Gekaufte Plugins und Themes gleicht Bastora jetzt mit anderen Bastora-Websites ab, gepackte Plugin-Einstellungen l\u00f6sen keinen Fehlalarm mehr aus.<\/p>","2.3.15":"
Die PHP-Warnung nennt jetzt die sichere Mindestversion 8.2.35.<\/p>","2.3.14":"
Dringend empfohlen. Bastora warnt Dich vor der aktuell angegriffenen L\u00fccke in PHP und zeigt Dir, ob Deine PHP-Version aktualisiert werden sollte.<\/p>","2.3.13":"
Medien-Uploads (Bild, PDF, Video) \u00fcber App und REST-Schnittstelle mit Anwendungspasswort laufen durch, als Bild getarnter Schadcode f\u00e4llt beim Hochladen und bei der Dateipr\u00fcfung auf. Sehr gro\u00dfe Anfragen ohne Anmeldung weist die Firewall sofort ab.<\/p>","2.3.6":"
Die Nachfrage zur Sicherheitsforschung nennt jetzt genau, was dazugekommen ist: die einmalige Abschaltmeldung. Deine bisherige Zustimmung gilt weiter.<\/p>","2.3.4":"
Neuer Bereich \u201eCRA\u201c mit St\u00fcckliste (als JSON und PDF, Dateiname mit Domain), Nutzerinformation und Meldeweg an einem Ort. Automatische Aktualisierung von Bastora jetzt mit Schalter in den Einstellungen.<\/p>","2.3.0":"
Empfohlen. Die Schwarm-Sperrliste ist signiert gepr\u00fcft, eine St\u00fcckliste (SBOM) steht zum Download bereit, und der Unterst\u00fctzungszeitraum ist ausgewiesen.<\/p>","2.2.10":"
Empfohlen. Enth\u00e4lt alle Verbesserungen aus 2.2.9: st\u00e4rkere Firewall und Schadcode-Erkennung, Dein eigener Zugang bleibt auch unter Beschuss offen. Dazu meldet Bastora mit Deiner Zustimmung zuverl\u00e4ssig, wenn es abgeschaltet wird.<\/p>","2.2.9":"
Empfohlen. Firewall und Schadcode-Erkennung verst\u00e4rkt, Dein eigener Zugang bleibt auch unter Beschuss offen, und der Schutz-Schwarm l\u00e4sst sich aus Bastora Zentral schalten.<\/p>","2.2.8":"
Empfohlen. Weniger Fehlalarme beim Abgleich mit wordpress.org und in der Datenbank, keine R\u00fccksetzung ohne Beleg, entfernte Plugins werden erkannt, die Einwilligung zur Sicherheitsforschung gilt f\u00fcr einen klaren Zweck, und die Pr\u00fcfung auf Schad-Links braucht kaum Arbeitsspeicher.<\/p>","2.2.4":"
Neu: die IP-Adresse Whitelist mit Bezeichnung und Befristung, dazu bekannte Ger\u00e4te. Das B\u00fcro und Deine eigenen Ger\u00e4te sperrt Bastora nie mehr aus, und eine Sperre ist beim Anmelden klar zu erkennen.<\/p>","2.2.0":"
Empfohlen. Bastora w\u00e4gt jede Auff\u00e4lligkeit gegen die Lage der Website ab, bevor es meldet oder eingreift: Updates, Umz\u00fcge, Sicherungskopien und Originaldateien flie\u00dfen in das Urteil ein.<\/p>","2.1.2":"
Behebt die ausgefallene Nachfrage beim Abschalten des Plugins.<\/p>","2.1.1":"
Wichtiges Update. Bastora hat bezahlte Erweiterungen gegen das kostenlose Paket auf wordpress.org gemessen und ihre Dateien f\u00fcr ver\u00e4ndert gehalten. Wer daraufhin auf "Dateien reparieren" geklickt hat, bekam die kostenlose Fassung zur\u00fcckgeschrieben. Das passiert nicht mehr: Bastora erkennt solche Pakete und l\u00e4sst sie in Ruhe.<\/p>","2.1.0":"
