Bastora Security Audit

Zoznam zmien

1.9.0

• Die Firewall prüft den ganzen Aufruf. Adresszeile, Formulardaten, Roh-Inhalt, hochgeladene Dateien und Kopfzeilen. Die Regeln gegen kritische Kern-Lücken gelten in jedem Modus und auch neben anderen Sicherheits-Plugins.
• Grundschutz ab der ersten Minute. Login-Schutz, Uploads-Sperre, Enumerationsschutz, Fehlerprotokoll und Datei-Wache arbeiten ab der Aktivierung. Der Assistent regelt nur, was in den laufenden Betrieb eingreift.
• Login-Schutz gegen verteiltes Raten. Fehlversuche zählen je Adresse, je Konto und für die gesamte Website. Anmeldungen ohne Formular haben eine engere Grenze, jedes Formular trägt ein einmal gültiges Sicherheitswort, und wenn es eng wird, kommt für alle die Rechenaufgabe dazu.
• Scanner sperren sich selbst aus. Wer Adressen abfragt, die es auf einer WordPress-Website nie gibt, oder im Sekundentakt ins Leere läuft, wird abgewiesen: 15 Minuten, dann 2, dann 24 Stunden. Angemeldete Benutzer und geprüfte Suchmaschinen bleiben ausgenommen. Ausgesperrte Adressen stehen mit Grund und Restlaufzeit unter Statistik und lassen sich einzeln freigeben.
• Bot-Verkehr wird sichtbar. Das Dashboard zeigt den Anteil von SEO-Diensten und KI-Sammlern an den letzten 28 Tagen, mit den häufigsten Namen und einem Knopf, der sie abweist. Suchmaschinen und Linkvorschauen bleiben zugelassen.
• Fremde Adressen im Suchmaschinen-Bestand fallen auf. Bastora zeigt das Muster mit Beispielen. Auf Klick antworten diese Adressen mit „410 Gone“, damit Suchmaschinen sie zügig aus dem Bestand nehmen. Eigene Inhalte werden nie angeboten, die Entscheidung lässt sich zurücknehmen.
• Der Schadcode-Scanner deckt mehr ab. Neben ausführbaren Dateien jetzt auch HTML, JavaScript und Server-Regeldateien, alle vier Stunden, neue und geänderte Dateien zuerst. Bei PHP zählt nur der Code, der auch ausgeführt wird. Ein Fund nennt Plugin oder Theme beim Namen, dazu Pfad und Zeile. Die Quarantäne liegt außerhalb des Medien-Verzeichnisses in einem Ordner mit unvorhersehbarem Namen.
• Die Datenbank-Prüfung läuft täglich im Hintergrund, mit Nachricht an die gewählten Empfänger. Untergeschobene Konten, geänderte Adressen und Code in Einstellungen fallen damit auf, ohne dass jemand das Backend öffnet.
• Die Uploads-Sperre setzt ihre Regeln nach vorn. Eine vorgefundene Regeldatei wird gesichert, eine fremde als Fund gemeldet. Wo der Server solche Dateien nicht liest, sagt Bastora das offen.
• Gewissheit bei der Lücke, die gerade massenhaft ausprobiert wird. Bastora prüft Konfigurationsdatei, Einstellungen, WordPress-Kern und Zwischenspeicher des Servers und zeigt das Ergebnis mit der Zahl der Versuche und dem Prüfzeitpunkt. Ein Klick bereinigt, jede Fundstelle wird vorher gesichert. Wer nie betroffen war, sieht nichts davon.
• Ein Tagesprofil zeigt, wann auf Deiner Website etwas los ist. Je Stunde fünf Zahlen: Seitenaufrufe, Bot-Anfragen, Fehlerseiten, Anmeldeversuche, abgewehrte Angriffe.
• Bastora hält sich selbst aktuell. Sicherheits-Updates des Plugins spielen sich von allein ein, unabhängig davon, wie die übrigen Auto-Updates eingestellt sind.
• Neue Angaben in der Sicherheitsforschung werden einzeln freigegeben. Erweitert eine Fassung den Umfang, fragt Bastora im Backend nach und sendet den neuen Teil erst nach Deiner Zustimmung. Wer beim Bisherigen bleibt, behält ihn, und die Frage kommt kein zweites Mal.

