Sieben Audit-Punkte sind ab jetzt mit \u201ePro-Feature" gekennzeichnet, weil sie strukturell nur \u00fcber den Bastora-Schutz-Service mit MU-Plugin gel\u00f6st werden. Sie z\u00e4hlen im Score mit Gewicht null, der maximale Free-Score liegt unter 100. Klartext-Erkl\u00e4rung pro Punkt.<\/p>","1.2.4":"
WAF, Schadcode-Scanner und Aktivit\u00e4ts-Log werden erst beim Wizard scharf, nicht mehr beim Plugin-Activate. Audit-Score z\u00e4hlt jetzt \u201enicht pr\u00fcfbar"-Punkte mit halbem Gewicht statt sie zu ignorieren (vorher konnte Score 100 trotz 48 ungepr\u00fcfter Punkte rauskommen). Werkstatt-Links ohne dezidierten Artikel werden weggelassen.<\/p>","1.2.3":"
Tested up to wieder auf 7.0. Audit-Punkte zugang.08 (E-Mail-Login) und monitor.03 (Captcha) pr\u00fcfen jetzt die korrekten Indikatoren statt semantisch leere Flag-Abfragen.<\/p>","1.2.2":"
Bugfix bei der Telemetrie-Option (Update-Versionen wurden nicht mit \u00fcbertragen). Quick-Action f\u00fcr Auto-Updates ohne 25-Sekunden-H\u00e4nger. \u201eTested up to" auf 6.7 korrigiert. Texte aufger\u00e4umt: keine Architektur-Lecks, keine Negationen, \u201escharf schalten" ist raus.<\/p>","1.2.1":"
Audit-Findings update.04 und update.05 (Plugin- und Theme-Auto-Updates) bekommen einen Quick-Action-Knopf. Ein Klick aktiviert die Filter f\u00fcr alle Plugins oder alle Themes. Werkstatt-Text pr\u00e4zisiert mit Child-Theme-Hinweis.<\/p>","1.2.0":"
Bastora-Sidebar radikal reduziert: Firewall, Verkehr & Sperren, Aktivit\u00e4t, Datei-Inspektor sind als Submen\u00fcs entfernt. Es gibt nur noch Dashboard, H\u00e4rtung und Einstellungen. Die Funktionen laufen unver\u00e4ndert im Hintergrund, die Daten gehen in das anonyme 28-Tage-Aggregat. H\u00e4rtungs-Seite zeigt die sieben Wachen als kompakte Status-Karten.<\/p>","1.1.2":"
Dashboard-Texte f\u00fcr Schad-URL und Schwarm sind jetzt knapper und ohne Quellen-Nennung. Schwarm-Sperrliste wird serverseitig mit anerkannten Bad-IP-Quellen vorgef\u00fcllt, frische Installs starten ab dem ersten Pull mit substantieller Liste.<\/p>","1.1.1":"
Wizard-Loader zeigt jetzt alle 19 Schritte (13 Hardenings + 6 Hintergrund-Wachen) in derselben Choreografie. Dashboard-Karten Schad-URL und Schwarm haben ehrliche \u00dcbergangs-Texte. Kleiner Wording-Fix f\u00fcr KI-Bot-H\u00e4kchen.<\/p>","1.1.0":"
Gro\u00dfes Funktionsupdate: neuer Bot-Schutz mit vierstufiger Klassifikation (gut \/ schadhaft \/ KI \/ SEO), Reverse-DNS-Verifikation f\u00fcr Googlebot und Co., drei H\u00e4kchen in den Einstellungen mit Klartext-Erkl\u00e4rung. Wizard-Loader erweitert um sechs Hintergrund-Wachen (Bot-Schutz, WAF, Aktivit\u00e4ts-Log, Schadcode-Scanner, Kerndatei-Wache, Plugin\/Theme-Wache), alle in derselben AJAX-Choreografie. Telemetrie-Snapshot enth\u00e4lt jetzt 28-Tage-Aggregate aus WAF, Block-Rules, Brute-Force, Audit-Log und Bot-Log. Keine IPs, kein Event-Stream, alles aggregiert.<\/p>","1.0.7":"
Telemetrie sendet ab jetzt nur noch alle 28 Tage statt t\u00e4glich. Bestands-Installationen werden automatisch auf das neue Intervall umgestellt.<\/p>","1.0.6":"
Bugfix: Schwarm-Aktivierungs-Fehler zeigen jetzt eine klare rote Notice statt einer falschen gr\u00fcnen \u201eGespeichert"-Meldung. H\u00e4kchen bleibt sichtbar, wenn die Server-Registrierung gerade scheitert.<\/p>","1.0.5":"
Pflege-Release zu 1.0.4: Atomarer Lock f\u00fcr Auto-Repair-Hintergrund-Jobs (race-frei gegen parallele Cron-Trigger). Transparenz-Hinweis zur Telemetrie-Eindeutigkeit in der readme.<\/p>","1.0.4":"
Pflege-Release zu 1.0.3: Bugfix bei Sucuri-Pro-Erkennung (Free wurde f\u00e4lschlich als Pro markiert), Telemetrie-Aggregat-Queries reduziert, Send-Timeout entspannt, External-Services-Doku erg\u00e4nzt.<\/p>","1.0.3":"