Neu: Bastora r\u00e4umt Spam-Kommentare endg\u00fcltig weg und kann die Kommentarfunktion schlie\u00dfen, ganz oder nur dort, wo noch keine Kommentare stehen. Jede Seite bleibt einzeln entscheidbar, vorhandene Kommentare bleiben sichtbar, und der Weg zur\u00fcck steht in den Einstellungen. Die Bot-Abweisung greift jetzt schon vor dem Start von WordPress; daf\u00fcr tr\u00e4gt Bastora eine Regel in die Serverkonfiguration ein, die beim Abschalten wieder verschwindet.<\/p>","2.0.0":"
Bastora sieht jetzt auch dort nach, wo ein Dateiscanner nicht hinkommt: gepackte Nutzlasten in der Datenbank, Ausl\u00f6ser, die selbstt\u00e4tig ein Administrator-Konto anlegen, und versteckte Konten, die in der Benutzerliste fehlen. Hochgeladene Dateien mit ausf\u00fchrbarem Code werden abgewiesen, bevor sie im Verzeichnis landen.<\/p>","1.9.1":"
Behebt eine Falschmeldung, die regul\u00e4re Administrator-Konten als untergeschoben meldete. Neu beurteilt Bastora die Umst\u00e4nde einer Konto-Anlage und einer Anmeldung und greift bei klarer Lage selbst ein, statt zu fragen. Rollen mit weitreichenden Rechten werden nur noch bei \u00c4nderungen gemeldet.<\/p>","1.9.0":"
Grundschutz greift ab der Aktivierung, die Firewall pr\u00fcft den kompletten Aufruf, Scanner und unerw\u00fcnschte Bots sperren sich selbst aus, und die Datenbank wird t\u00e4glich im Hintergrund gepr\u00fcft. Aus der bisherigen anonymen Statistik wird die Einwilligung zur Sicherheitsforschung: gleicher Schalter, klarerer Zweck, neue Angaben erst nach R\u00fcckfrage.<\/p>"},"ratings":{"1":0,"2":0,"3":0,"4":0,"5":1},"assets_icons":{"icon-128x128.png":{"filename":"icon-128x128.png","revision":3568084,"resolution":"128x128","location":"assets","locale":"","width":128,"height":128},"icon-256x256.png":{"filename":"icon-256x256.png","revision":3568084,"resolution":"256x256","location":"assets","locale":"","width":256,"height":256}},"assets_banners":{"banner-1544x500.png":{"filename":"banner-1544x500.png","revision":3568084,"resolution":"1544x500","location":"assets","locale":"","width":1544,"height":500},"banner-772x250.png":{"filename":"banner-772x250.png","revision":3568084,"resolution":"772x250","location":"assets","locale":"","width":772,"height":250}},"assets_blueprints":{},"all_blocks":[],"tagged_versions":["0.2.2","0.2.3","0.2.4","0.2.5","0.2.6","0.2.7","0.2.9","0.3.0","1.2.5","1.2.7","1.2.8","1.2.9","1.3.0","1.3.6","1.3.8","1.4.6","1.4.7","1.4.9","1.5.1","1.5.3","1.5.4","1.6.0","1.7.0","1.7.1","1.9.0","1.9.1","1.9.2","2.0.0","2.1.0","2.1.1","2.2.0","2.2.4","2.2.8","2.3.15","2.3.17"],"block_files":[],"assets_screenshots":{"screenshot-1.png":{"filename":"screenshot-1.png","revision":3568084,"resolution":"1","location":"assets","locale":"","width":1280,"height":720},"screenshot-2.png":{"filename":"screenshot-2.png","revision":3568084,"resolution":"2","location":"assets","locale":"","width":1280,"height":720},"screenshot-3.png":{"filename":"screenshot-3.png","revision":3568084,"resolution":"3","location":"assets","locale":"","width":1280,"height":720},"screenshot-4.png":{"filename":"screenshot-4.png","revision":3568084,"resolution":"4","location":"assets","locale":"","width":1280,"height":720}},"screenshots":{"1":"Der erste Scan startet, Bastora pr\u00fcft 62 Sicherheitspunkte in etwa 25 Sekunden.","2":"Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte.","3":"Bastora schaltet die H\u00e4rtungen scharf, wo ein anderes Sicherheits-Plugin schon zust\u00e4ndig ist, l\u00e4sst Bastora die Hand davon.","4":"Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Pr\u00fcfpunkt mit Klartext-Erkl\u00e4rung."