1.8.0

• Die anonyme Statistik meldet den Verlauf tagesgenau, mit Datum der ersten und letzten Sichtung je Firewall-Regel.
• Der tägliche Kurzbericht trägt Zählwerte je Gefahrenstufe.
• Vollständige Regelverteilung statt einer Auswahl.
• Die Firewall führt ihre Trefferliste ab der Aktivierung.
• Das Fehlerprotokoll bleibt frei von Meldungen des Plugins.

1.7.1

• Beitrags-Versionen aufräumen braucht die Freigabe. Wer die zentrale Übersicht nutzt, entscheidet in der Website selbst, was von dort aus eingreifen darf. Das Aufräumen alter Beitrags-Versionen zählt jetzt dazu, denn es lässt sich nicht rückgängig machen. Veröffentlichte Inhalte sind davon ohnehin nie betroffen.

1.7.0

• Mehrere Websites in einer Übersicht. Wer viele Websites betreut, kann sie künftig gebündelt im Blick behalten. Bastora bringt dafür die Schnittstelle mit, das Zusatz-Plugin dazu kommt von Bastora. Solange kein solches Zusatz-Plugin installiert und angemeldet ist, ändert sich nichts: Die Schnittstelle ruft von sich aus nichts auf und gibt nichts heraus.
• Meldungen sagen, um welche Website es geht. Betreff und Text jeder Nachricht nennen die Adresse. Wer mehrere Websites betreut, erkennt schon im Posteingang, worum es geht, und eine weitergeleitete Mail lässt sich ohne Rückfrage zuordnen.
• Feedback-Knopf in den Einstellungen. Eine Nachricht direkt an Bastora, ohne Umweg über E-Mail-Programm oder Formular im Netz. Name, Adresse und Website sind freiwillig, wer nur die Nachricht ausfüllt, schreibt anonym.
• Rückmeldung beim Abschalten. Wer Bastora deaktiviert, kann in einem Dialog sagen, warum. Acht Gründe zur Auswahl, fünf davon mit Feld für Details. Überspringen geht immer und sendet nichts.
• Die SSL-Quellen-Prüfung läuft seltener. Sie rief bisher täglich die eigene Website auf und belegte dabei einen zweiten Arbeitsprozess. Jetzt: nach einem Erfolg eine Woche Ruhe, nach einem Fehlschlag drei Tage. Das spart auf kleinen Paketen spürbar Laufzeit.
• Der Update-Stand wird sichtbar. Wer die anonyme Statistik eingeschaltet hat, schickt zusätzlich zum vollständigen Bericht einmal täglich vier Angaben: die anonyme Kennung, die Bastora-Version, die WordPress-Version und den Zeitpunkt. Damit lässt sich erkennen, ob ein Sicherheits-Update die Installationen erreicht. Bisher zeigte sich das erst nach bis zu vier Wochen. Es wird keine zusätzliche Datenart übertragen, alle vier stehen ohnehin im vollständigen Bericht.