Bei aktiviertem Telemetrie-H\u00e4kchen werden ab jetzt zus\u00e4tzlich Plugin\/Theme-Autor, neueste verf\u00fcgbare Version, Update-Status, WP-Core-Update-Status, anonymer Hosting-Provider-Slug, Audit-Status pro Pr\u00fcfpunkt, erkannte Sicherheits-Plugins (free\/Pro) und Bastora-H\u00e4rtungs-Status \u00fcbertragen. Domain, IP und Benutzer-Daten gehen weiter NICHT raus.<\/p>","1.0.2":"
Pflege-Release zu 1.0.1: Activation-Redirect bleibt jetzt 5 Minuten lang scharf statt 30 Sekunden, Telemetrie-Body wird auf 150 Plugins + 50 Themes gekappt (verhindert 413-Antworten), und die Endpoint-Migration auf www.bastora.de r\u00e4umt jetzt die Datenbank einmalig auf statt bei jedem Aufruf nachzuschneiden.<\/p>","1.0.1":"
Pflicht-Update, wenn Du Schwarm-Schutz, Pwned-Passwort-Check oder Telemetrie nutzt: die Server-Endpoints auf www.bastora.de werden jetzt direkt angesprochen, der bisherige 301-Redirect von der Bare-Domain hatte POST-Requests in GET verwandelt. Plus: nach Aktivierung kommst Du automatisch in den Wizard, Telemetrie sammelt jetzt deutlich detaillierter, Dashboard zeigt Status-Karten der Hintergrund-Wachen direkt unter dem Score.<\/p>","1.0.0":"
Gro\u00dfes Funktionsupdate: lokale Firewall, Schadcode-Scanner f\u00fcr Themes und Uploads, URL-Reputation in Posts\/Kommentaren, eigenes Vier-Schichten-Captcha (Honeypot + Time-Trap + JavaScript-Proof-of-Work + Math-Fallback), persistente Sperrliste mit IP\/CIDR\/Hostname\/UA\/Referrer und Live-Traffic-Log f\u00fcr Sicherheits-Events. Optionaler Pwned-Passwords-Abgleich gegen den eigenen Bastora-Proxy auf deutschem Hoster (k-Anonymity). Punktezahl w\u00e4chst von 55 auf 58.<\/p>","0.4.0":"
Plugin- und Theme-Wache: Bastora gleicht ab jetzt t\u00e4glich alle installierten Plugins und Themes gegen das offizielle Original im WordPress.org-Repository ab und meldet ver\u00e4nderte oder fehlende Dateien per Admin-Mail. Punktezahl steigt von 53 auf 55. Quellen ausschlie\u00dflich offiziell von wordpress.org, kein Aufruf an kommerzielle Dritt-APIs.<\/p>","0.3.0":"
Neuer Bastora-Schwarm: Brute-Force-Angreifer werden anonym zwischen teilnehmenden Sites geteilt, IPs werden vorbeugend gesperrt. Vollst\u00e4ndig opt-in im Wizard und unter Einstellungen. Versendet werden nur Angreifer-IP, Angriffs-Typ und ein anonymer Token, keine Domain, keine Besucher-IPs.<\/p>","0.2.9":"
Code-Review-Pass nach der Berichts-Entfernung. Doc-Kommentar zur Kategorien-Reihenfolge pr\u00e4zisiert.<\/p>","0.2.8":"
Der druckbare HTML-Bericht ist raus. Das Scan-Ergebnis bleibt als interaktive Audit-Liste im Dashboard erhalten. Den vollst\u00e4ndigen, gedruckten Sicherheitsbericht gibt es im Bastora-Schutz-Service.<\/p>","0.2.7":"
Dashboard ist jetzt interaktiv: Status-Kacheln filtern die Audit-Liste, jeder Punkt verlinkt zur passenden Werkstatt-Anleitung auf bastora.de. Neuer Klartext-Hinweis erkl\u00e4rt, warum manche Server-Punkte nicht im Plugin gel\u00f6st werden k\u00f6nnen. Wizard-H\u00e4kchen einheitlich \u201eVersions-Abgleich erlauben".<\/p>","0.2.6":"
Bugfix-Release zu 0.2.5: der Sofort-Trigger nach manuellem Scan und der Cron-Anlauf auf stillen Plugin-Updates funktionieren jetzt zuverl\u00e4ssig. Neuer Admin-Block \u201eKerndatei-Wache" in den Einstellungen.<\/p>","0.2.5":"
Manipulierte WordPress-Kerndateien werden ab jetzt automatisch repariert. T\u00e4glicher Hintergrund-Cron l\u00e4dt die saubere Originaldatei aus der offiziellen WordPress-ZIP, doppelte Hash-Validierung vor dem Ersetzen, Original wandert in Quarant\u00e4ne. Admin-Mail nach jedem Repair-Lauf. Voraussetzung ist der Versions-Abgleich-Opt-in.<\/p>","0.2.4":"
