Brute-Force-Angriffe abwehren, bevor sie WordPress erreichen

Beide Versionen des Hive-WordPress-Sicherheits-Plugins sind kostenlos und unter der GPL-2.0 als Open Source verfügbar: die Full Edition auf GitHub mit 16 Attack Sensors, einschließlich einer Web Application Firewall und einer Zwei-Faktor-Authentifizierung mit vier Methoden, sowie die Light Edition auf WordPress.org für gezielten Schutz vor Brute-Force-Angriffen. Hive PRO ist ein optionales Abonnement zusätzlich zur Full Edition: Es verbindet Ihre Websites mit dem verwalteten, in der EU gehosteten 2FA-Relay für SMS- und E-Mail-Codes, ganz ohne Twilio-Konto und ohne API Keys, wobei 25 SMS und 500 E-Mails pro Monat inbegriffen sind und eine Lizenz drei Domains abdeckt. Agenturen und Shops mit mehr Websites entscheiden sich für „Business“, das fünfzehn Domains abdeckt. Das Plugin selbst bleibt kostenlos; die kostenpflichtigen Tarife umfassen lediglich die verwalteten Dienste. Die aktuellen Tarife finden Sie auf der Preisseite.

Nein. Die IP-Prüfung oben auf dieser Seite steht jedem offen und erfordert keine Registrierung; sie ist auf 100 Abfragen pro IP-Adresse und Tag begrenzt, um sie kostenlos und missbrauchsresistent zu halten. Das reicht für gelegentliche manuelle Überprüfungen aus, wenn Sie eine verdächtige Adresse in Ihren Protokollen entdecken. Für den programmatischen Zugriff, Skripte, „fail2ban“-Aktionen, Massenabfragen oder alles, was nach einem Zeitplan abläuft, erstellen Sie bitte ein kostenloses Konto. Dadurch wird das Limit auf 1.000 Überprüfungen und 50 Reports pro Tag angehoben, und Sie erhalten einen API Key sowie ein Nutzungs-Dashboard. Höhere Tarife erhöhen die Kontingente weiter und bieten zusätzliche Endpoints für Massenabfragen sowie die Verwaltung mehrerer Websites.

Drei konkrete Unterschiede. Erstens wird ReportedIP in der EU gehostet, wobei die DSGVO ausdrücklich eingehalten wird und ausschließlich EU-basierte Unterauftragsverarbeiter zum Einsatz kommen; zudem wird eine Datenverarbeitungsvereinbarung angeboten. Zweitens ist die Bewertung vollständig transparent: Fügen Sie verbose=true bei jeder Überprüfung, und Sie sehen jede Komponente des Confidence Score, Anzahl der Meldungen, Vielfalt, Aktualität, Schweregrad, Honeypot-Bonus, anstatt einer undurchsichtigen Zahl. Drittens sind die Clients, soweit möglich, Open Source: Die WordPress-Plugins (Hive und Hive Light), der Honeypot Server und der DNS Checker unterliegen der GPL 2.0 und sind auf GitHub oder WordPress.org überprüfbar. Die Bewertung unterliegt einer zeitlichen Abklingung mit einer Halbwertszeit von 30 Tagen und einer konfigurierbaren Gewichtung des Honeypots, sodass inaktive Angreifer automatisch aus dem System fallen und synthetische Informationen zuverlässig bleiben. Sehen Sie sich den vollständigen Vergleich zwischen ReportedIP und AbuseIPDB an.

Ja. ReportedIP wird von einem deutschen Unternehmen (CMS ADMINS, München) betrieben, und die gesamte Datenverarbeitung erfolgt auf deutscher Infrastruktur unter Einhaltung der EU-Datenschutzbestimmungen (DSGVO). Jeder Unterauftragsverarbeiter hat seinen Sitz in der EU: der verwaltete ReportedIP-E-Mail-/SMS Relay-Dienst, Stripe Payments Europe (Irland) für die Abrechnung und sevDesk (Deutschland) für die Rechnungsstellung. Es verlassen keine personenbezogenen Daten die EU, und für Business-Kunden steht eine Datenverarbeitungsvereinbarung zur Verfügung. IP-Adressen in Reports werden im für Sicherheitszwecke unbedingt erforderlichen Umfang verarbeitet und im Laufe der Zeit gelöscht. Für Teams, die aus Compliance-Gründen verpflichtet sind, Threat Intelligence-Daten innerhalb der EU zu speichern, ist dies der Hauptgrund, warum sie sich für ReportedIP anstelle von in den USA gehosteten Alternativen entscheiden.