1.6.0

• Sicherheitsprüfung auf Knopfdruck. Die Firewall zählt Angriffsversuche. Ob jemand durchgekommen ist, beantwortet jetzt ein eigener Vorgang: Bastora holt die Prüfsummen der offiziellen WordPress-Dateien und vergleicht sie mit Deinen, danach jedes Plugin und jedes Theme gegen die Originale aus dem Verzeichnis. Wo ein Original vorliegt, schreibt Bastora es zurück, die vorgefundene Fassung wandert in die Quarantäne und lässt sich von dort zurückholen.
• Sieben Bereiche statt zwei. Durchsucht werden jetzt auch die dauerhaft geladenen Erweiterungen, der Plugin-Ordner, das Inhalte-Verzeichnis und die WordPress-Wurzel. Der wichtigste Zuwachs sind die dauerhaft geladenen Erweiterungen: was dort liegt, startet bei jedem einzelnen Seitenaufruf mit, ohne in der Plugin-Liste zu erscheinen.
• Die Datenbank wird mitgeprüft. Wer über gestohlene Zugangsdaten hereinkommt, hinterlässt keine veränderte Datei. Bastora prüft deshalb Konten, Rollen, die Web-Adresse, Einstellungen, die bei jedem Aufruf mitladen, und geplante Aufgaben. Beurteilt wird nur, was nach der Installation von Bastora entstanden ist, alles davor bleibt außen vor.
• Untergeschobene Konten verlieren sofort ihre Rechte. Trägt ein Administrator-Konto eine E-Mail-Adresse, die es technisch nicht geben kann, und ist es an WordPress vorbei entstanden, entzieht Bastora die Rechte ohne Rückfrage. Das Konto bleibt bestehen, der Schritt lässt sich zurücknehmen. Dein eigenes Konto und der letzte verbliebene Administrator sind davon immer ausgenommen.
• Statistik mit wählbarem Zeitraum. Sieben, vierzehn, achtundzwanzig Tage oder das laufende Jahr, ohne dass die Seite neu lädt.
• Das Fehlerprotokoll landet außer Reichweite. Liegt es öffentlich abrufbar im Inhalte-Verzeichnis, verlegt Bastora es in ein gesperrtes Verzeichnis und nimmt den bisherigen Inhalt mit.
• Sicherheits-Header auf Knopfdruck. Fehlen sie, hängt Bastora sie an jede Antwort Deiner Website. Wo Server oder ein anderes Sicherheits-Plugin bereits einen setzt, bleibt dieser unangetastet, und Bastora sagt Dir, wer zuständig ist.
• Gründlicheres Aufräumen abgelaufener Cache-Einträge. Auch Reste ohne zugehörigen Wert verschwinden jetzt, und die tägliche Bereinigung wird gleich mit eingerichtet.
• Schlanker im laufenden Betrieb. Was nur im Backend gebraucht wird, lädt auch nur dort. Jeder Besucher-Aufruf liest dadurch rund ein Drittel weniger mit.

1.5.4

• Die Firewall lernt aus echten Angriffen. Wer die anonyme Statistik freigegeben hat, teilt jetzt auch, womit angegriffen wurde: das Angriffsmuster aus der Adresszeile, die Kennung des Angriffswerkzeugs und die Tageszeit. Daraus entstehen neue Firewall-Regeln, die alle Bastora-Websites über den gemeinsamen Schutz erreichen, ohne auf ein Update zu warten.
• Eingaben aus Formularen bleiben, wo sie sind. Geteilt wird ausschließlich, was in der Adresszeile oder in der Kennung des Aufrufers stand. Was jemand in ein Formular Deiner Website getippt hat, verlässt sie nie.

1.5.3

• Der Ausgangszustand wird vollständig festgehalten. Wer die anonyme Statistik freigegeben hat, schickt einmalig ein vollständiges Bild des Zustands vor der Härtung mit: Prüfpunkte, Versionsstände, installierte Erweiterungen. Daraus wird sichtbar, wie Websites aussehen, bevor sie abgesichert werden, und was die Härtung daran ändert. Danach wird der Ausgangszustand nicht erneut übertragen.

1.5.2

• Die anonyme Statistik meldet sich erst, wenn die Einrichtung durch ist. Vorher lief sie kurz nach dem Häkchen los, also mitten im Einrichten. Jetzt steht am Ende ein fertiger Stand.
• Der Ausgangswert wandert mit. Wer die Statistik freigegeben hat, schickt zusätzlich das Ergebnis des allerersten Scans mit. Daraus wird sichtbar, was die Härtung bewirkt und welche Punkte sie nicht schließen kann. Nur Prüfpunkt-Kennungen und Status, wie beim aktuellen Stand auch.

1.5.1

• Firewall-Schutz verstärkt. Anfragen mit bekannten Angriffsmustern werden abgewiesen, Angriffe auf kritische Lücken im WordPress-Kern in jedem Fall. Wer im Backend angemeldet ist, wird dabei nie ausgesperrt.
• Firewall-Schalter in den Einstellungen. Der Schutz lässt sich dort sichtbar ein- und ausschalten.
• Erkennung der angemeldeten Sitzung gehärtet.
• Der Schwarm lernt aus abgewehrten Angriffen. Wehrt eine Bastora-Seite einen Einbruchsversuch ab, wandert die Adresse des Angreifers anonym in den geteilten Sperrkatalog, und die anderen teilnehmenden Seiten sperren sie vorbeugend.
• Regeln aus dem Schwarm greifen zuverlässiger.