Neuer Audit-Punkt: Abgleich der WordPress-Kerndateien gegen das offizielle Original von wordpress.org. Erkennt manipulierte und fehlende Kerndateien, typisches Symptom f\u00fcr eingeschleusten Schadcode. Voraussetzung ist der Versions-Abgleich-Opt-in (gleiche Checkbox wie f\u00fcr die Update-Pr\u00fcfpunkte).<\/p>","0.2.3":"
Plugin-Beschreibung und Plugin-Listing-Seite auf wordpress.org auf Deutsch \u00fcbersetzt. Screenshots-Sektion mit vier Bildern wieder aufgenommen.<\/p>","0.2.2":"
Plugin Review Team feedback: all paid-tier markers removed from code, UI and report. Wizard is now three steps. Marker constant for the conflict-check renamed to a neutral name.<\/p>","0.2.1":"
Vorbereitung f\u00fcr die Einreichung im WordPress-Plugin-Verzeichnis: Plugin-Name, Donate-Link und Screenshots-Sektion bereinigt.<\/p>","0.2.0":"
Neuer Onboarding-Wizard mit vier Schritten plus echtem Vorher-Nachher-Vergleich. H\u00e4rtungen werden erst nach Klick scharf geschaltet, das Plugin misst vorher nur.<\/p>","0.1.6":"
Plugin Review Team-Feedback: doppelte URI im Header entfernt.<\/p>","0.1.5":"
Plugin Review Team-Vorbereitung: Inline- Plugin Review Team feedback: unn\u00f6tiges Konflikt-Check erkennt jetzt auch MU-Plugin-basierte Sicherheits-Schichten, verhindert Filter-Doppelung und Whitelabel-Br\u00fcche.<\/p>","0.1.2":" External calls to api.wordpress.org are now opt-in by default, review your settings after upgrade if you rely on the update-related audit points.<\/p>","0.1.1":" Plugin Review Team feedback: text domain alignment, CSS enqueue, contributors fix.<\/p>","0.1.0":" Initial release.<\/p>"},"ratings":[],"assets_icons":{"icon-128x128.png":{"filename":"icon-128x128.png","revision":3568084,"resolution":"128x128","location":"assets","locale":"","width":128,"height":128},"icon-256x256.png":{"filename":"icon-256x256.png","revision":3568084,"resolution":"256x256","location":"assets","locale":"","width":256,"height":256}},"assets_banners":{"banner-1544x500.png":{"filename":"banner-1544x500.png","revision":3568084,"resolution":"1544x500","location":"assets","locale":"","width":1544,"height":500},"banner-772x250.png":{"filename":"banner-772x250.png","revision":3568084,"resolution":"772x250","location":"assets","locale":"","width":772,"height":250}},"assets_blueprints":{},"all_blocks":[],"tagged_versions":["0.2.2","0.2.3","0.2.4","0.2.5","0.2.6","0.2.7","0.2.9","0.3.0","1.2.5"],"block_files":[],"assets_screenshots":{"screenshot-1.png":{"filename":"screenshot-1.png","revision":3568084,"resolution":"1","location":"assets","locale":"","width":1280,"height":720},"screenshot-2.png":{"filename":"screenshot-2.png","revision":3568084,"resolution":"2","location":"assets","locale":"","width":1280,"height":720},"screenshot-3.png":{"filename":"screenshot-3.png","revision":3568084,"resolution":"3","location":"assets","locale":"","width":1280,"height":720},"screenshot-4.png":{"filename":"screenshot-4.png","revision":3568084,"resolution":"4","location":"assets","locale":"","width":1280,"height":720}},"screenshots":{"1":"Der erste Scan startet, Bastora pr\u00fcft 58 Sicherheitspunkte in etwa 25 Sekunden.","2":"Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte.","3":"Bastora schaltet die H\u00e4rtungen scharf, wo ein anderes Sicherheits-Plugin schon zust\u00e4ndig ist, l\u00e4sst Bastora die Hand davon.","4":"Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Pr\u00fcfpunkt mit Klartext-Erkl\u00e4rung."