Bastora

Bastora ist ein ehrlicher WordPress-Sicherheits-Check. Statt tausend Schalter ohne Erklärung prüft Bastora Deine Installation gegen einen festen Katalog aus 53 Sicherheitspunkten und zeigt Dir das Ergebnis als Klartext-Ampel direkt in Deinem Dashboard.
Bastora unterscheidet sich von anderen Sicherheits-Plugins in drei Punkten:
<ol>
<li>Ehrliche Außensicht. Bastora prüft Deine Seite so, wie ein Bot sie sieht: Versionslecks im HTML, offene Verzeichnis-Listen, fehlende Security-Header, sichtbare Endpoints. Die meisten anderen Plugins prüfen nur ihre eigene Konfiguration.</li>
<li>Konflikt-erkennende Auto-Härtung. Härtungen sind ab Werk aktiv. Bastora prüft, ob ein anderes Sicherheits-Plugin (Wordfence, Solid Security, AIOS, Limit Login Attempts und andere) denselben Punkt schon übernimmt, und tritt elegant zur Seite, statt einen Konflikt zu bauen.</li>
<li>Null Konfiguration. Installieren, aktivieren, einmal „Sicherheitsprüfung starten” klicken, fertig. Bastora richtet sich selbst ein.</li>
</ol>
<h4>Was Bastora prüft</h4>
<ul>
<li>Zugangssicherheit (11 Punkte): HTTPS-Login, Brute-Force-Schutz, Salt-Keys, geteilte Konten, Login-Verhalten</li>
<li>Systemabsicherung (11 Punkte): Datei-Editor, Verzeichnis-Listings, wp-config-Sperre, Debug-Modus, Dateirechte, Revisionen, Kerndatei-Abgleich gegen das Original von wordpress.org mit automatischer Reparatur</li>
<li>Informationsschutz (10 Punkte): Generator-Tag, RSD-Link, WLW-Manifest, XML-RPC, REST-API-Benutzer, Pingbacks, X-Powered-By</li>
<li>Security-Header (5 Punkte): X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, HSTS</li>
<li>Pingbacks (2 Punkte): ausgehende und eingehende Pingbacks</li>
<li>Auto-Updates (7 Punkte): nächtlicher Schutz, Minor-/Major-Auto-Updates, Plugin-/Theme-Auto-Updates, verwaiste Erweiterungen</li>
<li>Monitoring und Betrieb (7 Punkte): Transients, Revisions-Cleanup, Captcha, WordPress-Version, PHP-Version, /uploads/-PHP-Sperre, Sicherheits-Plugin-Status</li>
</ul>
<h4>Was Bastora härtet (wenn kein Konflikt erkannt wird)</h4>
<ul>
<li>WordPress-Version aus HTML und RSS-Feed entfernt</li>
<li>RSD-Link und WLW-Manifest entfernt</li>
<li>Login-Shake-Effekt deaktiviert</li>
<li>Login-Fehlermeldung verallgemeinert (verrät nicht mehr, welche Benutzer existieren)</li>
<li>Author-Seiten umgeleitet (verhindert das Aufzählen von Benutzernamen)</li>
<li>XML-RPC abgeschaltet (außer ein konkurrierendes Plugin übernimmt das schon)</li>
<li>Pingback-XML-RPC-Methoden gesperrt</li>
<li>REST-API-Endpoint /users für nicht eingeloggte Anfragen gesperrt</li>
<li>Application Passwords deaktiviert</li>
<li>Login-Honeypot: verstecktes Formularfeld in der Login-Maske, das Bots ausfüllen und sich damit als Bot zu erkennen geben</li>
<li>Brute-Force-Schutz mit IP-Sperre: 5 Fehlversuche → 30 Minuten Sperre. Bei wiederholten Sperren: Eskalation auf 4 Stunden, dann 24 Stunden. Zähler setzt sich nach erfolgreichem Login zurück. IPv6 wird auf dem /64-Präfix gesperrt. Cloudflare- und Reverse-Proxy-IP-Erkennung ist eingebaut.</li>
<li>Kerndatei-Auto-Reparatur: Bastora vergleicht täglich Deine WordPress-Kerndateien mit den offiziellen Hashes von wordpress.org. Wird eine Datei manipuliert oder fehlt, lädt Bastora die saubere Originaldatei aus der offiziellen WordPress-ZIP, validiert ihren Hash doppelt und ersetzt die kompromittierte Version automatisch. Die alte Datei wandert zur Spurensicherung in <code>wp-content/uploads/bastora-quarantine/</code>. Du bekommst eine E-Mail mit der Liste der reparierten Dateien. Voraussetzung: Versions-Abgleich-Opt-in aktiv. Bei Hostern mit schreibgeschützten Core-Dateien bleibt die Anzeige + Mail erhalten.</li>
</ul>
<h4>Konflikt-erkennend</h4>
Wenn eines der folgenden Plugins schon läuft, erkennt Bastora das und deaktiviert nur die überlappenden Bereiche:
<ul>
<li>Wordfence Security</li>
<li>Sucuri Security</li>
<li>Solid Security (früher iThemes)</li>
<li>All-In-One WP Security & Firewall</li>
<li>MalCare Security</li>
<li>WP Cerber Security</li>
<li>Limit Login Attempts Reloaded</li>
<li>Disable XML-RPC</li>
<li>Disable Application Passwords</li>
<li>Really Simple SSL</li>
<li>HTTP Headers</li>
</ul>
Im Dashboard siehst Du pro Härtung im Klartext, warum sie aktiv oder inaktiv ist.
<h4>Was Bastora bewusst **nicht** macht</h4>
<ul>
<li>Kein erzwungenes TOTP. Solopreneure sperren sich regelmäßig mit Authenticator-Apps aus. Bastora setzt stattdessen auf Brute-Force-Schutz, Rate-Limit und Anomalie-Erkennung.</li>