}},"plugin_section":[262246],"plugin_tags":[2439,1174,31093,1184,600],"plugin_category":[38,54],"plugin_contributors":[266569],"plugin_business_model":[],"class_list":["post-316373","plugin","type-plugin","status-publish","hentry","plugin_section-dashboard-widgets","plugin_tags-brute-force","plugin_tags-firewall","plugin_tags-hardening","plugin_tags-malware","plugin_tags-security","plugin_category-authentication","plugin_category-security-and-spam-protection","plugin_contributors-mathiasva","plugin_committers-mathiasva"],"banners":{"banner":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/banner-772x250.png?rev=3568084","banner_2x":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/banner-1544x500.png?rev=3568084","banner_rtl":false,"banner_2x_rtl":false},"icons":{"svg":false,"icon":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/icon-128x128.png?rev=3568084","icon_2x":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/icon-256x256.png?rev=3568084","generated":false},"screenshots":[{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-1.png?rev=3568084","caption":"Der erste Scan startet, Bastora pr\u00fcft 62 Sicherheitspunkte in etwa 25 Sekunden."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-2.png?rev=3568084","caption":"Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-3.png?rev=3568084","caption":"Bastora schaltet die H\u00e4rtungen scharf, wo ein anderes Sicherheits-Plugin schon zust\u00e4ndig ist, l\u00e4sst Bastora die Hand davon."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-4.png?rev=3568084","caption":"Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Pr\u00fcfpunkt mit Klartext-Erkl\u00e4rung."}],"raw_content":"\n
Bastora<\/strong> pr\u00fcft Deine WordPress-Installation gegen einen festen Katalog aus 62 Sicherheitspunkten<\/strong>, h\u00e4rtet sie automatisch und wehrt laufende Angriffe ab. Installieren, aktivieren, einmal \u201eSicherheitspr\u00fcfung starten\" klicken. Mehr ist nicht zu tun.<\/p>\n\n Drei Dinge macht Bastora anders:<\/p>\n\n Mit Deiner Einwilligung schickt Bastora t\u00e4glich eine kurze Z\u00e4hlung und alle 28 Tage eine Zusammenfassung an bastora.de (Server in Deutschland). Zweck: Angriffe und Bots \u00fcber viele Websites erkennen, Firewall-Regeln, Signaturen und Sperrlisten f\u00fcr alle Bastora-Websites anpassen, Fehlalarme verringern und die Wirkung der H\u00e4rtung messen. Keine Werbung, keine Profile, keine Weitergabe.<\/p>\n\n Nie \u00fcbertragen werden IP-Adressen, Deine Domain, Benutzernamen, E-Mail-Adressen, Inhalte und alles, was jemand in ein Formular Deiner Website eingibt. Die Einwilligung ist ab Werk aus, freiwillig und jederzeit in den Einstellungen widerrufbar. Alle Einzelheiten stehen unter \u201ePrivacy\".<\/p>\n\n Zum Schutz Deiner Website verarbeitet Bastora die folgenden Daten auf Deinem eigenen Server. Verantwortlich im Sinne der DSGVO bist Du als Betreiber der Website. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse am sicheren Betrieb der Website. Einen passenden Textbaustein f\u00fcr Deine Datenschutzerkl\u00e4rung findest Du in WordPress unter Einstellungen, Datenschutz. Normale Seitenaufrufe Deiner Besucher h\u00e4lt Bastora nicht fest.<\/p>\n\n Fehlversuche bei der Anmeldung.<\/strong> Fehlgeschlagene Anmeldeversuche und falsch gel\u00f6ste Rechenaufgaben z\u00e4hlt Bastora je IP-Adresse, Anmeldeversuche zus\u00e4tzlich je Benutzername. Die Z\u00e4hler liegen unter der IP-Adresse und verfallen h\u00f6chstens 25 Stunden nach dem letzten Versuch.<\/p>\n\n Ereignisprotokoll.<\/strong> Anmeldungen, Fehlversuche, Aufrufe nicht vorhandener Seiten, abgewehrte Angriffe und Treffer der Sperrliste h\u00e4lt Bastora sieben Tage lang fest, h\u00f6chstens die letzten 1.000 Eintr\u00e4ge: Zeitpunkt, Art des Ereignisses, aufgerufene Adresse, Anfrageart, Antwortcode, Browserkennung, verweisende Seite, bei Anmeldungen der eingegebene Benutzername, dazu ein t\u00e4glich wechselnder Abdruck der IP-Adresse und der Netzbereich (bei IPv4 ohne die letzte Zahl, bei IPv6 die ersten vier Bl\u00f6cke).<\/p>\n\n Firewall-Protokoll.<\/strong> Zu jeder abgewehrten Anfrage speichert Bastora 30 Tage lang Zeitpunkt, aufgerufene Adresse, Anfrageart, die ausl\u00f6sende Regel, einen gek\u00fcrzten Ausschnitt der auff\u00e4lligen Stelle, die Browserkennung, einen t\u00e4glich wechselnden Abdruck der IP-Adresse und den Netzbereich.<\/p>\n\n Sperrliste.<\/strong> Sperrt Bastora eine Adresse selbstt\u00e4tig, etwa weil sie wiederholt Firewall-Regeln ausl\u00f6st oder Adressen abfragt, die es auf einer WordPress-Website nie gibt, steht die IP-Adresse mit Grund und Ablaufzeit in der Sperrliste. Wird ein Administratorkonto untergeschoben, sperrt Bastora auf dieselbe Weise den Netzbereich der Herkunft. Selbstt\u00e4tige Sperren laufen nach 15 Minuten bis 24 Stunden ab und werden einmal t\u00e4glich gel\u00f6scht. Wie oft eine Adresse in den letzten 24 Stunden gesperrt wurde, merkt sich Bastora unter einem Abdruck der Adresse. Sperren, die ein Administrator von Hand anlegt, bleiben, bis er sie entfernt.<\/p>\n\n \u00c4nderungsprotokoll.<\/strong> Anmeldungen von Administratoren und \u00c4nderungen im Backend stehen 90 Tage im \u00c4nderungsprotokoll: Zeitpunkt, Konto, betroffenes Objekt, Netzbereich und ein t\u00e4glich wechselnder Abdruck der IP-Adresse. Muss Bastora bei einem Vorfall die Sitzungen eines Kontos beenden, sichert es vorher deren Anmeldezeitpunkt, IP-Adresse und Browserkennung, ebenfalls 90 Tage, damit sich kl\u00e4ren l\u00e4sst, wer betroffen war. F\u00e4llt eine Anmeldung auf, merkt sich Bastora f\u00fcr die \u00dcbersicht im Backend den Netzbereich, bis ein neues Passwort gesetzt wird, h\u00f6chstens f\u00fcr 20 Konten.<\/p>\n\n Vorf\u00e4lle und Bot-Statistik.<\/strong> F\u00fcr die \u00dcbersicht im Backend z\u00e4hlt Bastora Vorf\u00e4lle mit Zeitpunkt, aufgerufener Adresse und Einstufung, h\u00f6chstens die letzten 500, sowie Zugriffe bekannter Bots mit Name, Pfad und einem Abdruck der Browserkennung, 28 Tage lang. IP-Adressen stehen darin nicht.<\/p>\n\n Ger\u00e4tekennzeichen.