}},"plugin_section":[],"plugin_tags":[2439,1174,31093,1184,600],"plugin_category":[38,54],"plugin_contributors":[266569],"plugin_business_model":[],"class_list":["post-316373","plugin","type-plugin","status-publish","hentry","plugin_tags-brute-force","plugin_tags-firewall","plugin_tags-hardening","plugin_tags-malware","plugin_tags-security","plugin_category-authentication","plugin_category-security-and-spam-protection","plugin_contributors-mathiasva","plugin_committers-mathiasva"],"banners":{"banner":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/banner-772x250.png?rev=3568084","banner_2x":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/banner-1544x500.png?rev=3568084","banner_rtl":false,"banner_2x_rtl":false},"icons":{"svg":false,"icon":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/icon-128x128.png?rev=3568084","icon_2x":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/icon-256x256.png?rev=3568084","generated":false},"screenshots":[{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-1.png?rev=3568084","caption":"Der erste Scan startet, Bastora pr\u00fcft 58 Sicherheitspunkte in etwa 25 Sekunden."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-2.png?rev=3568084","caption":"Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-3.png?rev=3568084","caption":"Bastora schaltet die H\u00e4rtungen scharf, wo ein anderes Sicherheits-Plugin schon zust\u00e4ndig ist, l\u00e4sst Bastora die Hand davon."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-4.png?rev=3568084","caption":"Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Pr\u00fcfpunkt mit Klartext-Erkl\u00e4rung."}],"raw_content":"\n Bastora<\/strong> ist ein ehrlicher WordPress-Sicherheits-Check. Statt tausend Schalter ohne Erkl\u00e4rung pr\u00fcft Bastora Deine Installation gegen einen festen Katalog aus 58 Sicherheitspunkten<\/strong> und zeigt Dir das Ergebnis als Klartext-Ampel direkt in Deinem Dashboard.<\/p>\n\n Bastora unterscheidet sich von anderen Sicherheits-Plugins in drei Punkten:<\/p>\n\n Wenn eines der folgenden Plugins schon l\u00e4uft, erkennt Bastora das und deaktiviert nur die \u00fcberlappenden Bereiche:<\/p>\n\n Im Dashboard siehst Du pro H\u00e4rtung im Klartext, warum sie aktiv oder inaktiv ist.<\/p>\n\n Wenn Du das H\u00e4kchen \u201eStatistik aktivieren und teilen\" in den Einstellungen setzt, schickt Bastora einmal sofort und danach nur alle 28 Tage eine kompakte anonyme Zusammenfassung per HTTPS-POST an \u00dcbertragen werden ausschlie\u00dflich:<\/p>\n\n Was nie<\/strong> \u00fcbertragen wird: Domain, URL, IP-Adresse, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Dateiinhalte, Plugin-Versionen pro Slug. Der bastora.de-Server loggt keine Aufrufer-IP. Pro Site-ID wird maximal ein Eintrag pro Tag akzeptiert (UPSERT), die normale Sende-Frequenz pro Site liegt ohnehin bei einem Datensatz alle 28 Tage. Bei Deinstallation des Plugins werden die lokale Site-ID und alle Bastora-Optionen entfernt.<\/p>\n\n Bastora kontaktiert externe Server in zwei klar getrennten F\u00e4llen. Beide sind opt-in. Ab Werk macht das Plugin keine externen Verbindungen.<\/strong><\/p>\n\n 1. Versions-Abgleich gegen api.wordpress.org (opt-in)<\/strong><\/p>\n\n Wenn Du im Welcome-Wizard oder in den Einstellungen \u201eVersions-Abgleich erlauben\" aktivierst, fragt Bastora bei einem manuellen Scan die api.wordpress.org nach:<\/p>\n\n Wenn Bastora bei der t\u00e4glichen Pr\u00fcfung manipulierte oder fehlende Kerndateien entdeckt, l\u00e4dt Bastora zus\u00e4tzlich die offizielle WordPress-ZIP herunter, um die saubere Originaldatei zu extrahieren:<\/p>\n\n Die ZIP wird einmal pro Version 7 Tage lokal in Ab Plugin-Version 0.4.0 l\u00e4dt Bastora f\u00fcr die t\u00e4gliche Plugin- und Theme-Wache zus\u00e4tzlich pro installiertem Plugin\/Theme die offizielle ZIP aus dem WordPress.org-Repository, um die einzelnen Dateien gegen das Original abzugleichen:<\/p>\n\n Die ZIPs werden 7 Tage lokal in Das ist dieselbe API, die WordPress selbst f\u00fcr seine eigenen Update-Checks nutzt. \u00dcbertragen wird nur der Slug pro Plugin oder Theme. Keine Domain, keine Nutzerdaten, keine Besucher-IP. Die Abfragen laufen nur bei manuellem Klick auf den Scan-Button, nie automatisch im Hintergrund. Antworten werden 24 Stunden zwischengespeichert.