Wichtiges Update. Bastora hat bezahlte Erweiterungen gegen das kostenlose Paket auf wordpress.org gemessen und ihre Dateien f\u00fcr ver\u00e4ndert gehalten. Wer daraufhin auf "Dateien reparieren" geklickt hat, bekam die kostenlose Fassung zur\u00fcckgeschrieben. Das passiert nicht mehr: Bastora erkennt solche Pakete und l\u00e4sst sie in Ruhe.<\/p>","2.1.0":"
Neu: Bastora r\u00e4umt Spam-Kommentare endg\u00fcltig weg und kann die Kommentarfunktion schlie\u00dfen, ganz oder nur dort, wo noch keine Kommentare stehen. Jede Seite bleibt einzeln entscheidbar, vorhandene Kommentare bleiben sichtbar, und der Weg zur\u00fcck steht in den Einstellungen. Die Bot-Abweisung greift jetzt schon vor dem Start von WordPress; daf\u00fcr tr\u00e4gt Bastora eine Regel in die Serverkonfiguration ein, die beim Abschalten wieder verschwindet.<\/p>","2.0.0":"
Bastora sieht jetzt auch dort nach, wo ein Dateiscanner nicht hinkommt: gepackte Nutzlasten in der Datenbank, Ausl\u00f6ser, die selbstt\u00e4tig ein Administrator-Konto anlegen, und versteckte Konten, die in der Benutzerliste fehlen. Hochgeladene Dateien mit ausf\u00fchrbarem Code werden abgewiesen, bevor sie im Verzeichnis landen.<\/p>","1.9.1":"
Behebt eine Falschmeldung, die regul\u00e4re Administrator-Konten als untergeschoben meldete. Neu beurteilt Bastora die Umst\u00e4nde einer Konto-Anlage und einer Anmeldung und greift bei klarer Lage selbst ein, statt zu fragen. Rollen mit weitreichenden Rechten werden nur noch bei \u00c4nderungen gemeldet.<\/p>","1.9.0":"
Grundschutz greift ab der Aktivierung, die Firewall pr\u00fcft den kompletten Aufruf, Scanner und unerw\u00fcnschte Bots sperren sich selbst aus, und die Datenbank wird t\u00e4glich im Hintergrund gepr\u00fcft. Aus der bisherigen anonymen Statistik wird die Einwilligung zur Sicherheitsforschung: gleicher Schalter, klarerer Zweck, neue Angaben erst nach R\u00fcckfrage.<\/p>"},"ratings":{"1":0,"2":0,"3":0,"4":0,"5":1},"assets_icons":{"icon-128x128.png":{"filename":"icon-128x128.png","revision":3568084,"resolution":"128x128","location":"assets","locale":"","width":128,"height":128},"icon-256x256.png":{"filename":"icon-256x256.png","revision":3568084,"resolution":"256x256","location":"assets","locale":"","width":256,"height":256}},"assets_banners":{"banner-1544x500.png":{"filename":"banner-1544x500.png","revision":3568084,"resolution":"1544x500","location":"assets","locale":"","width":1544,"height":500},"banner-772x250.png":{"filename":"banner-772x250.png","revision":3568084,"resolution":"772x250","location":"assets","locale":"","width":772,"height":250}},"assets_blueprints":{},"all_blocks":[],"tagged_versions":["0.2.2","0.2.3","0.2.4","0.2.5","0.2.6","0.2.7","0.2.9","0.3.0","1.2.5","1.2.7","1.2.8","1.2.9","1.3.0","1.3.6","1.3.8","1.4.6","1.4.7","1.4.9","1.5.1","1.5.3","1.5.4","1.6.0","1.7.0","1.7.1","1.9.0","1.9.1","1.9.2","2.0.0","2.1.0","2.1.1"],"block_files":[],"assets_screenshots":{"screenshot-1.png":{"filename":"screenshot-1.png","revision":3568084,"resolution":"1","location":"assets","locale":"","width":1280,"height":720},"screenshot-2.png":{"filename":"screenshot-2.png","revision":3568084,"resolution":"2","location":"assets","locale":"","width":1280,"height":720},"screenshot-3.png":{"filename":"screenshot-3.png","revision":3568084,"resolution":"3","location":"assets","locale":"","width":1280,"height":720},"screenshot-4.png":{"filename":"screenshot-4.png","revision":3568084,"resolution":"4","location":"assets","locale":"","width":1280,"height":720}},"screenshots":{"1":"Der erste Scan startet, Bastora pr\u00fcft 62 Sicherheitspunkte in etwa 25 Sekunden.","2":"Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte.","3":"Bastora schaltet die H\u00e4rtungen scharf, wo ein anderes Sicherheits-Plugin schon zust\u00e4ndig ist, l\u00e4sst Bastora die Hand davon.","4":"Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Pr\u00fcfpunkt mit Klartext-Erkl\u00e4rung."