Bastora

<p><strong>Bastora</strong> ist ein ehrlicher WordPress-Sicherheits-Check. Statt tausend Schalter ohne Erklärung prüft Bastora Deine Installation gegen einen festen Katalog aus <strong>53 Sicherheitspunkten</strong> und zeigt Dir das Ergebnis als Klartext-Ampel direkt in Deinem Dashboard.</p>
<p>Bastora unterscheidet sich von anderen Sicherheits-Plugins in drei Punkten:</p>
<ol>
<li><strong>Ehrliche Außensicht.</strong> Bastora prüft Deine Seite so, wie ein Bot sie sieht: Versionslecks im HTML, offene Verzeichnis-Listen, fehlende Security-Header, sichtbare Endpoints. Die meisten anderen Plugins prüfen nur ihre eigene Konfiguration.</li>
<li><strong>Konflikt-erkennende Auto-Härtung.</strong> Härtungen sind ab Werk aktiv. Bastora prüft, ob ein anderes Sicherheits-Plugin (Wordfence, Solid Security, AIOS, Limit Login Attempts und andere) denselben Punkt schon übernimmt, und tritt elegant zur Seite, statt einen Konflikt zu bauen.</li>
<li><strong>Null Konfiguration.</strong> Installieren, aktivieren, einmal „Sicherheitsprüfung starten” klicken, fertig. Bastora richtet sich selbst ein.</li>
</ol>
<h4>Was Bastora prüft</h4>
<ul>
<li><strong>Zugangssicherheit (11 Punkte):</strong> HTTPS-Login, Brute-Force-Schutz, Salt-Keys, geteilte Konten, Login-Verhalten</li>
<li><strong>Systemabsicherung (11 Punkte):</strong> Datei-Editor, Verzeichnis-Listings, wp-config-Sperre, Debug-Modus, Dateirechte, Revisionen, <strong>Kerndatei-Abgleich gegen das Original von wordpress.org mit automatischer Reparatur</strong></li>
<li><strong>Informationsschutz (10 Punkte):</strong> Generator-Tag, RSD-Link, WLW-Manifest, XML-RPC, REST-API-Benutzer, Pingbacks, X-Powered-By</li>
<li><strong>Security-Header (5 Punkte):</strong> X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, HSTS</li>
<li><strong>Pingbacks (2 Punkte):</strong> ausgehende und eingehende Pingbacks</li>
<li><strong>Auto-Updates (7 Punkte):</strong> nächtlicher Schutz, Minor-/Major-Auto-Updates, Plugin-/Theme-Auto-Updates, verwaiste Erweiterungen</li>
<li><strong>Monitoring und Betrieb (7 Punkte):</strong> Transients, Revisions-Cleanup, Captcha, WordPress-Version, PHP-Version, /uploads/-PHP-Sperre, Sicherheits-Plugin-Status</li>
</ul>
<h4>Was Bastora härtet (wenn kein Konflikt erkannt wird)</h4>
<ul>
<li>WordPress-Version aus HTML und RSS-Feed entfernt</li>
<li>RSD-Link und WLW-Manifest entfernt</li>
<li>Login-Shake-Effekt deaktiviert</li>
<li>Login-Fehlermeldung verallgemeinert (verrät nicht mehr, welche Benutzer existieren)</li>
<li>Author-Seiten umgeleitet (verhindert das Aufzählen von Benutzernamen)</li>
<li>XML-RPC abgeschaltet (außer ein konkurrierendes Plugin übernimmt das schon)</li>
<li>Pingback-XML-RPC-Methoden gesperrt</li>
<li>REST-API-Endpoint /users für nicht eingeloggte Anfragen gesperrt</li>
<li>Application Passwords deaktiviert</li>
<li><strong>Login-Honeypot:</strong> verstecktes Formularfeld in der Login-Maske, das Bots ausfüllen und sich damit als Bot zu erkennen geben</li>
<li><strong>Brute-Force-Schutz mit IP-Sperre:</strong> 5 Fehlversuche <span aria-hidden="true" class="wp-exclude-emoji">→</span> 30 Minuten Sperre. Bei wiederholten Sperren: Eskalation auf 4 Stunden, dann 24 Stunden. Zähler setzt sich nach erfolgreichem Login zurück. IPv6 wird auf dem /64-Präfix gesperrt. Cloudflare- und Reverse-Proxy-IP-Erkennung ist eingebaut.</li>