<\/p>\n\n Wenn Du diesen Punkt nicht aktivierst, werden die update-relevanten Audit-Punkte als \u201enicht pr\u00fcfbar\" markiert und es geht keine Anfrage raus.<\/p>\n\n 2. Bastora-Schwarm (opt-in, ab Plugin-Version 0.3.0)<\/strong><\/p>\n\n Wenn Du den Bastora-Schwarm im Welcome-Wizard oder unter \u201eEinstellungen \u2192 Bastora-Schwarm\" aktivierst, tauscht das Plugin Brute-Force-Angreifer-IPs anonym mit anderen teilnehmenden Sites aus. Drei Endpoints sind beteiligt:<\/p>\n\n Der HTTP-User-Agent ist bei allen vier Endpoints statisch \u201eBastora-Swarm\/\", damit WordPress die Domain nicht \u00fcber den Default-UA mitschickt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Angriffsabwehr). Eingegangene Reports werden serverseitig nach 14 Tagen automatisch gel\u00f6scht (Datenminimierung). Sperrlisten-Eintr\u00e4ge verfallen nach 72 Stunden ohne neue Meldungen.<\/p>\n\n Pwned-Passwords-Abgleich (Opt-in, nur Backend-Login)<\/strong><\/p>\n\n Wenn Du in den Einstellungen den Passwort-Leak-Check aktivierst, schickt Bastora bei jedem Backend-Login (max. 1\u00d7 pro 7 Tage pro Nutzer) die ersten f\u00fcnf Hex-Zeichen des SHA-1-Hashes Deines eingegebenen Passworts an Schad-URL-Feed (Opt-in)<\/strong><\/p>\n\n Wenn Du den Schad-URL-Feed in den Einstellungen aktivierst, holt Bastora einmal pro Tag eine aktualisierte Domain-Liste von Anonyme Sicherheits-Telemetrie an bastora.de (Opt-in)<\/strong><\/p>\n\n Wenn Du in den Einstellungen den Schalter \u201eStatistik aktivieren und teilen\" setzt, schickt Bastora einmal sofort und danach nur alle 28 Tage einen JSON-POST an Was nie<\/strong> \u00fcbertragen wird: Domain, URL, Server-IP, Besucher-IPs, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Datei-Inhalte, Datenbank-Inhalte. Der bastora.de-Server loggt keine Aufrufer-IP. Pro Site-ID akzeptiert der Server maximal einen Eintrag pro Tag (UPSERT, der jeweils neueste Stand bleibt). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Bei Deinstallation des Plugins wird die lokale Site-ID gel\u00f6scht.<\/p>\n\n Wichtige Einordnung zur Quasi-Eindeutigkeit:<\/strong> Die Kombination aus Plugin-Inventar, Theme-Inventar, jeweiligen Versionen, Hosting-Provider-Slug und Locale ist statistisch sehr individuell. Auch ohne Domain entsteht damit ein \u201eFingerprint\" der Installation. Bastora nutzt die Daten ausschlie\u00dflich f\u00fcr die anonyme Statistik (h\u00e4ufigste Plugins, h\u00e4ufigste L\u00fccken, Update-R\u00fcckst\u00e4nde) und f\u00fchrt die Telemetrie-Datenbank nie mit anderen Datenquellen zusammen. Wenn diese Einordnung f\u00fcr Dich nicht akzeptabel ist, lass das Telemetrie-H\u00e4kchen leer , das Plugin funktioniert auch ohne.<\/p>\n\n Lokale DNS-Anfrage zur Hosting-Provider-Erkennung (nur als Teil der Telemetrie-Funktion)<\/strong><\/p>\n\n Wenn die Telemetrie aktiv ist, ermittelt Bastora einmalig den anonymen Hosting-Provider-Slug (z.B. \u201ehetzner\", \u201eionos\", \u201ekinsta\"). Daf\u00fcr ruft Bastora die lokale PHP-Funktion Vollst\u00e4ndige Datenschutzerkl\u00e4rung: https:\/\/bastora.de\/datenschutz.php\nVerantwortliche Stelle laut Impressum: https:\/\/bastora.de\/impressum.php<\/p>\n\n\n Mehr ist nicht zu tun. Bastora richtet sich selbst ein.