1.5.0

• Abgelaufene Cache-Einträge auf einen Klick. Der Prüfpunkt zu den Transients hat jetzt einen eigenen Knopf: Er räumt die abgelaufenen Einträge aus der Datenbank und richtet die tägliche Bereinigung ein, damit sich derselbe Ballast nicht wieder ansammelt.
• Ein Knopf-Stil für alle Aufräum-Aktionen. Bisher sah jede Aktion in der Prüfliste anders aus, mal blau, mal umrandet, mal gar keine. Jetzt trägt jeder Punkt, bei dem Bastora selbst helfen kann, denselben Knopf an derselben Stelle.
• Ehrliche Rückmeldung nach dem Aufräumen. Nach dem Klick steht in Klartext, wie viel entfernt wurde, und der Punkt wird frisch nachgeprüft statt blind auf grün gesetzt. Bleibt bei sehr vollen Datenbanken etwas übrig, sagt Bastora das.

1.4.9

• Schutz gegen die neue WordPress-Kern-Lücke „wp2shell“. Angreifer nutzen aktuell eine Schwachstelle im WordPress-Kern selbst aus, um über die Sammel-Schnittstelle unbemerkt Daten aus der Datenbank zu ziehen und Hintertüren zu setzen. Bastoras Firewall erkennt diese Anfrage und weist sie ab, bevor sie den Kern erreicht.
• Die Kerndatei-Wache erkennt jetzt auch getarnte Eindringlinge. Fremde ausführbare Dateien, die sich als WordPress-Kern ausgeben und sich in den Kern-Ordnern verstecken, werden gefunden und automatisch in Quarantäne gelegt. Deine echten Kerndateien und Inhalte bleiben unangetastet, eine Neuinstallation ist nicht nötig.

1.4.4

• HTTPS-Erkennung wird fälschungssicher. Bastora prüft aktiv, wie die sichere Verbindung Deiner Website zustande kommt, direkt am Server, über einen lokalen Reverse-Proxy oder über Cloudflare, und erzwingt HTTPS im Backend nur dann, wenn die Quelle bestätigt ist. Ein gefälschter Verbindungs-Header kann die Erkennung nicht mehr täuschen.
• Firewall prüft mehr Angriffswege. Neben Adresszeile und Formulardaten werden jetzt auch JSON-Daten und verschleierte Adress-Parameter untersucht.
• Schadcode wird auch in gekauften Themes sichtbar. Klare Backdoor-Muster in Themes ohne Vergleichsoriginal werden gemeldet, statt still übergangen zu werden. Ein erneuter Befall nach einer Bereinigung löst wieder eine Warnung aus.
• Echte Suchmaschinen-Bots über IPv6 werden nicht mehr fälschlich blockiert.
• Login-Schutz greift zuverlässiger. Ein Bot, der das Anmeldeformular umgeht, wird abgewiesen, während App- und Schnittstellen-Anmeldungen unberührt bleiben.

1.4.3

• Firewall-Schutz verstärkt. Eine Lücke, über die sich die Web-Firewall mit einem angehängten Zusatz-Parameter aushebeln ließ, ist geschlossen. Die Prüfung greift jetzt bei jedem Seitenaufruf zuverlässig.
• Schutz vor dem Auslesen von Benutzernamen erweitert. Die Absicherung greift jetzt auch auf Websites mit einfachen Permalinks, nicht mehr nur bei sprechenden Adressen.
• Einrichtung und Nachprüfung robuster. Der Einrichtungs-Assistent und die einzelne Nachprüfung eines Punktes im Dashboard verkraften jetzt auch seltene Fehlerfälle, ohne hängen zu bleiben.

1.4.2

• Bastora heilt veränderte Theme-Dateien von selbst. Weicht eine ausführbare Theme-Datei (PHP, JavaScript) vom geprüften Original auf wordpress.org ab, setzt Bastora sie automatisch auf das Original zurück und sichert die vorgefundene Fassung. Reine Design- und Medien-Dateien wie CSS, Bilder oder Schriften bleiben unangetastet, eine Abweichung dort ist harmlos.
• Neuer Wiederherstellungs-Bereich. Jede zurückgesetzte Datei lässt sich mit einem Klick zurückholen, falls es doch eine gewollte Anpassung war. Eine Hinweis-Mail informiert über jeden Vorgang und verlinkt direkt dorthin.
• Klarere Datei-Meldungen. Die Datei-Wache meldet nur noch, was wirklich zählt, ohne doppelte Erklärtexte.