<li><strong>Kerndatei-Auto-Reparatur:</strong> Bastora vergleicht täglich Deine WordPress-Kerndateien mit den offiziellen Hashes von wordpress.org. Wird eine Datei manipuliert oder fehlt, lädt Bastora die saubere Originaldatei aus der offiziellen WordPress-ZIP, validiert ihren Hash doppelt und ersetzt die kompromittierte Version automatisch. Die alte Datei wandert zur Spurensicherung in <code>wp-content/uploads/bastora-quarantine/</code>. Du bekommst eine E-Mail mit der Liste der reparierten Dateien. Voraussetzung: Versions-Abgleich-Opt-in aktiv. Bei Hostern mit schreibgeschützten Core-Dateien bleibt die Anzeige + Mail erhalten.</li>
</ul>
<h4>Konflikt-erkennend</h4>
<p>Wenn eines der folgenden Plugins schon läuft, erkennt Bastora das und deaktiviert nur die überlappenden Bereiche:</p>
<ul>
<li>Wordfence Security</li>
<li>Sucuri Security</li>
<li>Solid Security (früher iThemes)</li>
<li>All-In-One WP Security & Firewall</li>
<li>MalCare Security</li>
<li>WP Cerber Security</li>
<li>Limit Login Attempts Reloaded</li>
<li>Disable XML-RPC</li>
<li>Disable Application Passwords</li>
<li>Really Simple SSL</li>
<li>HTTP Headers</li>
</ul>
<p>Im Dashboard siehst Du pro Härtung im Klartext, warum sie aktiv oder inaktiv ist.</p>
<h4>Was Bastora bewusst **nicht** macht</h4>
<ul>
<li><strong>Kein erzwungenes TOTP.</strong> Solopreneure sperren sich regelmäßig mit Authenticator-Apps aus. Bastora setzt stattdessen auf Brute-Force-Schutz, Rate-Limit und Anomalie-Erkennung.</li>
<li><strong>Kein Verstecken der Login-URL.</strong> Eine umbenannte Login-URL macht den Passwort-Reset-Link in der Mail kaputt, sobald das Plugin deaktiviert wird. Rate-Limit plus Honeypot ist die saubere Lösung.</li>
<li><strong>Keine Cloud-Verbindung ohne Zustimmung.</strong> Alle externen Verbindungen (auch Versions-Abgleich gegen wordpress.org) sind ab Werk aus. Sie schalten sich erst ein, wenn Du sie im Welcome-Wizard oder in den Einstellungen ausdrücklich freigibst.</li>
</ul>
<h4>Optionale anonyme Statistik (geplant, in dieser Version noch nicht aktiv)</h4>
<p>Eine künftige Plugin-Version wird optionale anonyme Sicherheits-Telemetrie an bastora.de anbieten. <strong>In dieser Plugin-Version wird keine Telemetrie gesendet. Der Opt-in-Schalter speichert nur Deine Zustimmung für ein späteres Release.</strong> Wenn die Versand-Pipeline später live geht, würden ausschließlich folgende anonymisierten technischen Werte übertragen:</p>
<ul>
<li>WordPress-, PHP- und MySQL-Versions-Strings</li>
<li>Locale (zum Beispiel de_DE)</li>
<li>Liste der installierten Plugin-Slugs (ohne Versionen)</li>
<li>Audit-Ergebnisse (welche der 53 Punkte sind rot, gelb, grün)</li>
<li>Eine zufällige anonyme Site-ID (UUID), lokal beim ersten Plugin-Start erzeugt</li>
</ul>
<p>Was <strong>nie</strong> übertragen würde: Domain, URL, IP-Adressen, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Dateiinhalte.</p>
<h3>Privacy</h3>
<h4>Externe Verbindungen</h4>
<p>Bastora kontaktiert externe Server in zwei klar getrennten Fällen. <strong>Beide sind opt-in. Ab Werk macht das Plugin keine externen Verbindungen.</strong></p>
<p><strong>1. Versions-Abgleich gegen api.wordpress.org (opt-in)</strong></p>
