Bastora

Bastora ist ein ehrlicher WordPress-Sicherheits-Check. Statt tausend Schalter ohne Erklärung prüft Bastora Deine Installation gegen einen festen Katalog aus 53 Sicherheitspunkten und zeigt Dir das Ergebnis als Klartext-Ampel direkt in Deinem Dashboard.
Bastora unterscheidet sich von anderen Sicherheits-Plugins in drei Punkten:
<ol>
<li>Ehrliche Außensicht. Bastora prüft Deine Seite so, wie ein Bot sie sieht: Versionslecks im HTML, offene Verzeichnis-Listen, fehlende Security-Header, sichtbare Endpoints. Die meisten anderen Plugins prüfen nur ihre eigene Konfiguration.</li>
<li>Konflikt-erkennende Auto-Härtung. Härtungen sind ab Werk aktiv. Bastora prüft, ob ein anderes Sicherheits-Plugin (Wordfence, Solid Security, AIOS, Limit Login Attempts und andere) denselben Punkt schon übernimmt, und tritt elegant zur Seite, statt einen Konflikt zu bauen.</li>
<li>Null Konfiguration. Installieren, aktivieren, einmal „Sicherheitsprüfung starten” klicken, fertig. Bastora richtet sich selbst ein.</li>
</ol>
<h4>Was Bastora prüft</h4>
<ul>
<li>Zugangssicherheit (11 Punkte): HTTPS-Login, Brute-Force-Schutz, Salt-Keys, geteilte Konten, Login-Verhalten</li>
<li>Systemabsicherung (11 Punkte): Datei-Editor, Verzeichnis-Listings, wp-config-Sperre, Debug-Modus, Dateirechte, Revisionen, Kerndatei-Abgleich gegen das Original von wordpress.org mit automatischer Reparatur</li>
<li>Informationsschutz (10 Punkte): Generator-Tag, RSD-Link, WLW-Manifest, XML-RPC, REST-API-Benutzer, Pingbacks, X-Powered-By</li>
<li>Security-Header (5 Punkte): X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, HSTS</li>
<li>Pingbacks (2 Punkte): ausgehende und eingehende Pingbacks</li>
<li>Auto-Updates (7 Punkte): nächtlicher Schutz, Minor-/Major-Auto-Updates, Plugin-/Theme-Auto-Updates, verwaiste Erweiterungen</li>
<li>Monitoring und Betrieb (7 Punkte): Transients, Revisions-Cleanup, Captcha, WordPress-Version, PHP-Version, /uploads/-PHP-Sperre, Sicherheits-Plugin-Status</li>
</ul>
<h4>Was Bastora härtet (wenn kein Konflikt erkannt wird)</h4>
<ul>
<li>WordPress-Version aus HTML und RSS-Feed entfernt</li>
<li>RSD-Link und WLW-Manifest entfernt</li>
<li>Login-Shake-Effekt deaktiviert</li>
<li>Login-Fehlermeldung verallgemeinert (verrät nicht mehr, welche Benutzer existieren)</li>
<li>Author-Seiten umgeleitet (verhindert das Aufzählen von Benutzernamen)</li>
<li>XML-RPC abgeschaltet (außer ein konkurrierendes Plugin übernimmt das schon)</li>
<li>Pingback-XML-RPC-Methoden gesperrt</li>
<li>REST-API-Endpoint /users für nicht eingeloggte Anfragen gesperrt</li>
<li>Application Passwords deaktiviert</li>
<li>Login-Honeypot: verstecktes Formularfeld in der Login-Maske, das Bots ausfüllen und sich damit als Bot zu erkennen geben</li>
<li>Brute-Force-Schutz mit IP-Sperre: 5 Fehlversuche → 30 Minuten Sperre. Bei wiederholten Sperren: Eskalation auf 4 Stunden, dann 24 Stunden. Zähler setzt sich nach erfolgreichem Login zurück. IPv6 wird auf dem /64-Präfix gesperrt. Cloudflare- und Reverse-Proxy-IP-Erkennung ist eingebaut.</li>