1.4.1

• Bastora fragt nach der Einrichtung, wohin die Meldungen gehen sollen. Direkt nach dem Setup wählst Du die Empfänger der Sicherheitsmeldungen: alle Administratoren, bestimmte Personen oder eine eigene Adresse, gern auch mehrere zusammen. Bis Du wählst, geht die Meldung an die WordPress-Admin-Adresse, das bleibt die Rückfallebene.
• Neue Angabe zur Installationsart. Du sagst Bastora, ob Du die Website selbst betreibst, im Auftrag betreust oder für eine Organisation einrichtest. Danach richtet Bastora die Vorbelegung der Empfänger passend aus. Beides lässt sich jederzeit in den Einstellungen ändern.

1.3.9

• Reine Beschreibungsdateien lösen keinen Fehlalarm mehr aus. Beim Abgleich mit wordpress.org zählen jetzt die Programmdateien. Eine abweichende readme, ein gepflegter Changelog oder eine Sprachdatei gilt als harmlos, weil dort ohnehin kein Code läuft. Veränderte Programmdateien werden weiterhin streng geprüft.
• Ein Knopf führt direkt zu den Updates. Steht für ein Plugin oder Theme wirklich ein Update bereit, zeigt der passende Punkt jetzt den Knopf „Jetzt aktualisieren“, der Dich direkt zur WordPress-Updates-Seite bringt.

1.3.8

• Deutsche WordPress-Installationen werden korrekt geprüft. Bastora hat die Kerndateien bisher gegen die englische Ausgabe von WordPress abgeglichen. Auf einer deutschen Installation galt dadurch wp-includes/version.php als verändert, obwohl sie in Ordnung war. Bastora prüft jetzt gegen das Sprachpaket, aus dem WordPress tatsächlich installiert wurde, und lädt für eine Reparatur auch die passende Ausgabe.
• Keine unnötige Reparatur mehr an dieser Datei. Aus demselben Grund hat die Kerndatei-Wache diese eine Datei bei jedem Durchlauf ersetzt und dabei die Sprachkennung von WordPress überschrieben. Das passiert nicht mehr.
• Auch der Kern rät nicht mehr zur Neuinstallation. Weicht eine Kerndatei ab, holt Bastora das Original zurück und sichert die vorgefundene Fassung in der Quarantäne, wie bei Plugins und Themes auch.
• Der Login-Schutz lässt sich nicht mehr über gefälschte Kopfzeilen austricksen. Die Brute-Force-Sperre bestimmt die Besucher-Adresse jetzt genauso vorsichtig wie der übrige Schutz und wertet Proxy-Kopfzeilen nur bei einem bekannten Proxy aus.
• Gesicherte Fundstücke sind nicht mehr aufrufbar. Dateien, die Bastora in die Quarantäne verschiebt, werden mit unschädlicher Endung abgelegt und der Ordner zusätzlich gegen direkten Zugriff gesperrt.
• Keine internen Adressen im Schwarm. Private und reservierte IP-Adressen werden weder gemeldet noch gesperrt.
• Ein verändertes Theme wird nicht mehr als sauber ausgewiesen. Weicht das aktive Theme vom Original ab, zeigt der zugehörige Punkt das als Hinweis, statt „alles in Ordnung“ zu melden.

1.3.7

• Status erneuert sich nach einem Update von selbst. Nach einem Plugin-, Theme- oder WordPress-Update erhebt Bastora den Sicherheitsstatus jetzt im Hintergrund neu, ohne dass Du das Dashboard öffnen musst. Der Schutz war auch vorher durchgehend aktiv, die Anzeige hängt nun nicht mehr hinterher.
• Verfügbare Updates fallen auf einen Hinweis zurück. Steht für ein Plugin oder Theme ein Update bereit (auch bei abgeschaltetem Auto-Update), zeigt der passende Prüfpunkt das als Hinweis, statt weiter „alles aktuell“ zu melden.
• „Dateien reparieren“ statt Neuinstallation. Weicht ein Plugin oder Theme vom Original auf wordpress.org ab, rät Bastora nicht mehr zur riskanten Neuinstallation. Ein Klick ersetzt gezielt nur die abweichenden Dateien durch das Original; die vorgefundene Fassung wird vorher in der Quarantäne gesichert. Einstellungen und Inhalte bleiben unangetastet.