<p>Wenn Du im Welcome-Wizard oder in den Einstellungen „Versions-Abgleich erlauben” aktivierst, fragt Bastora bei einem manuellen Scan die api.wordpress.org nach:</p>
<ul>
<li>der aktuellen WordPress-Core-Version: <code>https://api.wordpress.org/core/version-check/1.7/</code></li>
<li>den offiziellen Datei-Hashes der installierten WordPress-Version (für den Kerndatei-Abgleich): <code>https://api.wordpress.org/core/checksums/1.0/?version=<version>&locale=en_US</code></li>
<li>pro erkennbarem Plugin nach dessen letztem Update-Datum: <code>https://api.wordpress.org/plugins/info/1.0/<slug>.json</code></li>
<li>pro erkennbarem Theme nach dessen letztem Update-Datum: <code>https://api.wordpress.org/themes/info/1.2/?action=theme_information&request[slug]=<slug></code></li>
</ul>
<p>Wenn Bastora bei der täglichen Prüfung manipulierte oder fehlende Kerndateien entdeckt, lädt Bastora zusätzlich die offizielle WordPress-ZIP herunter, um die saubere Originaldatei zu extrahieren:</p>
<ul>
<li><code>https://downloads.wordpress.org/release/wordpress-<version>.zip</code></li>
</ul>
<p>Die ZIP wird einmal pro Version 7 Tage lokal in <code>wp-content/uploads/bastora-quarantine/_core-cache/</code> gespeichert, um wiederholten Bandbreitenverbrauch zu vermeiden. Vor dem Ersetzen einer Datei prüft Bastora deren MD5-Hash gegen den von api.wordpress.org gemeldeten Wert (Doppel-Sicherung gegen Download-Pannen).</p>
<p>Das ist dieselbe API, die WordPress selbst für seine eigenen Update-Checks nutzt. Übertragen wird nur der Slug pro Plugin oder Theme. Keine Domain, keine Nutzerdaten, keine Besucher-IP. Die Abfragen laufen nur bei manuellem Klick auf den Scan-Button, nie automatisch im Hintergrund. Antworten werden 24 Stunden zwischengespeichert.</p>
<p>Wenn Du diesen Punkt nicht aktivierst, werden die update-relevanten Audit-Punkte als „nicht prüfbar” markiert und es geht keine Anfrage raus.</p>
<p><strong>2. Anonyme Telemetrie an bastora.de (geplant, in dieser Version nicht aktiv)</strong></p>
<p>Eine künftige Plugin-Version soll optionale anonymisierte Telemetrie an bastora.de anbieten. <strong>In dieser Plugin-Version ist diese Pipeline nicht implementiert — kein <code>wp_remote_post</code>, kein Payload, keine Übertragung an bastora.de findet im Code statt.</strong> Der Opt-in-Schalter in den Einstellungen speichert nur Deine Zustimmung für ein späteres Release.</p>
<p>Wenn die Versand-Pipeline in einem späteren Release live geht, würden die folgenden anonymisierten Werte übertragen:</p>
<ul>
<li>WordPress-, PHP- und MySQL-Versions-Strings</li>
<li>Locale-Code (zum Beispiel de_DE)</li>
<li>Liste der installierten Plugin-Slugs (ohne Versionen)</li>
<li>Theme-Slug des aktiven Themes</li>
<li>Audit-Ergebnisse: pro Sicherheitspunkt der Status (passed / warning / failed)</li>
<li>Eine zufällige anonyme Site-ID (UUID), lokal beim ersten Plugin-Start erzeugt</li>
</ul>
<p>Was <strong>nie</strong> übertragen würde: Domain, URL, IP-Adressen, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Dateiinhalte, Datenbankinhalte.</p>
<h4>Datenschutzhinweis</h4>
<p>Vollständige Datenschutzerklärung: https://bastora.de/datenschutz.php<br />
Verantwortliche Stelle laut Impressum: https://bastora.de/impressum.php</p>