<li>Kerndatei-Auto-Reparatur: Bastora vergleicht täglich Deine WordPress-Kerndateien mit den offiziellen Hashes von wordpress.org. Wird eine Datei manipuliert oder fehlt, lädt Bastora die saubere Originaldatei aus der offiziellen WordPress-ZIP, validiert ihren Hash doppelt und ersetzt die kompromittierte Version automatisch. Die alte Datei wandert zur Spurensicherung in <code>wp-content/uploads/bastora-quarantine/</code>. Du bekommst eine E-Mail mit der Liste der reparierten Dateien. Voraussetzung: Versions-Abgleich-Opt-in aktiv. Bei Hostern mit schreibgeschützten Core-Dateien bleibt die Anzeige + Mail erhalten.</li>
</ul>
<h4>Konflikt-erkennend</h4>
Wenn eines der folgenden Plugins schon läuft, erkennt Bastora das und deaktiviert nur die überlappenden Bereiche:
<ul>
<li>Wordfence Security</li>
<li>Sucuri Security</li>
<li>Solid Security (früher iThemes)</li>
<li>All-In-One WP Security & Firewall</li>
<li>MalCare Security</li>
<li>WP Cerber Security</li>
<li>Limit Login Attempts Reloaded</li>
<li>Disable XML-RPC</li>
<li>Disable Application Passwords</li>
<li>Really Simple SSL</li>
<li>HTTP Headers</li>
</ul>
Im Dashboard siehst Du pro Härtung im Klartext, warum sie aktiv oder inaktiv ist.
<h4>Was Bastora bewusst **nicht** macht</h4>
<ul>
<li>Kein erzwungenes TOTP. Solopreneure sperren sich regelmäßig mit Authenticator-Apps aus. Bastora setzt stattdessen auf Brute-Force-Schutz, Rate-Limit und Anomalie-Erkennung.</li>
<li>Kein Verstecken der Login-URL. Eine umbenannte Login-URL macht den Passwort-Reset-Link in der Mail kaputt, sobald das Plugin deaktiviert wird. Rate-Limit plus Honeypot ist die saubere Lösung.</li>
<li>Keine Cloud-Verbindung ohne Zustimmung. Alle externen Verbindungen (auch Versions-Abgleich gegen wordpress.org) sind ab Werk aus. Sie schalten sich erst ein, wenn Du sie im Welcome-Wizard oder in den Einstellungen ausdrücklich freigibst.</li>
</ul>
<h4>Optionale anonyme Statistik (geplant, in dieser Version noch nicht aktiv)</h4>
Eine künftige Plugin-Version wird optionale anonyme Sicherheits-Telemetrie an bastora.de anbieten. In dieser Plugin-Version wird keine Telemetrie gesendet. Der Opt-in-Schalter speichert nur Deine Zustimmung für ein späteres Release. Wenn die Versand-Pipeline später live geht, würden ausschließlich folgende anonymisierten technischen Werte übertragen:
<ul>
<li>WordPress-, PHP- und MySQL-Versions-Strings</li>
<li>Locale (zum Beispiel de_DE)</li>
<li>Liste der installierten Plugin-Slugs (ohne Versionen)</li>
<li>Audit-Ergebnisse (welche der 53 Punkte sind rot, gelb, grün)</li>
<li>Eine zufällige anonyme Site-ID (UUID), lokal beim ersten Plugin-Start erzeugt</li>
</ul>
Was nie übertragen würde: Domain, URL, IP-Adressen, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Dateiinhalte.
<h3>Privacy</h3>
<h4>Externe Verbindungen</h4>
Bastora kontaktiert externe Server in zwei klar getrennten Fällen. Beide sind opt-in. Ab Werk macht das Plugin keine externen Verbindungen.
1. Versions-Abgleich gegen api.wordpress.org (opt-in)