}},"plugin_section":[262246],"plugin_tags":[2439,1174,31093,1184,600],"plugin_category":[38,54],"plugin_contributors":[266569],"plugin_business_model":[],"class_list":["post-316373","plugin","type-plugin","status-publish","hentry","plugin_section-dashboard-widgets","plugin_tags-brute-force","plugin_tags-firewall","plugin_tags-hardening","plugin_tags-malware","plugin_tags-security","plugin_category-authentication","plugin_category-security-and-spam-protection","plugin_contributors-mathiasva","plugin_committers-mathiasva"],"banners":{"banner":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/banner-772x250.png?rev=3568084","banner_2x":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/banner-1544x500.png?rev=3568084","banner_rtl":false,"banner_2x_rtl":false},"icons":{"svg":false,"icon":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/icon-128x128.png?rev=3568084","icon_2x":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/icon-256x256.png?rev=3568084","generated":false},"screenshots":[{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-1.png?rev=3568084","caption":"Der erste Scan startet, Bastora pr\u00fcft 62 Sicherheitspunkte in etwa 25 Sekunden."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-2.png?rev=3568084","caption":"Ergebnis des ersten Scans: Score plus klare Aufteilung in bestanden, Hinweise und offene Punkte."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-3.png?rev=3568084","caption":"Bastora schaltet die H\u00e4rtungen scharf, wo ein anderes Sicherheits-Plugin schon zust\u00e4ndig ist, l\u00e4sst Bastora die Hand davon."},{"src":"https:\/\/ps.w.org\/bastora-security-audit\/assets\/screenshot-4.png?rev=3568084","caption":"Das Dashboard nach Aktivierung: aktueller Sicherheits-Score und jeder Pr\u00fcfpunkt mit Klartext-Erkl\u00e4rung."}],"raw_content":"\n
Bastora<\/strong> pr\u00fcft Deine WordPress-Installation gegen einen festen Katalog aus 62 Sicherheitspunkten<\/strong>, h\u00e4rtet sie automatisch und wehrt laufende Angriffe ab. Installieren, aktivieren, einmal \u201eSicherheitspr\u00fcfung starten\" klicken. Mehr ist nicht zu tun.<\/p>\n\n Drei Dinge macht Bastora anders:<\/p>\n\n Mit Deiner Einwilligung schickt Bastora nach der Einrichtung und danach alle 28 Tage eine anonyme Zusammenfassung an einen Server in Deutschland: Versionen, Punktzahl, Pr\u00fcfpunkte, Plugin- und Theme-Liste, Hosting-Anbieter, dazu abgewehrte Angriffe samt erkanntem Angriffsmuster. Daraus entstehen neue Firewall-Regeln f\u00fcr alle Bastora-Websites.<\/p>\n\n Nicht \u00fcbertragen werden: Domain, IP-Adressen, Benutzernamen, E-Mail-Adressen und alles, was jemand in ein Formular Deiner Website eingibt. Erweitert eine neue Fassung den Umfang, fragt Bastora vorher im Backend nach. Jederzeit widerrufbar in den Einstellungen. Alle Einzelheiten stehen unter \u201ePrivacy\".<\/p>\n\n Ab Werk baut Bastora keine einzige Verbindung nach au\u00dfen auf. Jede der folgenden Verbindungen schaltest Du im Einrichtungs-Assistenten oder in den Einstellungen einzeln frei und kannst sie jederzeit wieder abschalten. Angesprochen werden dabei nur zwei Gegenstellen: wordpress.org<\/strong> und bastora.de<\/strong>.<\/p>\n\n 1. Abgleich gegen wordpress.org (Opt-in)<\/strong><\/p>\n\n Bastora fragt die offizielle WordPress-API nach der aktuellen Kern-Version, nach den Datei-Hashes Deiner Version und nach dem Update-Stand der installierten Plugins und Themes. F\u00fcr den Datei-Abgleich und die Reparatur l\u00e4dt Bastora zus\u00e4tzlich die offiziellen Pakete von wordpress.org. Das ist dieselbe Schnittstelle, die WordPress f\u00fcr seine eigenen Update-Pr\u00fcfungen nutzt.