Changelog

Was jede Version geändert hat, in Kürze. Die vollständige Geschichte des kostenlosen Plugins steht in seinem Changelog auf GitHub und auf der Plugin-Seite bei wordpress.org; das Add-on listet seine Änderungen auf der Plugin-Seite, wenn ein Update ankommt.

Highlights der Versionen

• 3.0.0: Hive ist jetzt ein kostenloses Plugin aus dem WordPress-Pluginverzeichnis, vollständig und ohne gesperrte Schalter; die Funktionen der bezahlten Tarife sind in das separate Add-on ReportedIP Hive Pro gewandert, das sich von reportedip.com aktualisiert und das kostenlose Plugin installiert, wenn es fehlt. Websites mit 2.1.x sind mit einem letzten Update umgezogen und haben jede Einstellung behalten. Local Shield sendet keine Anfrage an reportedip.com, auch nicht mit gespeichertem Schlüssel, .htaccess-Blöcke werden erst nach einer Handlung des Betreibers geschrieben, die Prüfung auf geleakte Passwörter und das Badge in der Fußzeile sind aus, bis sie eingeschaltet werden, Hinweise lassen sich schließen, und eine Anmeldung mit einem Sicherheitsschlüssel lässt sich nur einmal verwenden. Datenbankschema 25.
• 2.1.74: Die Zähler der Sensoren laufen auf ihrem eingestellten Fenster, statt sich über Tage zu summieren, ein langsamer Community-Dienst pausiert die Live-Abfragen für zwei Minuten, statt jede Anmeldung zu bremsen, DuckDuckBot kann wieder crawlen, ein leerer Lauf der Warteschlange schreibt keine Protokollzeile mehr, und ein Firewall-Treffer auf admin-ajax.php nennt die AJAX-Aktion.
• 2.1.73: Ein Support-Paket unter Systemstatus, als eine JSON-Datei für die Support-Prüfung, auch über WP-CLI und MainWP. Eine Gravity-Forms-Einsendung, die das Formular selbst zurückweist, verbraucht die Formularprüfung nicht mehr. Gesperrte Adressen füllen das Log nicht mehr mit Firewall-Zeilen, eine vom Plugin selbst gesetzte Sperre fällt, sobald das Netzwerk für die Adresse bürgt, Local Shield fragt das Relay-Kontingent nicht mehr ab, CSV-Exporte sind korrekt maskiert und Datumsangaben folgen der Sprache der Website.
• 2.1.72: Wegwerf-Mailadressen werden in Kommentaren und in jedem geschützten Kontaktformular abgelehnt, mit einer eigenen Einstellung, die standardmäßig blockiert. Ein Formular, das länger als zehn Minuten offen ist, wird nicht mehr abgelehnt: Der Browser ersetzt seine Antwort auf die Formularprüfung, bevor sie abläuft. Ein Crawler, der über seinen veröffentlichten Adressbereich nachgewiesen ist (OAI-SearchBot auf einem Köderpfad), wird nicht mehr gesperrt und gemeldet, und eine Meldung, die das Netzwerk ablehnt, weil es für die Adresse bürgt, verlässt die Warteschlange sofort. Mehrfachaktionen funktionieren nach dem Filtern einer Liste wieder, und der Erweiterte Schutz auf der Werkzeuge-Seite ist eine Karte mit einem Status und einem Button.
• 2.1.69–2.1.71: Die Schutz-Seite in fünf Tabs mit Schaltzeilen, Tarifzeilen, eingeklappten Details, einem Zurücksetzen auf die Empfehlung und einer Schutzprüfung. Hive bleibt für den Update-Check von wordpress.org sichtbar, Installationen werden also gezählt. In einem Netzwerk mit eigener Domain je Website führen Admin-Links auf eine andere Domain über deren Anmeldung statt auf die Sperrseite.
• 2.1.68: Der mitgelieferte Offline-Regelsatz blockt jetzt auch fehlerbasierte SQL-Injection und Second-Order-SQL-Injection über den Trackback-Inhalt, damit ist auch eine Website im Local-Shield-Modus geschützt. Priority Sync beginnt mit Contributor: der Regelsatz mit Paranoia Level 2 und die Bot-IP-Range-Feeds, wöchentlich aktualisiert; Level 3 und die tägliche Aktualisierung bleiben bei Professional. Der Audit-Trail speichert die Browser-Kennung nur, solange „Log user agents“ eingeschaltet ist, derselbe Schalter wie beim Sicherheitsprotokoll.