<li>Kein Verstecken der Login-URL. Eine umbenannte Login-URL macht den Passwort-Reset-Link in der Mail kaputt, sobald das Plugin deaktiviert wird. Rate-Limit plus Honeypot ist die saubere Lösung.</li>
<li>Keine Cloud-Verbindung ohne Zustimmung. Alle externen Verbindungen (auch Versions-Abgleich gegen wordpress.org) sind ab Werk aus. Sie schalten sich erst ein, wenn Du sie im Welcome-Wizard oder in den Einstellungen ausdrücklich freigibst.</li>
</ul>
<h4>Optionale anonyme Statistik (geplant, in dieser Version noch nicht aktiv)</h4>
Eine künftige Plugin-Version wird optionale anonyme Sicherheits-Telemetrie an bastora.de anbieten. In dieser Plugin-Version wird keine Telemetrie gesendet. Der Opt-in-Schalter speichert nur Deine Zustimmung für ein späteres Release. Wenn die Versand-Pipeline später live geht, würden ausschließlich folgende anonymisierten technischen Werte übertragen:
<ul>
<li>WordPress-, PHP- und MySQL-Versions-Strings</li>
<li>Locale (zum Beispiel de_DE)</li>
<li>Liste der installierten Plugin-Slugs (ohne Versionen)</li>
<li>Audit-Ergebnisse (welche der 53 Punkte sind rot, gelb, grün)</li>
<li>Eine zufällige anonyme Site-ID (UUID), lokal beim ersten Plugin-Start erzeugt</li>
</ul>
Was nie übertragen würde: Domain, URL, IP-Adressen, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Dateiinhalte.
<h3>Privacy</h3>
<h4>Externe Verbindungen</h4>
Bastora kontaktiert externe Server in zwei klar getrennten Fällen. Beide sind opt-in. Ab Werk macht das Plugin keine externen Verbindungen.
1. Versions-Abgleich gegen api.wordpress.org (opt-in)
Wenn Du im Welcome-Wizard oder in den Einstellungen „Versions-Abgleich erlauben” aktivierst, fragt Bastora bei einem manuellen Scan die api.wordpress.org nach:
<ul>
<li>der aktuellen WordPress-Core-Version: <code>https://api.wordpress.org/core/version-check/1.7/</code></li>
<li>den offiziellen Datei-Hashes der installierten WordPress-Version (für den Kerndatei-Abgleich): <code>https://api.wordpress.org/core/checksums/1.0/?version=<version>&locale=en_US</code></li>
<li>pro erkennbarem Plugin nach dessen letztem Update-Datum: <code>https://api.wordpress.org/plugins/info/1.0/<slug>.json</code></li>
<li>pro erkennbarem Theme nach dessen letztem Update-Datum: <code>https://api.wordpress.org/themes/info/1.2/?action=theme_information&request[slug]=<slug></code></li>
</ul>
Wenn Bastora bei der täglichen Prüfung manipulierte oder fehlende Kerndateien entdeckt, lädt Bastora zusätzlich die offizielle WordPress-ZIP herunter, um die saubere Originaldatei zu extrahieren:
<ul>
<li><code>https://downloads.wordpress.org/release/wordpress-<version>.zip</code></li>
</ul>
Die ZIP wird einmal pro Version 7 Tage lokal in <code>wp-content/uploads/bastora-quarantine/_core-cache/</code> gespeichert, um wiederholten Bandbreitenverbrauch zu vermeiden. Vor dem Ersetzen einer Datei prüft Bastora deren MD5-Hash gegen den von api.wordpress.org gemeldeten Wert (Doppel-Sicherung gegen Download-Pannen).
Das ist dieselbe API, die WordPress selbst für seine eigenen Update-Checks nutzt. Übertragen wird nur der Slug pro Plugin oder Theme. Keine Domain, keine Nutzerdaten, keine Besucher-IP. Die Abfragen laufen nur bei manuellem Klick auf den Scan-Button, nie automatisch im Hintergrund. Antworten werden 24 Stunden zwischengespeichert.
Wenn Du diesen Punkt nicht aktivierst, werden die update-relevanten Audit-Punkte als „nicht prüfbar” markiert und es geht keine Anfrage raus.
2. Anonyme Telemetrie an bastora.de (geplant, in dieser Version nicht aktiv)
Eine künftige Plugin-Version soll optionale anonymisierte Telemetrie an bastora.de anbieten. In dieser Plugin-Version ist diese Pipeline nicht implementiert — kein <code>wp_remote_post</code>, kein Payload, keine Übertragung an bastora.de findet im Code statt. Der Opt-in-Schalter in den Einstellungen speichert nur Deine Zustimmung für ein späteres Release.
Wenn die Versand-Pipeline in einem späteren Release live geht, würden die folgenden anonymisierten Werte übertragen:
<ul>
<li>WordPress-, PHP- und MySQL-Versions-Strings</li>
<li>Locale-Code (zum Beispiel de_DE)</li>
<li>Liste der installierten Plugin-Slugs (ohne Versionen)</li>
<li>Theme-Slug des aktiven Themes</li>
<li>Audit-Ergebnisse: pro Sicherheitspunkt der Status (passed / warning / failed)</li>
<li>Eine zufällige anonyme Site-ID (UUID), lokal beim ersten Plugin-Start erzeugt</li>
</ul>
Was nie übertragen würde: Domain, URL, IP-Adressen, E-Mail-Adressen, Benutzernamen, Beitragsinhalte, Dateiinhalte, Datenbankinhalte.
<h4>Datenschutzhinweis</h4>
Vollständige Datenschutzerklärung: https://bastora.de/datenschutz.php 
Verantwortliche Stelle laut Impressum: https://bastora.de/impressum.php

