ReportedIP Hive 2.0.22 – Hide-Login Sensor, deutsche Benutzeroberfläche und vereinfachte 2FA-Anmeldung
ReportedIP Hive 2.0.22 ist die wichtigste der fünf seit Version 2.0.16 veröffentlichten Versionen: ein neuer „Hide Login“-Probe-Sensor, eine vollständige deutsche Benutzeroberfläche sowie ein 2FA-Anmeldeablauf, der keine Codes mehr versendet, die Sie nicht angefordert haben. All diese Neuerungen werden über die integrierte 12-Stunden-Update-Prüfung auf bestehende Websites übertragen.
Diese Zusammenfassung umfasst alle Versionen zwischen 2.0.17 und 2.0.22. Websites mit automatischer Aktualisierung erhalten die neueste Version innerhalb von zwölf Stunden; führen Sie über „Dashboard → Updates“ eine manuelle Überprüfung durch, um sie sofort herunterzuladen.
Was ist neu in ReportedIP Hive 2.0.22 und den vorherigen Versionen?
Die Arbeit gliedert sich in vier Bereiche: einen neuen Sensor zur Überprüfung des Logins, einen reibungsloseren und robusteren 2FA-Ablauf, eine vollständige deutsche Übersetzung sowie eine Reihe von Korrekturen im Bereich E-Mail und Stabilität. Jede der unten aufgeführten Versionen ist eine tatsächlich auf GitHub markierte Veröffentlichung.
- 2.0.17 – Sperrungen aufgrund der erzwungenen 2FA-Authentifizierung werden nun nicht mehr fälschlicherweise als „Ungültige Anmeldedaten“ angezeigt.
- 2.0.19 – Deutsche Übersetzung, eine Korrektur eines schwerwiegenden PHP-8-Fehlers auf der Registerkarte „2FA-Einstellungen“ sowie ein CI-Gate zur Überprüfung der Aktualität der Übersetzungen.
- 2.0.20 – Keine wiederholten E-Mails mit dem Hinweis „Plan ist aktiv“ mehr, eine vereinfachte 2FA-Einrichtung und kein unaufgefordertes Versenden von E-Mail-/SMS-Codes mehr.
- 2.0.21 – Der „Hide Login“-Probe-Sensor und eine Methodenauswahl, bei der der Text auf schmalen Login-Karten nicht mehr abgeschnitten wird.
- 2.0.22 – Die 2FA-Abfrage behält nach einem fehlgeschlagenen Code die von Ihnen gewählte Methode bei, anstatt auf die vorherige zurückzusetzen.
Der „Hide-Login“-Sensor blockiert Scans Ihrer alten Anmelde-URL
Wenn Sie die Funktion „Hide Login“ von Hive nutzen, befindet sich Ihre eigentliche Anmeldeseite unter einem benutzerdefinierten Slug und /wp-login.php sollte niemals von einem legitimen Besucher aufgerufen werden. In Version 2.0.21 wird dies zu einem Erkennungssignal: Wiederholte direkte Zugriffe auf die alte /wp-login.php von einer IP-Adresse aus werden nun als Scan gewertet, nach denselben Eskalationsstufen wie bei den anderen Sensoren blockiert und der Community gemeldet.
Ein einzelner versehentlicher Zugriff bleibt harmlos – es wird lediglich der vorhandene Aufklärungsprotokoll-Eintrag mit geringem Schweregrad ausgelöst. Erst ein Muster löst die Sperre aus. Der Sensor lässt sich auf der Registerkarte „Login-Einstellungen“ anpassen: über einen Hauptschalter (standardmäßig aktiviert), einen Schwellenwert für Treffer (standardmäßig 5) und einen Zeitrahmen (standardmäßig 10 Minuten). IP-Adressen auf der Whitelist werden niemals gezählt, sodass Ihre eigene Überwachung den Mechanismus niemals auslöst.
Dies ergänzt die in den Versionshinweisen zu 2.0.16 beschriebene Erkennung von Köder-Pfaden: Köder-Pfade erkennen Angriffe auf Anmeldedaten und Sicherungsdateien, während der Hide-Login Sensor Brute-Force-Tools erfasst, die weiterhin die Standard-Anmelde-URL bombardieren.
