratings No reviews have been submitted yet. [Your review](https://wordpress.org/support/plugin/bastora-security-audit/reviews/#new-post) [See all reviews](https://wordpress.org/support/plugin/bastora-security-audit/reviews/) ## Contributors * [ Bastora ](https://profiles.wordpress.org/mathiasva/) ## Support Got something to say? Need help? [View support forum](https://wordpress.org/support/plugin/bastora-security-audit/)