Bastora Security Audit

Ehrlicher 53-Punkte-Sicherheits-Check für WordPress. Prüft, härtet die wichtigsten Stellen automatisch und tritt zur Seite, wenn ein anderes Sicherhei …

shasha310

Harden your web applications.
HTTP header fields are components of the header section of request and response messages. The headers define the operating parameters of an HTTP transaction.
Securing HTTP headers will improve the resilience of your web application against many common attacks including those that are on the OWASP top 10 list.
Securing headers can also improve your SEO rank and in addition to preventing websites from being marked as dangerous by browsers and antivirus applications.
Protect sensitive user information and be compliant with privacy regulations. Defend users from stealing private data by protecting website cookies. Use the proper directive such as “secure”, “httponly” and “samesite”, all of those will be applied automatically by “Secure HTTP Headers” plugin.
Secure HTTP Headers will automatically analyze any website and will build up secure headers directives, by the latest best practice.
In addition, Secure HTTP Headers offers fully configurable options, apply or skip any header directive as needed.
Install and activate Secure HTTP Headers with full confidence, the deactivation of this plugin will return your website header directives to their original state.
<h3>Main plugin functionality</h3>
<ol>
<li>
HTTP Strict Transport Security – helps to protect websites against man-in-the-middle attacks and cookie hijacking
</li>
<li>
X-Frame-Options – helps to protect users against ClickJacking attacks
</li>
<li>
X-Content-Type-Options – helps to prevent the browser from MIME-sniffing
</li>
<li>
Referrer-Policy – helps to control how much referrer information should be included with requests
</li>
<li>
Clear-Site-Data – helps to ensure that data is deleted from the browser if the user logs out
</li>
<li>
X-Download-Options – helps to control how IE 8 will handle downloaded HTML files
</li>
<li>
Access-Control-Allow-Origin – helps to ensure whether the response can be shared with requesting code from the given origin
</li>
<li>
Cross-Origin-Embedder-Policy – helps to prevent a document from loading any cross-origin resources that don’t explicitly grant the document permission
</li>
<li>
Permissions-Policy – helps to allow and deny the use of browser features in its own frame, and in content within any iframe elements in the document
</li>
<li>
Cross-Origin-Opener-Policy – helps to protect websites against a set of cross-origin attacks dubbed XS-Leaks
</li>
<li>
Cross-Origin-Resource-Policy – helps to protect websites against speculative side-channel attacks, like Spectre, as well as Cross-Site Script Inclusion attacks
</li>
<li>
X-Permitted-Cross-Domain-Policies – helps to control how cross-domain requests from Flash and PDF documents are handled
</li>
<li>
Cookie Http-Only flag – helps to protect websites against Cross-Site Scripting, or XSS attacks
</li>
<li>
Cookie Secure flag – helps to ensure that cookie is sent over a secure connection
</li>
<li>
Cookie Samesite Lax flag – helps to protect websites against CSRF and XSSI attacks
</li>
<li>
Expect-CT – helps to prevent the use of misissued certificates for a website. Note: The Expect-CT will likely become obsolete in June 2021
</li>
</ol>
<h3>What are the optional extras?</h3>
Magnisec is offering “Secure HTTP Headers enhanced”
A plugin that contains, in addition, an engine that watches and builds in any website changes a CSP – Content Security Policy that is best practice and recommended by all professional securities experts, that mitigate XSS -Cross site Scripting, one of the most common and destructive attacks.
Price: 50$ /year for a domain.
More details and installation <a href="https://magnisec.com" rel="nofollow ugc">here</a>

Secure HTTP Headers

Secure HTTP headers - Essential, and easy.

Bastora Security Audit vs Secure HTTP Headers