1.3.6

• Login-Captcha wird im Einrichtungs-Assistenten mitaktiviert. Im Schritt „Absichern“ schaltet Bastora das Captcha jetzt sichtbar zusammen mit den übrigen Schutzschichten scharf. Der zugehörige Punkt steht danach von selbst auf grün, statt nur einen Hinweis ohne Weg zu zeigen.
• Kein Doppel-Scan neben anderen Security-Plugins. Erkennt Bastora ein Plugin, das den Schadcode-Scan oder die Datei-Integrität bereits übernimmt (etwa Wordfence, Sucuri, MalCare, Solid Security oder WP Cerber), hält es den eigenen Scanner und die Datei-Wachen zurück. Das spart Last und vermeidet widersprüchliche Meldungen; der betroffene Punkt nennt klar, welches Plugin die Aufgabe übernimmt.

1.3.5

• Ehrlichere Score-Gewichtung. Nicht mehr jeder Prüfpunkt zählt gleich viel: kritische Schutzpunkte wiegen jetzt schwerer als kleine Kosmetik-Punkte. Der Score spiegelt damit den tatsächlichen Sicherheitsgewinn ehrlicher wider.
• Kein doppelter Hinweis mehr. Wo ein Knopf den Punkt direkt behebt, blendet Bastora den zusätzlichen „Lösung in der Werkstatt“-Link aus. Ein klarer Weg statt zwei.
• Stabilität und Tempo. Umfassender Code-Durchgang mit Fehlerkorrekturen und Performance-Feinschliff, damit Bastora die Website praktisch nicht ausbremst.

1.3.4

• Restlicher Mixed Content verschwindet. Nach der aktiven HTTPS-Umstellung weist Bastora den Browser an, jeden verbliebenen http-Verweis automatisch über https zu laden (upgrade-insecure-requests). Das räumt auch Links auf, die fest im Theme stehen und ein Datenbank-Ersetzen nie erreicht. Der HTTPS-Punkt steht danach auf grün.

1.3.3

• Scoring zieht nach jeder Umstellung nach. Löst Du die HTTPS-Umstellung über den Knopf aus, erkennt das Dashboard die Änderung sofort, bewertet den Punkt neu und passt den Score an. Auch das Rückgängigmachen wirkt sich direkt aus.

1.3.2

• Frischer Status direkt nach dem Update. Nach einem Plugin-Update erhebt Bastora den Sicherheits-Status von selbst neu, statt ein altes Ergebnis mit alten Einstufungen anzuzeigen. Ein Hard-Refresh im Browser ist nicht mehr nötig.
• Betreuter Schutz trägt wieder das blaue „Pro“-Abzeichen. Die Ebene zeigt ihr Abzeichen jetzt zuverlässig, auch wenn das gespeicherte Ergebnis noch vom Vorgänger stammt. Die Kachel „Nicht prüfbar“ und ihr Filter zählen dieselben Punkte.
• Sicherheits-Header setzt Bastora jetzt selbst. X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy liefert Bastora auf sicheren Werten aus, sofern sie nicht schon vom Server oder einem anderen Plugin kommen. Doppelte Header entstehen dabei nicht.
• Autosave und Pingbacks werden automatisch gelöst. Statt eines Knopfes streckt Bastora das Autosave-Intervall auf 5 Minuten und schaltet aus- und eingehende Pingbacks ab, jeweils konfliktgeprüft.
• Fremdverwaltete Updates: kein leerer Schalter mehr. Verwaltet eine Hosting-Schicht wie Installatron die automatischen Updates, zeigt Bastora nur noch den Hinweis, keine wirkungslose Checkbox.
• Assets brechen den Cache zuverlässig. Alle mitgelieferten Skripte und Stile laden nach einer Änderung sicher neu.
• Child-Themes werden erkannt. Nutzt Du ein Child-Theme (etwa Hello Elementor Child), gleicht Bastora das Eltern-Theme mit dem Original auf wordpress.org ab, statt das Child fälschlich als „Pro-Theme ohne Referenz“ zu behandeln.
• Captcha-Hinweis verständlich. Der Punkt zum Login-Captcha spricht nicht mehr vom „Onboarding“. Nach abgeschlossener Einrichtung schützt das Bastora-Captcha den Login automatisch und der Punkt steht auf grün.
• Sichere Verbindung mit Knopf. Meldet der Punkt zur sicheren Verbindung noch offene Stellen, führt ein Knopf direkt zur Umstellung.
• Klarere Update-Empfehlung im Assistenten. Der Einrichtungs-Assistent empfiehlt automatische Updates für Plugins, Themes und den WordPress-Kern in einem Zug. Das Häkchen greift jetzt zuverlässig, sodass die Update-Empfehlung nach der Einrichtung nicht mehr fälschlich erneut erscheint.
• HTTPS stellt Bastora nicht mehr von selbst um. Die Umstellung auf sichere Links bleibt eine Empfehlung, die Du im Dashboard oder in den Einstellungen selbst auslöst und jederzeit wieder rückgängig machen kannst. Die Prüfung auf unsichere Links (Mixed Content) bleibt erhalten, ein vorhandenes SSL-Plugin bleibt unangetastet.
• Reverse-Proxy sauber erkannt. Liefert Dein Hoster oder ein Proxy die Seite bereits über https aus, während WordPress intern noch http kennt, zeigt Bastora dafür einen ruhigen Hinweis mit klarer Erklärung statt einer falschen „unverschlüsselt“-Warnung.