Wenn Du im Welcome-Wizard oder in den Einstellungen „Versions-Abgleich erlauben” aktivierst, fragt Bastora bei einem manuellen Scan die api.wordpress.org nach:
<ul>
<li>der aktuellen WordPress-Core-Version: <code>https://api.wordpress.org/core/version-check/1.7/</code></li>
<li>den offiziellen Datei-Hashes der installierten WordPress-Version (für den Kerndatei-Abgleich): <code>https://api.wordpress.org/core/checksums/1.0/?version=<version>&locale=en_US</code></li>
<li>pro erkennbarem Plugin nach dessen letztem Update-Datum: <code>https://api.wordpress.org/plugins/info/1.0/<slug>.json</code></li>
<li>pro erkennbarem Theme nach dessen letztem Update-Datum: <code>https://api.wordpress.org/themes/info/1.2/?action=theme_information&request[slug]=<slug></code></li>
</ul>
Wenn Bastora bei der täglichen Prüfung manipulierte oder fehlende Kerndateien entdeckt, lädt Bastora zusätzlich die offizielle WordPress-ZIP herunter, um die saubere Originaldatei zu extrahieren:
<ul>
<li><code>https://downloads.wordpress.org/release/wordpress-<version>.zip</code></li>
</ul>
Die ZIP wird einmal pro Version 7 Tage lokal in <code>wp-content/uploads/bastora-quarantine/_core-cache/</code> gespeichert, um wiederholten Bandbreitenverbrauch zu vermeiden. Vor dem Ersetzen einer Datei prüft Bastora deren MD5-Hash gegen den von api.wordpress.org gemeldeten Wert (Doppel-Sicherung gegen Download-Pannen).
Das ist dieselbe API, die WordPress selbst für seine eigenen Update-Checks nutzt. Übertragen wird nur der Slug pro Plugin oder Theme. Keine Domain, keine Nutzerdaten, keine Besucher-IP. Die Abfragen laufen nur bei manuellem Klick auf den Scan-Button, nie automatisch im Hintergrund. Antworten werden 24 Stunden zwischengespeichert.
Wenn Du diesen Punkt nicht aktivierst, werden die update-relevanten Audit-Punkte als „nicht prüfbar” markiert und es geht keine Anfrage raus.
2. Anonyme Telemetrie an bastora.de (geplant, in dieser Version nicht aktiv)
Eine künftige Plugin-Version soll optionale anonymisierte Telemetrie an bastora.de anbieten. In dieser Plugin-Version ist diese Pipeline nicht implementiert — kein <code>wp_remote_post</code>, kein Payload, keine Übertragung an bastora.de findet im Code statt. Der Opt-in-Schalter in den Einstellungen speichert nur Deine Zustimmung für ein späteres Release.
Wenn die Versand-Pipeline in einem späteren Release live geht, würden die folgenden anonymisierten Werte übertragen:
<ul>
<li>WordPress-, PHP- und MySQL-Versions-Strings</li>
<li>Locale-Code (zum Beispiel de_DE)</li>
<li>Liste der installierten Plugin-Slugs (ohne Versionen)</li>
<li>Theme-Slug des aktiven Themes</li>
<li>Audit-Ergebnisse: pro Sicherheitspunkt der Status (passed / warning / failed)</li>
<li>Eine zufällige anonyme Site-ID (UUID), lokal beim ersten Plugin-Start erzeugt</li>
</ul>
Was nie übertragen würde: Domain, URL, IP-Adressen, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Dateiinhalte, Datenbankinhalte.
<h4>Datenschutzhinweis</h4>
Vollständige Datenschutzerklärung: https://bastora.de/datenschutz.php 
Verantwortliche Stelle laut Impressum: https://bastora.de/impressum.php