<\/p>\n\n\n Nein. Bastora braucht keine Konfiguration. Installieren, aktivieren, scannen, fertig.<\/p><\/dd>\n Ja. Bastora erkennt diese Plugins beim Aktivieren und tritt in den \u00fcberlappenden Bereichen zur Seite. Das Dashboard zeigt Dir, welche H\u00e4rtungen wegen eines Konflikts inaktiv sind.<\/p><\/dd>\n Ab Werk nichts. Externe Verbindungen schaltest Du in den Einstellungen einzeln frei: Versions-Abgleich gegen api.wordpress.org, Bastora-Schwarm, Schad-URL-Feed, Passwort-Leak-Check, anonyme Statistik. Jede dieser Verbindungen ist standardm\u00e4\u00dfig aus und sendet erst nach Deinem H\u00e4kchen Daten.<\/p><\/dd>\n Bastora \u2192 Einstellungen \u2192 H\u00e4kchen bei \u201eStatistik aktivieren und teilen\" raus \u2192 speichern. Der t\u00e4gliche Cron wird sofort gestoppt, ab da geht kein Eintrag mehr an bastora.de. Die bereits gesammelten Datens\u00e4tze werden serverseitig nicht von uns r\u00fcckwirkend gel\u00f6scht, weil sie keinen Bezug zu Deiner Domain haben (nur eine zuf\u00e4llige UUID).<\/p><\/dd>\n Auf deutschen Servern. Bastora arbeitet ausschlie\u00dflich mit einem deutschen Hoster.<\/p><\/dd>\n Bei normaler Deaktivierung bleiben die Bastora-Einstellungen erhalten. Wenn Du das Plugin per \u201eL\u00f6schen\" entfernst, werden alle Einstellungen, Audit-Ergebnisse und Site-IDs gel\u00f6scht. H\u00e4rtungen werden automatisch zur\u00fcckgerollt. Bei aktivem Schwarm-Schutz meldet das Plugin den anonymen Token vorher beim Schwarm-Server ab.<\/p><\/dd>\n Der Bastora-Schwarm ist ein opt-in-basierter Pool aus teilnehmenden Bastora-Sites. Erkennt eine Site einen Brute-Force-Angriff (5 fehlgeschlagene Logins von derselben IP), schickt sie die Angreifer-IP samt Angriffs-Typ anonym an einen zentralen Server. Wenn mehrere unabh\u00e4ngige Sites dieselbe IP melden oder eine einzelne Site dieselbe IP h\u00e4ufig meldet, wandert die IP in einen Sperrkatalog. Alle teilnehmenden Sites holen diesen Katalog alle paar Minuten ab und sperren die IPs vorbeugend. Eintragungen verfallen automatisch nach 72 Stunden, falls keine neuen Meldungen reinkommen. Bekannte Crawler (Googlebot, Bingbot, Cloudflare etc.) werden serverseitig nie \u00fcbernommen, damit sie nicht versehentlich gesperrt werden.<\/p><\/dd>\n Ausschlie\u00dflich: die Angreifer-IP, der Angriffs-Typ (\u201elogin_bruteforce\"), die Bastora-Plugin-Version und ein anonymer UUID-Token, der beim Aktivieren einmalig generiert wurde. Nicht versendet werden: Deine Domain, Deine URL, Deine Besucher-IPs, Deine Benutzernamen, Deine E-Mail-Adresse, irgendetwas zu Deiner Konfiguration. Auch der HTTP-User-Agent ist statisch (\u201eBastora-Swarm\/Version\"), damit WordPress die Domain nicht \u00fcber den Standard-UA mitschickt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Angriffsabwehr).<\/p><\/dd>\n\n<\/dl>\n\n\nonclick<\/code>\/style<\/code>\/base64<\/code>-SVG durchg\u00e4ngig in enqueued Assets bzw. Dashicons ausgelagert; POST-Sanitization geh\u00e4rtet.<\/p>","0.1.4":"require_once<\/code> von wp-admin\/includes\/plugin.php<\/code> im Konflikt-Check entfernt.<\/p>","0.1.3":"\n
Was Bastora pr\u00fcft<\/h4>\n\n
\n
Was Bastora h\u00e4rtet (wenn kein Konflikt erkannt wird)<\/h4>\n\n
\n
wp-content\/uploads\/bastora-quarantine\/<\/code>. Du bekommst eine E-Mail mit der Liste der reparierten Dateien. Voraussetzung: Versions-Abgleich-Opt-in aktiv. Bei Hostern mit schreibgesch\u00fctzten Core-Dateien bleibt die Anzeige + Mail erhalten.<\/li>\nKonflikt-erkennend<\/h4>\n\n
\n
Was Bastora bewusst **nicht** macht<\/h4>\n\n
\n
Optionale anonyme Statistik (Opt-in)<\/h4>\n\n