<\/strong> Meldet sich ein Administrator an oder wird eine Anmeldung per Link best\u00e4tigt, legt Bastora ein zuf\u00e4lliges Kennzeichen als Cookie im Browser ab: ein Jahr g\u00fcltig und f\u00fcr Skripte nicht lesbar. In der Datenbank steht davon nur ein Abdruck, dazu die Zeitpunkte der ersten und der letzten Anmeldung, h\u00f6chstens zehn Ger\u00e4te je Konto. Ger\u00e4tenamen, Browserdaten oder Standorte erfasst Bastora daf\u00fcr nicht. Das Kennzeichen dient allein der Sicherheit des Zugangs: Ein bekanntes Ger\u00e4t wird nicht ausgesperrt, und bei einem neuen Ger\u00e4t bekommt der Kontoinhaber eine Nachricht. Damit ist es f\u00fcr den vom Nutzer gew\u00fcnschten Dienst unbedingt erforderlich (\u00a7 25 Abs. 2 Nr. 2 TDDDG). Ein neues Passwort l\u00f6scht alle Ger\u00e4te des Kontos. In den Einstellungen l\u00e4sst sich das Vertrauen in bekannte Ger\u00e4te abschalten, und jeder Administrator kann die Ger\u00e4te seines Kontos l\u00f6schen.<\/p>\n\n IP-Adresse Whitelist.<\/strong> Tr\u00e4gt ein Administrator Adressen ein, speichert Bastora die Adresse, eine selbst gew\u00e4hlte Bezeichnung, eine m\u00f6gliche Befristung und den Zeitpunkt, zu dem die Adresse zuletzt auf der Website war. Die Eintr\u00e4ge bleiben, bis ein Administrator sie entfernt.<\/p>\n\n Weitergabe.<\/strong> Diese Daten bleiben auf Deiner Website. Einzige Ausnahme ist der Schwarm, wenn Du ihn einschaltest: Sperrt Bastora eine IP-Adresse wegen zu vieler Fehlversuche oder eines Angriffs, meldet es diese Adresse an bastora.de (siehe \u201eExterne Verbindungen\u201c, Punkt 2). Adressen auf der Whitelist und bekannte Ger\u00e4te meldet Bastora nie.<\/p>\n\n Beim L\u00f6schen des Plugins entfernt Bastora alle genannten Protokolle, Listen und Ger\u00e4teabdr\u00fccke aus der Datenbank.<\/p>\n\n Ab Werk baut Bastora keine einzige Verbindung nach au\u00dfen auf. Die Verbindungen 1 bis 5 dienen dem Schutz Deiner Website. Im Einrichtungs-Assistenten schaltest Du sie mit einem Haken f\u00fcr diesen Zweck frei, in den Einstellungen jede einzeln, und kannst sie jederzeit wieder abschalten. Verbindung 6 ist eine eigene Einwilligung mit eigenem Haken. Angesprochen werden dabei nur zwei Gegenstellen: wordpress.org<\/strong> und bastora.de<\/strong>.<\/p>\n\n 1. Abgleich gegen wordpress.org (Opt-in)<\/strong><\/p>\n\n Bastora fragt die offizielle WordPress-API nach der aktuellen Kern-Version, nach den Datei-Hashes Deiner Version und nach dem Update-Stand der installierten Plugins und Themes. F\u00fcr den Datei-Abgleich und die Reparatur l\u00e4dt Bastora zus\u00e4tzlich die offiziellen Pakete von wordpress.org. Das ist dieselbe Schnittstelle, die WordPress f\u00fcr seine eigenen Update-Pr\u00fcfungen nutzt.<\/p>\n\n \u00dcbertragen werden nur Name (Slug) und Version von WordPress, Plugins und Themes sowie die Sprache der Installation, keine Domain, keine Nutzerdaten, keine Besucher-IP. Antworten werden 24 Stunden zwischengespeichert, geladene Pakete liegen 7 Tage lokal im Quarant\u00e4ne-Verzeichnis. Vor dem Ersetzen einer Kerndatei pr\u00fcft Bastora deren Hash gegen den von wordpress.org gemeldeten Wert. Plugins und Themes, die nicht im offiziellen Verzeichnis liegen (Premium, Eigenentwicklung), werden als \u201eextern, nicht pr\u00fcfbar\" gef\u00fchrt; bei Plugins repariert Bastora bewusst nicht, sondern meldet abweichende Dateien per Mail. Ohne diese Freigabe gelten die betroffenen Pr\u00fcfpunkte als \u201enicht pr\u00fcfbar\" und es geht keine Anfrage raus.