Bastora Security Audit

Ehrlicher 53-Punkte-Sicherheits-Check für WordPress. Prüft, härtet die wichtigsten Stellen automatisch und tritt zur Seite, wenn ein anderes Sicherhei …

BaseCloud

Transform your WordPress site into a security fortress in under 2 minutes.
BaseCloud Security Manager delivers enterprise-level security protection through advanced HTTP security headers – the same technology used by Fortune 500 companies to protect their websites. No technical expertise required.
🎯 Why Security Headers Matter: 
Security headers are your website’s first line of defense, instructing browsers on how to handle your content safely. Without them, your site is vulnerable to: 
• Cross-Site Scripting (XSS) attacks – 87% of websites are vulnerable 
• Clickjacking attacks that steal user credentials 
• Data theft through insecure connections 
• Privacy violations through referrer leaks 
• Malicious code injection
✨ What Makes BaseCloud Different:
🚀 One-Click Protection – Enable military-grade security with a single click 
🔒 Zero Configuration Required – Smart defaults protect you instantly 
⚡ Lightning Fast – No performance impact on your site 
🎛️ Full Control – Advanced users can customize every setting 
🛠️ Developer Friendly – Clean, well-documented code 
🔧 No Server Changes – Works on any hosting provider
🛡️ Complete Security Arsenal:
🎯 Master Security Switch 
Enable all protections instantly – perfect for non-technical users who want maximum security without complexity.
🔐 Force SSL/HTTPS Everywhere 
Automatically redirect all HTTP traffic to HTTPS, ensuring all data transmission is encrypted. Protects against man-in-the-middle attacks.
🛡️ Content Security Policy (CSP) 
The gold standard of XSS protection. Controls exactly which scripts, styles, and resources can run on your site. Includes smart defaults that work with 99% of WordPress themes and plugins.
🔒 HTTP Strict Transport Security (HSTS) 
Forces browsers to communicate exclusively over HTTPS, preventing SSL stripping attacks. Includes preload support for maximum protection.
🕵️ Advanced Referrer Policy 
Protects user privacy by controlling what information is shared when visitors click links, preventing data leaks to third parties.
🎤 Permissions Policy (Feature Policy) 
Block unauthorized access to sensitive browser features like camera, microphone, geolocation, and payment APIs – preventing malicious sites from accessing these features.
🍪 Secure Cookie Protection 
Automatically applies HttpOnly and Secure flags to session cookies, preventing JavaScript access and ensuring cookies are only sent over HTTPS.
👻 Server Fingerprinting Protection 
Removes server signatures and version information that hackers use to identify vulnerabilities in your hosting setup.
⚡ Essential Security Headers Included: 
• X-Frame-Options: SAMEORIGIN (prevents clickjacking) 
• X-Content-Type-Options: nosniff (prevents MIME-type confusion attacks) 
• X-XSS-Protection: 1; mode=block (legacy XSS protection for older browsers)
💼 Perfect For: 
• Business owners who want enterprise security without technical complexity 
• Developers building secure WordPress applications 
• Agencies managing multiple client sites 
• Anyone serious about website security
🎯 Use Cases: 
• E-commerce sites handling sensitive customer data 
• Membership sites with user logins 
• Business websites with contact forms 
• Blogs that want to protect visitor privacy 
• Development sites that need security during testing
BaseCloud Security Manager is lightweight, efficient, and designed to integrate seamlessly into your WordPress admin experience without clutter or intrusive advertising.
<h3>Additional Information</h3>
🎯 Why Choose BaseCloud Security Manager?
✅ Instant Protection – Works immediately after activation 
✅ Zero Learning Curve – No technical knowledge required 
✅ Enterprise Grade – Same technology used by Fortune 500 companies 
✅ Fully Customizable – Advanced users have complete control 
✅ Regular Updates – Stay protected against emerging threats 
✅ Expert Support – Professional team ready to help
🔗 Useful Links: 
• Documentation: <a href="https://www.basecloudglobal.com/security-manager-docs" rel="nofollow ugc">BaseCloud Security Docs</a> 
• Support: support@basecloudglobal.com 
• Security Testing: <a href="https://observatory.mozilla.org" rel="nofollow ugc">Mozilla Observatory</a> 
• Header Verification: <a href="https://securityheaders.com" rel="nofollow ugc">SecurityHeaders.com</a>
🤝 Join Our Community: 
Connect with other security-conscious WordPress users, get tips, and stay updated on the latest security trends.
⭐ Love BaseCloud Security Manager? 
Help others discover enterprise-grade security by leaving a review. Your feedback helps us improve and helps other users make informed decisions about their website security.
Made with ❤️ by the BaseCloud Team – Securing WordPress sites worldwide since 2024

BaseCloud Security Manager

🛡️ Enterprise-grade WordPress security made simple. Implement military-standard HTTP security headers with zero technical knowledge required.

Bastora Security Audit vs BaseCloud Security Manager