Der 2FA-Login-Prozess sendet keine Codes mehr, die Sie nie angefordert haben
Vor Version 2.0.20 erhielt ein Benutzer, dessen bevorzugte Methode E-Mail oder SMS war, einen Einmalcode, sobald der Bestätigungsbildschirm geladen wurde – noch bevor er überhaupt eine Methode auswählen konnte. Bei beiden Zustellmethoden beginnt nun die Anforderungsphase: Sie wählen die Methode aus und klicken auf „Code senden“, bevor eine Nachricht versendet wird. Stateless-Methoden (Authenticator App, Passkey, Recovery Codes) sind davon nicht betroffen und zeigen die Eingabe direkt an.
Die praktische Auswirkung: keine unerwünschten E-Mails oder SMS und keine Überschreitung des Rate Limits oder des verwalteten Relay-Kontingents für eine Methode, die der Benutzer nicht ausgewählt hat. Bei einem stark frequentierten Shop-Login spielt dieses Kontingent eine wichtige Rolle – lesen Sie in den Versionshinweisen zu 2.0.16 nach, wie Relay-Kontingente und die Warn-E-Mails bei 80 % bzw. 100 % funktionieren.
Die Herausforderung besteht nun darin, Ihre Methode auch nach einem fehlerhaften Code beizubehalten
Version 2.0.22 behebt eine ärgerliche Schleife. Wenn mehrere Methoden konfiguriert waren, führte der Wechsel vom Reiter „E-Mail“ zum Reiter „SMS“, die Anforderung eines Codes und die Eingabe eines falschen oder abgelaufenen Codes dazu, dass die Seite sofort wieder zum Reiter „E-Mail“ zurücksprang – wobei sowohl die gewählte Methode als auch der eingegebene Code verloren gingen. Der Challenge-Handler behält nun die übermittelte Methode auch bei einer Neuanzeige (fehlgeschlagene Überprüfung, Soft-Lockout) bei, sodass Sie auf Ihrem Reiter bleiben, den Fehler sehen und den Code erneut eingeben können. Der Wert wird weiterhin anhand der aktiven Methoden des Kontos validiert, sodass eine gefälschte Methode sicher zurückgewiesen wird. Sowohl die wp-login.php als auch der WooCommerce-Frontend-Ablauf werden abgedeckt.
Die Methodenauswahl wird nicht mehr auf „A…/E…/S…/W…“ gekürzt.
In einer schmalen, themenbezogenen Anmeldespalte wurden die Registerkarten für die Anmeldemethoden bisher auf einbuchstabige Abkürzungen reduziert. Der Selektor passt sich nun mithilfe einer CSS-Container-Abfrage an die tatsächliche Kartenbreite an und stapelt die Methoden bei begrenztem Platz als vertikale Liste mit vollständigen Bezeichnungen, sodass „Authenticator“, „E-Mail“, „SMS“ und „WebAuthn“ weiterhin gut lesbar bleiben.
Hive 2.0.19 bietet eine vollständige deutsche Benutzeroberfläche
Alle benutzersichtbaren Zeichenfolgen – insgesamt etwa 1.845 – wurden nun ins Deutsche (de_DE, formelle Anrede „Sie“) übersetzt und als kompiliertes .po / .mo Paar ausgeliefert. Die Quelltexte bleiben auf Englisch; WordPress lädt die deutsche Übersetzung automatisch, wenn die Sprache der Website Deutsch ist, sodass alle anderen Sprachversionen davon unberührt bleiben.
Um die Genauigkeit dieser Übersetzung zu gewährleisten, wurde mit derselben Version ein „Freshness Gate“ eingeführt. composer i18n:check Der Build schlägt fehl, wenn die Übersetzungsvorlage veraltet ist, die deutsche Datei unübersetzte oder unklare Einträge enthält oder die kompilierte Binärdatei nicht mehr synchron ist. Dies läuft als blockierender CI-Job, sodass die deutsche Benutzeroberfläche bei jeder Änderung mit dem Quellcode synchron bleibt. Mit dieser Version wurde zudem der „tested-up-to“-Header auf WordPress 7.0 aktualisiert.