<\/p>\n\n 2. Bastora-Schwarm (Opt-in)<\/strong><\/p>\n\n Anonymer Austausch von Angreifer-Adressen mit anderen teilnehmenden Websites, \u00fcber bastora.de. Beim Aktivieren vergibt der Server einen anonymen Token; \u00fcbertragen wird dabei nur die Plugin-Version. Bei einem erkannten Angriff meldet Bastora Token, Angreifer-IP, Angriffs-Typ, Schweregrad und Plugin-Version. Im Gegenzug holt Bastora alle paar Minuten die Sperrliste und zweimal t\u00e4glich die signierten Firewall-Regeln ab, jeweils nur mit dem Token im Header. Beim Abschalten oder Deinstallieren wird der Knoten sofort gel\u00f6scht.<\/p>\n\n Der User-Agent ist statisch (\u201eBastora-Swarm\"), damit WordPress die Domain nicht mitschickt. Nicht \u00fcbertragen werden Domain, URL, Besucher-IPs und Betreiberdaten. Reports werden serverseitig nach 14 Tagen gel\u00f6scht, Sperrlisten-Eintr\u00e4ge verfallen nach 72 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Angriffsabwehr).<\/p>\n\n 3. Passwort-Leck-Check (Opt-in, nur Backend-Login)<\/strong><\/p>\n\n Beim Backend-Login schickt Bastora h\u00f6chstens einmal pro Nutzer und Woche die ersten f\u00fcnf Hex-Zeichen des SHA-1-Hashes des eingegebenen Passworts an bastora.de. Mehr geht nicht raus: nicht das Passwort, nicht der vollst\u00e4ndige Hash, kein Benutzername, keine Domain, keine Kennung. Der Server fragt damit die offizielle haveibeenpwned.com-API ab und liefert die Hash-Endungen zur\u00fcck, der Abgleich passiert lokal in WordPress. Das Verfahren hei\u00dft k-Anonymity und wird auch von 1Password, Firefox und Chrome genutzt. Bei einem Treffer bekommt der Nutzer einen Hinweis, der Login wird nie blockiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.<\/p>\n\n 4. Schad-URL-Feed (Opt-in)<\/strong><\/p>\n\n Einmal t\u00e4glich holt Bastora eine Liste bekannter Schad-Domains von bastora.de. Mitgesendet werden allein die Bastora-Version in der Programm-Kennung und der Pr\u00fcfwert der zuletzt geladenen Liste, damit eine unver\u00e4nderte Liste nicht erneut \u00fcbertragen wird. Dieser Pr\u00fcfwert beschreibt nur den Listenstand und ist f\u00fcr alle Websites gleich. Es geht keine Domain, keine Besucher-Daten und keine Kennung raus. Die Antwort ist eine Datendatei ohne ausf\u00fchrbaren Code, rund 2 MB: je Eintrag ein Pr\u00fcfwert der Schad-Domain (die ersten 8 Byte ihres SHA-256) mit Typ und Schweregrad. Bastora legt sie unter wp-content\/uploads\/bastora\/ ab, gesperrt f\u00fcr Abrufe von au\u00dfen, und gleicht Links in Beitr\u00e4gen und Kommentaren ausschlie\u00dflich auf Deiner Website dagegen ab. Gepr\u00fcfte Adressen verlassen Deine Website nie. Beim Abschalten der Funktion und beim L\u00f6schen des Plugins entfernt Bastora die Datei. Quellen: URLhaus und ThreatFox (abuse.ch, CC0 1.0), der OpenPhish-Community-Feed, Phishing Army (CC BY 4.0) und CERT Polska. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.