https:\/\/bastora.de\/v1\/telemetry\/<\/code>. Vor dem H\u00e4kchen geht kein einziger Request raus. Die niedrige Frequenz ist bewusst: Bastora will Masse-Infos \u00fcber viele Sites sammeln, kein dichtes Zeitprofil einzelner Sites.<\/p>\n\n\n
Privacy<\/h3>\n\n
Externe Verbindungen<\/h4>\n\n
\n
https:\/\/api.wordpress.org\/core\/version-check\/1.7\/<\/code><\/li>\nhttps:\/\/api.wordpress.org\/core\/checksums\/1.0\/?version=<version>&locale=en_US<\/code><\/li>\nhttps:\/\/api.wordpress.org\/plugins\/info\/1.0\/<slug>.json<\/code><\/li>\nhttps:\/\/api.wordpress.org\/themes\/info\/1.2\/?action=theme_information&request[slug]=<slug><\/code><\/li>\n<\/ul>\n\n\n
https:\/\/downloads.wordpress.org\/release\/wordpress-<version>.zip<\/code><\/li>\n<\/ul>\n\nwp-content\/uploads\/bastora-quarantine\/_core-cache\/<\/code> gespeichert, um wiederholten Bandbreitenverbrauch zu vermeiden. Vor dem Ersetzen einer Datei pr\u00fcft Bastora deren MD5-Hash gegen den von api.wordpress.org gemeldeten Wert (Doppel-Sicherung gegen Download-Pannen).<\/p>\n\n\n
https:\/\/downloads.wordpress.org\/plugin\/<slug>.<version>.zip<\/code><\/li>\nhttps:\/\/downloads.wordpress.org\/theme\/<slug>.<version>.zip<\/code><\/li>\n<\/ul>\n\nwp-content\/uploads\/bastora-quarantine\/_asset-cache\/<\/code> gespeichert. Plugins und Themes, die NICHT im offiziellen WordPress.org-Repository liegen (z.B. Premium-Plugins, Custom-Themes), werden als \u201eextern, nicht pr\u00fcfbar\" markiert, es geht kein Request raus au\u00dfer dem ersten API-Lookup, der mit 404 antwortet und das Ergebnis 24 Stunden zwischenspeichert. Eine automatische Reparatur findet bei Plugins und Themes bewusst NICHT statt; bei Funden bekommst Du eine Admin-Mail mit der Liste der abweichenden Dateien.<\/p>\n\n\n
https:\/\/bastora.de\/api\/swarm-register.php<\/code>, Einmaliger POST beim Aktivieren. Der Server vergibt einen anonymen UUID-Token. \u00dcbertragen wird: die Plugin-Version. Nicht \u00fcbertragen wird: Domain, URL, IP-Adresse Deiner Besucher, Owner-Daten. Die Server-IP des HTTP-Requests wird nur als gesalzener SHA-256-Hash f\u00fcr ein Rate-Limit gespeichert und ist nicht zur\u00fcckrechenbar.<\/li>\nhttps:\/\/bastora.de\/api\/swarm-report.php<\/code>, POST bei Erkennung eines Brute-Force-Angriffs. \u00dcbertragen wird: der anonyme Token, die Angreifer-IP, der Angriffs-Typ (\u201elogin_bruteforce\"), die Severity, die Plugin-Version. Nicht \u00fcbertragen wird: alles andere.<\/li>\nhttps:\/\/bastora.de\/api\/swarm-feed.php<\/code>, GET-Abruf der aktuellen Sperrliste, alle 5 Minuten via WP-Cron plus on-demand bei Login-Versuchen, jeweils mit 60-Sekunden-Cache und ETag-Optimierung. Im HTTP-Header geht der anonyme Token mit, sonst nichts.<\/li>\nhttps:\/\/bastora.de\/api\/swarm-disconnect.php<\/code>, POST beim Opt-out in den Einstellungen oder beim Deinstallieren. \u00dcbertragen wird: der anonyme Token. Der Server l\u00f6scht den Knoten unmittelbar.<\/li>\n<\/ul>\n\nhttps:\/\/bastora.de\/v1\/pwned\/<prefix><\/code>. \u00dcbertragen wird ausschlie\u00dflich dieses 5-Zeichen-Prefix. Nicht \u00fcbertragen wird: das Passwort selbst, das vollst\u00e4ndige Hash, der Nutzername, die Domain, irgendeine ID. Der bastora.de-Proxy fragt die offizielle haveibeenpwned.com-API mit dem Prefix an, cached das Ergebnis 7 Tage lokal in einer deutschen MySQL-Datenbank und schickt die Liste der Hash-Suffixe zur\u00fcck. Der Abgleich passiert lokal in WordPress. Das Verfahren hei\u00dft k-Anonymity und wird auch von 1Password, Firefox und Chrome genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Bei Treffer wird der Nutzer im Backend per Notice aufgefordert, das Passwort zu \u00e4ndern, der Login wird nie blockiert.