1.3.0

• Veränderte Theme-Dateien werden ersetzt, statt gemeldet. Weicht eine Datei vom Original auf wordpress.org ab, schreibt Bastora das Original selbst zurück und sichert die vorgefundene Fassung in der Quarantäne. Danach steht dort eine Information, keine Aufgabe.
• Die Herkunft entscheidet, nicht das Muster. Code, der bitgenau so im Original des Themes steht, gehört zum Theme und taucht nirgends mehr als Verdacht auf.
• Ohne Original bleibt der Punkt ehrlich grau. Bei gekauften Themes, ausgelagerten Builder-Themes und Child-Themes gibt es nichts zu vergleichen. Das sagt Bastora jetzt so, statt Vermutungen anzuzeigen. Eindeutiger Schadcode wie eine Webshell wird dort trotzdem erkannt und behandelt, denn dafür braucht es kein Original.
• Eindeutiger Schadcode wandert von selbst in die Quarantäne. Trägt eine fremde Datei ein eindeutiges Muster (Webshell, Backdoor, Verwisch-Routine), verschiebt Bastora sie in die Quarantäne und legt eine Sicherungskopie ab. Muster, die auch harmlos sein können, entfernt Bastora nicht von allein: dort steht ein Knopf mit kurzer Empfehlung. Bindet das Theme die Datei ein, bleibt sie unangetastet.
• Der Audit-Punkt bewertet sich nach jedem Eingriff neu. Bisher konnte er von Funden sprechen, die längst behoben waren.
• Bastora misst nach Änderungen selbst nach. Bemerkt es eine Änderung am System, meldet es das im Dashboard und erhebt den Status sofort neu. Währenddessen dreht sich der Ring um den Score. Die Aufforderung, selbst einen Scan zu starten, entfällt.
• Fünfte Kachel im Dashboard. „Bastora Pro“ zeigt die Punkte, die der bezahlte Dienst übernimmt, mit derselben Filterung wie die übrigen Kacheln. Die Ebene „Betreuter Schutz“ trägt dazu ein blaues Abzeichen.
• Rot heißt jetzt „Zu beheben“. Der bisherige Begriff „Offen“ ließ sich zu leicht mit „Nicht prüfbar“ verwechseln.
• Passwort-Warnung lässt sich ausblenden. Ein Knopf „Ich kenne das Risiko“ legt die Meldung still. Sobald ein sauberes Passwort gesetzt ist, meldet Bastora bei einem künftig geleakten wieder.
• Datei-Inspektor repariert. Der Vergleich mit dem Original lädt die Referenz jetzt bei Bedarf, statt auf einen zwischenzeitlich geleerten Zwischenspeicher zu warten.
• Menü aufgeräumt. Dashboard, Status, Einstellungen und Pro. Die Detailseiten bleiben über ihre Links erreichbar.