<\/p>\n\n 5. Schwachstellen-Liste (Opt-in, zusammen mit Punkt 1)<\/strong><\/p>\n\n Einmal t\u00e4glich l\u00e4dt Bastora die Liste der bekannten Sicherheitsl\u00fccken von bastora.de. Das ist ein reiner Abruf: keine Domain, keine Kennung, keine Liste Deiner Erweiterungen, kein Parameter in der Adresse. Mitgesendet wird allein die Bastora-Version in der Programm-Kennung. Die Antwort ist eine JSON-Liste aus Kennnummer, betroffener Erweiterung, betroffenen Versionen und behobener Version, ohne ausf\u00fchrbaren Code. Welche Deiner Erweiterungen betroffen sind, rechnet Bastora danach ausschlie\u00dflich lokal aus. Der Abruf h\u00e4ngt an derselben Freigabe wie Punkt 1; ohne sie geht keine Anfrage raus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.<\/p>\n\n 6. Einwilligung zur Sicherheitsforschung (Opt-in, ab Werk aus)<\/strong><\/p>\n\n Empf\u00e4nger: https:\/\/www.bastora.de\/api\/tmtr\/ (Server in Deutschland). Rhythmus: t\u00e4glich eine kurze Z\u00e4hlung, alle 28 Tage eine Zusammenfassung. Beim Deaktivieren von Bastora geht eine letzte Meldung an https:\/\/www.bastora.de\/api\/rueckmeldung\/: die Installationskennung, die Versionsst\u00e4nde von Bastora und WordPress und dass abgeschaltet wurde. Vor Deiner Einwilligung wird kein einziger Aufruf ausgef\u00fchrt.<\/p>\n\n Zweck: Angriffe und Bots \u00fcber viele Websites erkennen, Firewall-Regeln, Signaturen und Sperrlisten anpassen, Fehlalarme verringern, die Wirkung der H\u00e4rtung messen und gekaufte Plugins und Themes im Abgleich auf Ver\u00e4nderungen pr\u00fcfen. Keine Werbung, keine Profile, keine Weitergabe.<\/p>\n\n Kategorien:<\/p>\n\n Nie \u00fcbertragen werden: IP-Adressen, Domains, URL der Website, Server-IP, E-Mail-Adressen, Benutzernamen, Beitrags-, Datei- und Datenbank-Inhalte sowie alles, was jemand in ein Formular Deiner Website eingibt.<\/p>\n\n Die Einwilligung gilt f\u00fcr diesen Zweck und diese Kategorien. Neue Z\u00e4hlwerte innerhalb einer Kategorie deckt sie ab. Vor einem neuen Zweck, einer neuen Kategorie oder einer Weitergabe fragt Bastora erneut im Backend. Bis 2.2.4 wurde je \u2026<\/p>\n\n\n Mehr ist nicht zu tun. Bastora richtet sich selbst ein.<\/p>\n\n\n Nein. Bastora braucht keine Konfiguration. Installieren, aktivieren, scannen, fertig.<\/p><\/dd>\n Ja. Bastora erkennt diese Plugins und tritt in den \u00fcberlappenden Bereichen zur Seite. Das Dashboard zeigt, welche H\u00e4rtungen deshalb inaktiv sind. Die Regeln gegen kritische Kern-L\u00fccken bleiben in jedem Fall aktiv.<\/p><\/dd>\n Ab Werk nichts. Im Einrichtungs-Assistenten gibst Du je Zweck frei, in den Einstellungen jeden Dienst auch einzeln: Versions-Abgleich gegen api.wordpress.org, Bastora-Schwarm, Schad-URL-Feed, Passwort-Leck-Check und die Einwilligung zur Sicherheitsforschung. Vor Deinem H\u00e4kchen geht kein einziger Request raus.<\/p><\/dd>\n Bastora \u2192 Einstellungen \u2192 Schalter aus \u2192 speichern. Ab da geht kein Datensatz mehr an bastora.de. Bereits \u00fcbertragene Datens\u00e4tze h\u00e4ngen an einer zuf\u00e4lligen Installationskennung, nicht an Deiner Domain. Willst Du sie l\u00f6schen lassen, schreib Bastora die Kennung, sie steht in den Einstellungen hinter dem \u201ei\" der Einwilligung.<\/p><\/dd>\n Auf deutschen Servern. Bastora arbeitet ausschlie\u00dflich mit einem deutschen Hoster.