<\/p>\n\nhttps:\/\/bastora.de\/v1\/url-feed\/<\/code>. \u00dcbertragen wird ausschlie\u00dflich ein anonymer GET-Request, optional mit dem Zeitstempel des letzten erfolgreichen Abrufs als ?since=<unixts><\/code>, damit nur neu hinzugekommene Eintr\u00e4ge geliefert werden. Es geht keine Domain Deiner Seite, keine Besucher-Daten und kein Identifier raus. Die Antwort ist eine reine JSON-Liste mit Schad-Domain, Typ (\u201emalware\" oder \u201ephishing\") und Severity, sie enth\u00e4lt keinen ausf\u00fchrbaren Code. Quellen, die der Bastora-Server aggregiert: URLhaus (abuse.ch, CC0 1.0) und der OpenPhish-Community-Feed. Die Liste wird lokal in einer WP-Option gespeichert (Hard-Cap 50 000 Eintr\u00e4ge, 30 Tage Plugin-seitige TTL) und vom URL-Watch-Modul zus\u00e4tzlich zur eingebauten Startliste f\u00fcr die Pr\u00fcfung von Beitr\u00e4gen und Kommentaren genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Vor dem Opt-in-H\u00e4kchen wird kein einziger Aufruf an bastora.de\/v1\/url-feed\/<\/code> ausgef\u00fchrt.<\/p>\n\nhttps:\/\/www.bastora.de\/v1\/telemetry\/<\/code>. Vor dem H\u00e4kchen wird kein<\/strong> Aufruf ausgef\u00fchrt. Ab Plugin-Version 1.0.3 ist das Datenpaket bewusst umfangreicher, damit Bastora das gemeinsame Bedrohungsbild f\u00fcr die WordPress-Welt sch\u00e4rfen kann. Die niedrige Frequenz ist bewusst: Bastora will Masse-Infos \u00fcber viele Sites sammeln, kein dichtes Zeitprofil einzelner Sites. \u00dcbertragen wird:<\/p>\n\n\n
gethostbyaddr()<\/code> mit der eigenen Server-IP auf, was eine PTR-Anfrage am Resolver des Hosters ausl\u00f6st. Es geht KEIN Aufruf an einen Bastora-eigenen Server, keine externe API und keine Domain raus, nur die normale lokale Namensaufl\u00f6sung am Hoster-DNS. Das Ergebnis wird 30 Tage in einer WP-Option zwischengespeichert, damit das nur einmal alle 30 Tage passiert. Vor dem Telemetrie-Opt-in l\u00e4uft auch diese Funktion nicht.<\/p>\n\nDatenschutzhinweis<\/h4>\n\n
\n
\/wp-content\/plugins\/<\/code>.<\/li>\n\n
Brauche ich technisches Wissen, um Bastora zu nutzen?<\/h3><\/dt>\n
Funktioniert Bastora neben Wordfence\/Sucuri\/Solid Security?<\/h3><\/dt>\n
\u00dcbertr\u00e4gt das Plugin Daten von meiner Seite?<\/h3><\/dt>\n
Wie nehme ich die anonyme Statistik wieder zur\u00fcck?<\/h3><\/dt>\n
Wo werden die Daten gespeichert?<\/h3><\/dt>\n
Was passiert, wenn ich Bastora deinstalliere?<\/h3><\/dt>\n
Wie funktioniert der Bastora-Schwarm?<\/h3><\/dt>\n
Welche Daten verlassen meine Seite, wenn der Schwarm aktiv ist?<\/h3><\/dt>\n
1.2.5<\/h4>\n\n
\n
1.2.4<\/h4>\n\n
\n
1.2.3<\/h4>\n\n
\n
has_filter('authenticate_username_password')<\/code> jetzt der korrekte Check auf has_filter('authenticate', 'wp_authenticate_email_password')<\/code>. Damit erkennt der Audit echte Deregistrierungen des E-Mail-Login-Default und nicht blo\u00df irgendwelche fremden Filter-Hooks.<\/li>\n1.2.2<\/h4>\n\n
\n
bastora_external_calls_enabled<\/code> gepr\u00fcft, korrekt hie\u00df sie schon immer bastora_external_calls_allowed<\/code>. Folge: die latest-Version-Felder der Plugin- und Theme-Inventur blieben leer, weil der Update-Check nicht angesto\u00dfen wurde. Plus das Telemetrie-Payload meldete external_calls<\/code> immer als aus. Gefixt.<\/li>\n1.2.1<\/h4>\n\n
\n
1.2.0<\/h4>\n\n
\n
1.1.2<\/h4>\n\n
\n
1.1.1<\/h4>\n\n
\n
1.1.0<\/h4>\n\n
\n
1.0.7<\/h4>\n\n
\n
1.0.6<\/h4>\n\n
\n
1.0.5<\/h4>\n\n
\n
1.0.4<\/h4>\n\n
\n
wp_count_comments()<\/code> wurde drei Mal nacheinander aufgerufen statt einmal zwischengespeichert (drei SQL-Aggregat-Queries statt einer). Plus zus\u00e4tzliche Null-Checks bei wp_count_posts()<\/code>-Resultat.<\/li>\n1.0.3<\/h4>\n\n
\n