<\/p>\n\n \u00dcbertragen wird nur der Slug des jeweiligen Plugins oder Themes, keine Domain, keine Nutzerdaten, keine Besucher-IP. Antworten werden 24 Stunden zwischengespeichert, geladene Pakete liegen 7 Tage lokal im Quarant\u00e4ne-Verzeichnis. Vor dem Ersetzen einer Kerndatei pr\u00fcft Bastora deren Hash gegen den von wordpress.org gemeldeten Wert. Plugins und Themes, die nicht im offiziellen Verzeichnis liegen (Premium, Eigenentwicklung), werden als \u201eextern, nicht pr\u00fcfbar\" gef\u00fchrt; bei Plugins repariert Bastora bewusst nicht, sondern meldet abweichende Dateien per Mail. Ohne diese Freigabe gelten die betroffenen Pr\u00fcfpunkte als \u201enicht pr\u00fcfbar\" und es geht keine Anfrage raus.<\/p>\n\n 2. Bastora-Schwarm (Opt-in)<\/strong><\/p>\n\n Anonymer Austausch von Angreifer-Adressen mit anderen teilnehmenden Websites, \u00fcber bastora.de. Beim Aktivieren vergibt der Server einen anonymen Token; \u00fcbertragen wird dabei nur die Plugin-Version. Bei einem erkannten Angriff meldet Bastora Token, Angreifer-IP, Angriffs-Typ, Schweregrad und Plugin-Version. Im Gegenzug holt Bastora alle paar Minuten die Sperrliste und zweimal t\u00e4glich die signierten Firewall-Regeln ab, jeweils nur mit dem Token im Header. Beim Abschalten oder Deinstallieren wird der Knoten sofort gel\u00f6scht.<\/p>\n\n Der User-Agent ist statisch (\u201eBastora-Swarm\"), damit WordPress die Domain nicht mitschickt. Nicht \u00fcbertragen werden Domain, URL, Besucher-IPs und Betreiberdaten. Reports werden serverseitig nach 14 Tagen gel\u00f6scht, Sperrlisten-Eintr\u00e4ge verfallen nach 72 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Angriffsabwehr).<\/p>\n\n 3. Passwort-Leck-Check (Opt-in, nur Backend-Login)<\/strong><\/p>\n\n Beim Backend-Login schickt Bastora h\u00f6chstens einmal pro Nutzer und Woche die ersten f\u00fcnf Hex-Zeichen des SHA-1-Hashes des eingegebenen Passworts an bastora.de. Mehr geht nicht raus: nicht das Passwort, nicht der vollst\u00e4ndige Hash, kein Benutzername, keine Domain, keine Kennung. Der Server fragt damit die offizielle haveibeenpwned.com-API ab und liefert die Hash-Endungen zur\u00fcck, der Abgleich passiert lokal in WordPress. Das Verfahren hei\u00dft k-Anonymity und wird auch von 1Password, Firefox und Chrome genutzt. Bei einem Treffer bekommt der Nutzer einen Hinweis, der Login wird nie blockiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.<\/p>\n\n 4. Schad-URL-Feed (Opt-in)<\/strong><\/p>\n\n Einmal t\u00e4glich holt Bastora eine Liste bekannter Schad-Domains von bastora.de, optional nur die Neuzug\u00e4nge seit dem letzten Abruf. Es geht keine Domain, keine Besucher-Daten und keine Kennung raus. Die Antwort ist eine reine JSON-Liste aus Schad-Domain, Typ und Schweregrad, ohne ausf\u00fchrbaren Code. Quellen: URLhaus (abuse.ch, CC0 1.0) und der OpenPhish-Community-Feed. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.<\/p>\n\n 5. Einwilligung zur Sicherheitsforschung (Opt-in)<\/strong><\/p>\n\n Nach der Einrichtung und danach alle 28 Tage schickt Bastora eine anonyme Zusammenfassung an bastora.de. Vor Deiner Einwilligung wird kein einziger Aufruf ausgef\u00fchrt. \u00dcbertragen werden:<\/p>\n\n Nie \u00fcbertragen werden: Domain, URL, Server-IP, Besucher-IPs, E-Mail-Adressen, Benutzernamen, Beitrags-, Datei- und Datenbank-Inhalte sowie alles, was jemand in ein Formular Deiner Website eingibt. Der Server loggt keine Aufrufer-IP und akzeptiert pro Site-ID h\u00f6chstens einen Eintrag am Tag. Erweitert eine neue Plugin-Fassung den Umfang, fragt Bastora vorher im Backend nach. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Bei Deinstallation wird die lokale Site-ID gel\u00f6scht.<\/p>\n\n Einordnung zur Quasi-Eindeutigkeit:<\/strong> Die Kombination aus Plugin- und Theme-Inventar, Versionen, Hosting-Anbieter und Locale ist statistisch sehr individuell. Auch ohne Domain entsteht damit ein Fingerabdruck der Installation. Bastora wertet die Daten ausschlie\u00dflich f\u00fcr die Sicherheitsforschung aus (h\u00e4ufigste L\u00fccken, Update-R\u00fcckst\u00e4nde, neue Angriffsmuster) und f\u00fchrt sie nie mit anderen Datenquellen zusammen. Wenn das f\u00fcr Dich nicht in Ordnung ist, lass die Einwilligung weg, das Plugin funktioniert ohne sie vollst\u00e4ndig.<\/p>\n\n 6. R\u00fcckmeldung an Bastora (nur auf Deinen Klick)<\/strong><\/p>\n\n Der Feedback-Knopf in den Einstellungen schickt Deine Nachricht an bastora.de. Name, Adresse und Website sind freiwillig, wer nur die Nachricht ausf\u00fcllt, schreibt anonym. Ohne Klick geht nichts raus.<\/p>\n\n Vollst\u00e4ndige Datenschutzerkl\u00e4rung: https:\/\/www.bastora.de\/datenschutz\nVerantwortliche Stelle laut Impressum: https:\/\/www.bastora.de\/impressum<\/p>\n\n\n Mehr ist nicht zu tun. Bastora richtet sich selbst ein.<\/p>\n\n\n Nein. Bastora braucht keine Konfiguration. Installieren, aktivieren, scannen, fertig.<\/p><\/dd>\n Ja. Bastora erkennt diese Plugins und tritt in den \u00fcberlappenden Bereichen zur Seite. Das Dashboard zeigt, welche H\u00e4rtungen deshalb inaktiv sind. Die Regeln gegen kritische Kern-L\u00fccken bleiben in jedem Fall aktiv.<\/p><\/dd>\n Ab Werk nichts. In den Einstellungen gibst Du einzeln frei: Versions-Abgleich gegen api.wordpress.org, Bastora-Schwarm, Schad-URL-Feed, Passwort-Leck-Check und die Einwilligung zur Sicherheitsforschung. Vor Deinem H\u00e4kchen geht kein einziger Request raus.<\/p><\/dd>\n Bastora \u2192 Einstellungen \u2192 Schalter aus \u2192 speichern. Ab da geht kein Datensatz mehr an bastora.de. Bereits \u00fcbertragene Datens\u00e4tze werden nicht r\u00fcckwirkend gel\u00f6scht, weil sie keinen Bezug zu Deiner Website haben, sondern nur zu einer zuf\u00e4lligen UUID.<\/p><\/dd>\n Auf deutschen Servern. Bastora arbeitet ausschlie\u00dflich mit einem deutschen Hoster.<\/p><\/dd>\n Bei einfacher Deaktivierung bleiben die Einstellungen erhalten. Beim L\u00f6schen entfernt Bastora alle Einstellungen, Audit-Ergebnisse und Kennungen und rollt die H\u00e4rtungen zur\u00fcck. Ein aktiver Schwarm-Knoten wird vorher abgemeldet.<\/p><\/dd>\n Erkennt eine teilnehmende Website einen Brute-Force-Angriff oder einen Scanner, meldet sie die Angreifer-IP anonym an einen zentralen Server. Melden mehrere Websites dieselbe IP, wandert sie in einen Sperrkatalog, den alle teilnehmenden Websites abholen und vorbeugend anwenden. Eintr\u00e4ge verfallen nach 72 Stunden ohne neue Meldung, bekannte Crawler wie Googlebot oder Bingbot werden nie \u00fcbernommen. Deine Seite gibt dabei nur einen anonymen Token, die Angreifer-IP, den Angriffs-Typ und die Plugin-Version heraus, keine Domain und keine Nutzerdaten.<\/p><\/dd>\n\n<\/dl>\n\n\n Behoben: Das Feedback-Formular sa\u00df an der falschen Stelle.<\/strong> Es rutschte unter das Men\u00fc und war nur halb lesbar. Feedback und Kontakt haben jetzt eine eigene Seite im Bastora-Men\u00fc, erreichbar auch \u00fcber den Link unter jeder Bastora-Seite.<\/p><\/li>\n Behoben: Die Anmeldewache sperrte Nutzer mit wechselnder Internet-Adresse aus.