<\/p><\/dd>\n Bei einfacher Deaktivierung bleiben die Einstellungen erhalten. Beim L\u00f6schen entfernt Bastora alle Einstellungen, Audit-Ergebnisse und Kennungen und rollt die H\u00e4rtungen zur\u00fcck. Ein aktiver Schwarm-Knoten wird vorher abgemeldet.<\/p><\/dd>\n Erkennt eine teilnehmende Website einen Brute-Force-Angriff oder einen Scanner, meldet sie die Angreifer-IP anonym an einen zentralen Server. Melden mehrere Websites dieselbe IP, wandert sie in einen Sperrkatalog, den alle teilnehmenden Websites abholen und vorbeugend anwenden. Eintr\u00e4ge verfallen nach 72 Stunden ohne neue Meldung, bekannte Crawler wie Googlebot oder Bingbot werden nie \u00fcbernommen. Deine Seite gibt dabei nur einen anonymen Token, die Angreifer-IP, den Angriffs-Typ und die Plugin-Version heraus, keine Domain und keine Nutzerdaten.<\/p><\/dd>\n Sehr gro\u00dfe Anfragen ohne Anmeldung weist die Firewall ab, bevor sie Rechenzeit kosten. Die Grenze liegt bei etwa 4 MB im reinen Anfragek\u00f6rper; hochgeladene Dateien aus Formularen z\u00e4hlen nicht dazu. Greift eine App oder Schnittstelle auf Deine Website zu, soll sie sich mit einem Anwendungspasswort anmelden (im WordPress-Profil unter \u201eAnwendungspassw\u00f6rter\u201c). Angemeldete Anfragen pr\u00fcft Bastora vollst\u00e4ndig und l\u00e4sst sie auch bei gro\u00dfen Datenmengen durch. F\u00fcr gro\u00dfe Uploads nutze die REST-Schnittstelle mit Anwendungspasswort. XML-RPC tr\u00e4gt die Anmeldung erst im Anfragek\u00f6rper; gro\u00dfe XML-RPC-Uploads \u00fcber der Grenze weist Bastora ab.<\/p><\/dd>\n Schreib an go@bastora.de. Wie Bastora mit Meldungen umgeht, steht unter https:\/\/www.bastora.de\/sicherheit-melden: Eingangsbest\u00e4tigung, feste Reaktionszeiten und ein fairer Umgang mit Findern. Im Plugin findest Du den Meldeweg samt St\u00fcckliste und Nutzerinformation im Dashboard im Bereich \u201eCRA\u201c. Bitte gib Bastora Zeit zum Schlie\u00dfen, bevor Du eine L\u00fccke \u00f6ffentlich machst.<\/p><\/dd>\n\n<\/dl>\n\n\n\n
Was Bastora tut<\/h4>\n\n
\n
Was Bastora bewusst nicht macht<\/h4>\n\n
\n
Einwilligung zur Sicherheitsforschung (Opt-in)<\/h4>\n\n
Privacy<\/h3>\n\n
Auf Deiner Website<\/h4>\n\n
Externe Verbindungen<\/h4>\n\n
\n
\n
\/wp-content\/plugins\/<\/code>.<\/li>\n\n
Brauche ich technisches Wissen, um Bastora zu nutzen?<\/h3><\/dt>\n
Funktioniert Bastora neben Wordfence, Sucuri oder Solid Security?<\/h3><\/dt>\n
\u00dcbertr\u00e4gt das Plugin Daten von meiner Seite?<\/h3><\/dt>\n
Wie widerrufe ich die Einwilligung zur Sicherheitsforschung?<\/h3><\/dt>\n
Wo werden die Daten gespeichert?<\/h3><\/dt>\n
Was passiert, wenn ich Bastora deinstalliere?<\/h3><\/dt>\n
Wie funktioniert der Bastora-Schwarm?<\/h3><\/dt>\n
Meine App oder Schnittstelle bekommt bei gro\u00dfen Anfragen einen Fehler 413. Warum?<\/h3><\/dt>\n
Ich habe eine Sicherheitsl\u00fccke in Bastora gefunden. Wohin damit?<\/h3><\/dt>\n
2.3.17<\/h4>\n\n
\n
2.3.15<\/h4>\n\n
\n
2.3.14<\/h4>\n\n
\n
2.3.13<\/h4>\n\n
\n
2.3.6<\/h4>\n\n
\n
2.3.4<\/h4>\n\n
\n
2.3.0<\/h4>\n\n
\n
2.2.10<\/h4>\n\n
\n
2.2.9<\/h4>\n\n
\n
2.2.8<\/h4>\n\n
\n
2.2.4<\/h4>\n\n
\n
2.2.0<\/h4>\n\n
\n
2.1.2<\/h4>\n\n