Bastora Security Audit

Ehrlicher 53-Punkte-Sicherheits-Check für WordPress. Prüft, härtet die wichtigsten Stellen automatisch und tritt zur Seite, wenn ein anderes Sicherhei …

Malcure Web Security

cybermalcure

Malware Intercept

<h3>Malcure Security</h3>
<p>★★★★★</p>
<p>Protect your WordPress site from hacks and downtime.</p>
<p>Malcure Security Suite is a fast, lightweight, cloud-connected security platform for WordPress. It performs deep server-side scans (files + database) to catch malware and unauthorized changes, allows you to monitor login activity, enables a site-wide forced re-login after incidents, and sends email alerts of incidents upon scan. Built for commercial workloads—WooCommerce stores, memberships, LMS, bookings, directories, and multi-vendor marketplaces—it plays nicely with caching/CDNs and won’t get in the way of checkout, lessons, or bookings.</p>
<h3>What Malcure Security Suite Focuses On</h3>
<ul>
<li><strong>Detect:</strong> Deep server-side malware scans (files + database), integrity/diff checks, and vulnerabilities.</li>
<li><strong>Control:</strong> Session analytics (user/IP/device), Emergency Logout (everyone except you), rotate auth keys & salts to invalidate tokens, and force site-wide re-login post-incident. Compatible with 2FA/SSO.</li>
<li><strong>Report:</strong> Clear, actionable summaries with exact file paths and reasons, email alerts with next steps, and audit-friendly logs for teams and compliance (coming-soon).</li>
<li><strong>Logging:</strong> Event logs with identifiable and traceable details.</li>
</ul>
<h3>How It Works (SaaS)</h3>
<ol>
<li>Secure Handshake: Your site authenticates with Malcure and pulls fresh threat intelligence (signatures, heuristics, rules and analysis).</li>
<li>Local-first scanning: Scans your files and database in the background.</li>
<li>Severity-ranked results: Findings are grouped by Critical/High/Medium/Low with exact specs, the reason they were flagged, and one-click actions plus email alerts and audit-ready logs.</li>
<li>Graceful: If the cloud is temporarily unreachable, Malcure Security Suite continues with last-known rules and logs locally until it reconnects.</li>
</ol>
<h3>Features</h3>
<ul>
<li>Deep server-side malware scans (files + database) using tuned signatures + heuristics.</li>
<li>Background scanning so long runs finish reliably on large sites.</li>
<li>Low overhead by design; preserves Core Web Vitals and optimized to minimize impact on site speed</li>
<li>Session management: see who’s logged in, from where.</li>
<li>Emergency Logout: one-click sign-out (everyone except you); rotate auth keys & salts to invalidate sessions.</li>
<li>Robust Event Monitor.</li>
<li>Optimal Dark Mode.</li>
</ul>
<h3>Highlights</h3>
<ul>
<li>Signature + heuristic detection for obfuscated/injected PHP/JS (backdoor/web-shell traits).</li>
<li>Database scan of options, postmeta, posts, and comments for malicious payloads.</li>
<li>Email notifications for critical events and scan results</li>
<li>Security status panel (permissions, environment)</li>
<li>Compatible with WooCommerce, LearnDash/TutorLMS, MemberPress/PMP, major booking/event plugins, WPML/Polylang, Elementor/Divi/Block Editor, and caching/CDNs (LiteSpeed Cache, WP Rocket, NGINX FastCGI, Cloudflare).</li>
</ul>
<h3>Premium (Pro)</h3>
<ul>
<li>Scheduled scans (daily/weekly/monthly) with summary emails.</li>
<li>WP-CLI automation for headless/CI workflows and cron.</li>
<li>Priority support with accelerated SLAs.</li>
</ul>


Malcure Security Suite

🔐 All-in-one WordPress security: malware scanner (files+DB), force re-login, force logout, control logins, email-alerts. Cloud-based, light & fast.

Bastora Security Audit vs Malcure Security Suite