<\/strong> Die meisten deutschen Anschl\u00fcsse bekommen bei jeder Einwahl eine neue Adresse, im Mobilfunk wechselt sie noch h\u00e4ufiger. Die Wache hielt jede davon f\u00fcr ein fremdes Netz. Lag zus\u00e4tzlich ein offener Schadcode-Fund vor, waren das zwei Verdachtsgr\u00fcnde und das Konto wurde f\u00fcr 24 Stunden gesperrt: bei jeder Anmeldung aufs Neue. Bastora erkennt jetzt, wenn ein Anschluss ohnehin st\u00e4ndig wechselt, und wertet ein neues Netz aus demselben Anbieter-Bereich nicht mehr als Verdachtsgrund. Alle anderen Verdachtsgr\u00fcnde z\u00e4hlen unver\u00e4ndert weiter.<\/p><\/li>\n<\/ul>\n\n \u00c4ltere Eintr\u00e4ge stehen in der Datei changelog.txt im Plugin-Ordner.<\/p>","raw_excerpt":"62-Punkte-Sicherheits-Check mit Firewall, Schadcode-Scanner, URL-Reputation, Captcha, Schwarm-Schutz und Auto-Reparatur der WordPress-Kerndateien.","jetpack_sharing_enabled":true,"_links":{"self":[{"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/plugin\/316373","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/plugin"}],"about":[{"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/types\/plugin"}],"replies":[{"embeddable":true,"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/comments?post=316373"}],"author":[{"embeddable":true,"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wporg\/v1\/users\/mathiasva"}],"wp:attachment":[{"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/media?parent=316373"}],"wp:term":[{"taxonomy":"plugin_section","embeddable":true,"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/plugin_section?post=316373"},{"taxonomy":"plugin_tags","embeddable":true,"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/plugin_tags?post=316373"},{"taxonomy":"plugin_category","embeddable":true,"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/plugin_category?post=316373"},{"taxonomy":"plugin_contributors","embeddable":true,"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/plugin_contributors?post=316373"},{"taxonomy":"plugin_business_model","embeddable":true,"href":"https:\/\/es-ar.wordpress.org\/plugins\/wp-json\/wp\/v2\/plugin_business_model?post=316373"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Was Bastora tut<\/h4>\n\n
\n
Was Bastora bewusst nicht macht<\/h4>\n\n
\n
Einwilligung zur Sicherheitsforschung (Opt-in)<\/h4>\n\n
Privacy<\/h3>\n\n
Externe Verbindungen<\/h4>\n\n
\n
Datenschutzhinweis<\/h4>\n\n
\n
\/wp-content\/plugins\/<\/code>.<\/li>\n\n
Brauche ich technisches Wissen, um Bastora zu nutzen?<\/h3><\/dt>\n
Funktioniert Bastora neben Wordfence, Sucuri oder Solid Security?<\/h3><\/dt>\n
\u00dcbertr\u00e4gt das Plugin Daten von meiner Seite?<\/h3><\/dt>\n
Wie widerrufe ich die Einwilligung zur Sicherheitsforschung?<\/h3><\/dt>\n
Wo werden die Daten gespeichert?<\/h3><\/dt>\n
Was passiert, wenn ich Bastora deinstalliere?<\/h3><\/dt>\n
Wie funktioniert der Bastora-Schwarm?<\/h3><\/dt>\n
2.1.1<\/h4>\n\n
\n
vendor\/<\/code>, freemius\/<\/code> oder node_modules\/<\/code> liegt, stammt aus einem Paketwerkzeug. Welche Version einer Bibliothek eine Erweiterung mitbringt, ist keine Frage der Sicherheit der Website. Eine Abweichung dort ist deshalb kein Befund mehr.<\/li>\n2.1.0<\/h4>\n\n
\n
2.0.0<\/h4>\n\n
\n
wp-config.php<\/code> legte Bastora eine Sicherung daneben, die der Server als reinen Text ausgeliefert h\u00e4tte: mit Datenbank-Kennwort und allen Sicherheitsschl\u00fcsseln. Die Sicherung tr\u00e4gt jetzt eine Endung, die nie als Text ausgeliefert wird, und ist zus\u00e4tzlich per Serverregel gesperrt. Eine Sicherung aus einer fr\u00fcheren Fassung bringt Bastora beim n\u00e4chsten Pr\u00fcflauf selbst in diese Form, statt sie Dir als fremden Fund vorzuhalten. Jede andere Kopie der Zugangsdatei im Verzeichnis wird gemeldet.<\/li>\n1.9.2<\/h4>\n\n
\n
1.9.1<\/h4>\n\n
\n
1.9.0<\/h4>\n\n
\n