Behebung von Problemen mit dem Lockout, E-Mail und der Systemstabilität
Bei 2FA-Sperren wird nicht mehr die Meldung „Ungültige Anmeldedaten“ angezeigt
In Version 2.0.17 wurde einem betroffenen Benutzer, der das Kontingent für das Überspringen der 2FA-Einrichtung ausgeschöpft hatte, der eigentliche Grund – „Zwei-Faktor-Authentifizierung erforderlich – Kontingent zum Überspringen ausgeschöpft, wenden Sie sich an einen Administrator“ – durch die User Enumeration Login-Maske in die allgemeine Meldung „Ungültige Anmeldedaten“ umgeschrieben. Dies führte dazu, dass ausgesperrte Administratoren unnötigerweise eine Passwortzurücksetzung durchführen mussten. Die Maske lässt nun 2FA-Meldungen durch, da diese Sperre erst nach der Validierung des Passworts ausgelöst wird; somit verrät die Anzeige des Grundes nichts darüber, ob der Benutzername existiert. Echte Anmeldefehler bleiben verborgen.
Keine wiederholten E-Mails mit dem Betreff „Plan ist aktiv“ mehr
Die Willkommens-E-Mail bei einer Tier-Änderung bezog die vorherige Stufe bisher aus einem fünfminütigen Status-Transient. Sobald dieser Transient abgelaufen war, wurde die vorherige Stufe auf „Free“ zurückgesetzt, sodass bei jeder nachfolgenden Aktualisierung eines kostenpflichtigen Schlüssels erneut ein scheinbarer Übergang von „Free“ zu „kostenpflichtig“ erkannt und die E-Mail erneut versendet wurde. In Version 2.0.20 wird die Basis auf eine dauerhafte Option umgestellt: Die erste Erfassung initialisiert sie im Hintergrund, und die E-Mail wird nur bei einem tatsächlichen Statuswechsel ausgelöst. Im Live-Betrieb wurde bestätigt, dass bei wiederholten Aktualisierungen einer aktiven Stufe keine E-Mails versendet wurden, während bei einem echten Upgrade genau eine E-Mail versendet wurde.
Kleinere Korrekturen zur Fehlerbehebung
- 2.0.19 – ein
TypeErrorein Problem unter PHP 8 führte dazu, dass die Registerkarte „2FA-Einstellungen“ und der Schritt im Setup Wizard nicht mehr angezeigt wurden, wenn die Optionen „enforce-roles“ oder „allowed-methods“ als Array gespeichert waren. Lesevorgänge werden nun über einen formatunabhängigen Helper abgewickelt. - 2.0.20 – Der Setup Wizard hat Rollen mit erzwungener 2FA, deren Slug nicht in Kleinbuchstaben geschrieben war (Rollen des Membership-Plugins wie
um_Premium-Member); nun wird der Slug beibehalten, entsprechend den Einstellungen auf der Registerkarte. - 2.0.20 – Admin-Hinweise wurden auf Admin-Seiten ohne Plugins nicht formatiert, und die Hauptschaltfläche verlor innerhalb eines WordPress-Elements ihren Kontrast
.notice. Nun wird auf jedem Admin-Bildschirm ein eigenständiges Stylesheet bereitgestellt. - 2.0.20 – Der Assistent für die 2FA-Einrichtung ist nun direkt über das Empfehlungsbanner und den 2FA-Bereich im Profil aufrufbar, und der Assistent selbst wurde gestrafft.
So führen Sie ein Update auf Version 2.0.22 durch
- Automatische Aktualisierung innerhalb des Plugins. Der „Plugin Update Checker“ fragt alle 12 Stunden die GitHub Releases ab. Wenn Sie nicht warten möchten, können Sie eine Überprüfung über „Dashboard“ → „Updates“ erzwingen.
- Manueller Download. Laden Sie die ZIP-Datei aus der Version v2.0.22 auf GitHub herunter.
- WP-CLI.
wp plugin update reportedip-hivefalls Sie WordPress über die Befehlszeile verwalten.
Informationen zur vorherigen Version sowie die vollständige Versionshistorie finden Sie in den Versionshinweisen zu 2.0.16 sowie im Changelog für API und Plugins. Informationen zur Einrichtung, zur Funktion „Hide Login“ und zur Konfiguration der Zwei-Faktor-Authentifizierung (2FA) finden Sie in der Dokumentation zum WordPress-Plugin.