Jede IP-Adresse verfügt über einen Confidence Score von 0 bis 100, der abschätzt, wie wahrscheinlich es ist, dass sie bösartig ist. Fünf gewichtete Komponenten fließen dabei ein: die Anzahl der Reports, die Vielfalt der Melder (unabhängige Quellen zählen mehr als ein einzelner, unzuverlässiger Melder), die Aktualität (Reports, die weniger als 24 Stunden alt sind, haben das größte Gewicht), die Schwere der Threat Category sowie ein Bonus für Reports, die durch verifizierte Honeypots bestätigt wurden. Reports verlieren exponentiell an Gewicht mit einer Halbwertszeit von 30 Tagen: Nach 30 Tagen hat eine Meldung noch die Hälfte ihres Gewichts, nach 60 Tagen ein Viertel; somit wird eine IP-Adresse, die keine Angriffe mehr ausführt, automatisch für Delisting vorgeschlagen. Eine IP-Adresse benötigt mindestens fünf Reports, um den Wert 50 zu überschreiten, und zehn, um den Wert 75 zu erreichen. Klicken Sie verbose=true zu einer beliebigen Überprüfung hinzu, um die vollständige Aufschlüsselung anzuzeigen.

Exporte im Klartext- und JSON-Format stehen unter /wp-json/reportedip/v2/blacklist; fügen Sie ?format=txt für eine IP-Adresse pro Zeile oder ?format=csv für Tabellenkalkulationen und SIEM-Importe. Die gleichen Daten werden auf Git unter github.com/reportedip/reportedip-blacklist mit einer diff-freundlichen Commit-Historie gespiegelt, sodass Sie genau nachverfolgen können, welche IP-Adressen täglich hinzugefügt oder entfernt wurden, und bei Bedarf eine bestimmte Revision festlegen können, um reproduzierbare Builds zu erstellen. Der Feed ist für jede Nutzung kostenlos, und eine Quellenangabe wird begrüßt. Die Einträge werden von derselben Konfidenz-Engine bewertet wie bei der API, sodass ein einziger Schwellenwert dafür sorgt, dass Ihre Sperrliste sowohl aktuell bleibt als auch nur wenige False Positives enthält.

Ja. Das Add-on „DNS / RBL Zone“ stellt Ihnen eine private, token-authentifizierte Zone zur Verfügung, <token>.bl.reportedip.de die jeder Mailserver, jede Firewall oder jeder Spamfilter genau wie Spamhaus oder jede andere DNSBL abfragen kann. Sie entspricht RFC 5782, deckt sowohl IPv4 als auch IPv6 ab und gibt die üblichen 127.0.0.x Antwortcodes zurück, sodass bestehende Postfix-, Exim- oder Rspamd-Konfigurationen ohne zusätzliche Anpassungen funktionieren. Da die Abfragen über DNS erfolgen, werden sie von Ihrem Resolver zwischengespeichert und verursachen nahezu keine Verzögerung im E-Mail-Verkehr. Die Zone wird aus demselben bewerteten Datensatz wie der öffentliche Feed neu erstellt, und jedes Token verfügt über ein eigenes tägliches Abfragekontingent.

Es gibt zwei Möglichkeiten, je nachdem, wie aktuell die Daten sein müssen. Für eine umfassende Abdeckung rufen Sie den Community Blacklist Feed direkt ab, eine stündlich aktualisierte Textdatei, die Sie mit einem ipset mit einem einzigen Cron-Job einbinden können, ganz ohne API Keys. Für eine IP-spezifische Bewertung zum Zeitpunkt einer Anfrage, beispielsweise innerhalb einer fail2ban-Aktion oder einer benutzerdefinierten Firewall Rule, rufen Sie die REST API mit einem kostenlosen Konto auf (1.000 Abfragen pro Tag). In der Dokumentation veröffentlichen wir funktionierende Beispiele für fail2ban-Filter sowie ein einsatzbereites iptables-ipset-Skript, dazu Snippets für nginx und Postfix. Die meisten Betreiber kombinieren beides: den Feed für die Massenblockierung und die API für Echtzeitentscheidungen bei Datenverkehr, der noch nicht auf der Liste steht.

Ja. Jedes System kann Reports über POST /reportedip/v2/report mit einem kostenlosen API Key. Ein automatisierter Melder im „fail2ban“-Stil, der auf Ihrem eigenen Server läuft, ist genau die Art von Beitrag, auf der das Netzwerk aufbaut. Honeypot-Betreiber erhalten ein spezielles Abzeichen, und ihre Reports haben ein zusätzliches Gewicht, da Honeypot-Datenverkehr unaufgefordert erfolgt und daher ein starkes Signal darstellt; Sie benötigen jedoch keinen Honeypot, um teilzunehmen. Die Vielfalt der Melder ist an sich bereits ein Bewertungsfaktor; daher macht jede unabhängige Quelle, die Sie hinzufügen, den gesamten Datensatz zuverlässiger. Erstellen Sie einfach ein kostenloses Konto, generieren Sie einen Schlüssel und richten Sie Ihre vorhandenen Tools zur Protokollüberwachung auf den Report-Endpoint aus.