• 2.1.67: Gruppensperren: Ein Schlüssel, der zu einer Gruppe auf reportedip.com gehört, spiegelt die Gruppenliste alle fünfzehn Minuten als Sperren vom Typ Group Ban, aufgehoben, sobald ein Eintrag aus der Liste verschwindet, Whitelist und manuelle Sperren bleiben unberührt. Die Community-Seite zeigt die Gruppe und die Community-Reputation der Adresse, von der aus diese Website sich verbindet. Ein Kommentar aus einem Browser, der das Skript nie ausgeführt hat, wird wie bei jedem anderen geschützten Formular an der Tür abgewiesen, und ein Link im Kommentartext zählt wie ein Link im Feld „Website“.
• 2.1.66: Der Formularschutz erreicht Forminator (Business), ob das Formular in der Seite steht oder nachgeladen wird. Ein ausgefülltes Köderfeld wird jetzt beim ersten Versuch gesperrt und gemeldet statt erst beim dritten: niemand kann dieses Feld sehen, es auszufüllen schafft nur eine Maschine, und das Warten auf zwei weitere Versuche hat dem Absender nur zwei Freifahrten geschenkt. Wessen Browser das Skript nie ausgeführt hat, ist davon nicht betroffen und wird weiterhin nur abgewiesen. Eine Adresse auf Ihrer Freigabeliste kann von einer so schnell handelnden Prüfung nicht mehr gesperrt werden, und die Meldung an die Community nennt jetzt das Formular oder die Signale statt „verdächtige Aktivität".
• 2.1.65: Der Formularschutz erreicht WPForms und WPForms Lite (Business), auf dem Seitenweg wie im Hintergrund. Eine abgelehnte Elementor-Einsendung verschickt die Formular-Mail nicht mehr: Elementor bricht nur bei einem Feldfehler ab, eine Ablehnung als bloße Meldung ließ die Mail also hinaus und meldete den Fehler erst danach. Anmeldungen über Ultimate Member werden nicht mehr abgelehnt, wenn ein Mensch das Formular ausgefüllt hat.
• 2.1.63: Der Formularschutz erreicht Gravity Forms (Business), auch Formulare, die im Hintergrund abgeschickt werden, und Formulare mit mehreren Seiten; eine abgewiesene Einsendung ist ein Validierungsfehler, den der Absender sieht, nie ein stiller Eintrag im Spam-Ordner. Der Schutz für Contact Form 7 ist in jedem Tarif enthalten, Ultimate Member wechselt zu Business. Die Traversal-Regel der Firewall erkennt jetzt auch die doppelt kodierte Form hinter dem Template-Fix von WordPress 7.1.2.
• 2.1.62: Der Audit-Trail zeichnet auf, wer was geändert hat: acht Auslöser-Gruppen (Konten, Seiten und Beiträge, Plugins und Themes, Einstellungen mit altem und neuem Wert, Menüs und Widgets, der Datei-Editor, das Netzwerk) mit handelndem Benutzer, Anfrageweg und betroffenem Objekt, Schalter je Gruppe, 90 Tage Aufbewahrung als Standard mit blockweiser Bereinigung, ein Website-Filter für Netzwerke und eine Audit-Trail-Seite für jeden Website-Administrator. Jeder Ereignistyp lebt in einer Registry; der Filter des Ereignisprotokolls ist durchsuchbar und wählt ganze Gruppen, und Formular-Spam ist zurück in den Diagrammen.
• 2.1.58–2.1.61: Der Formular-Ausführungsnachweis kann eine Rechenaufgabe verlangen (Professional), ein Captcha-Ersatz, den eigene Formulare über eine kleine Schnittstelle nutzen; Contact Form 7 und Ultimate Member sind ab Professional abgedeckt, Formidable Forms und Elementor Forms ab Business; der Kommentar-Spamfilter liest acht weitere Signale; die Formular-Einstellungen bekamen eine eigene Karte, und jede Einstellung nennt den Tarif, zu dem sie gehört.
• 2.1.57: Die Aktivitätsseite öffnet auf dem Ereignisprotokoll hinter einer Filterleiste, die sich als Lesezeichen ablegen lässt, die Community-Seite teilt sich in Einstellungen, Community und Badges (Ein-Klick-Footer-Badge plus Banner-Generator), das Dashboard trägt eine Statuszeile und zugeklappte Schutzbereiche, und die Hinweise zur Berichtswarteschlange schweigen, solange nichts senden kann. Ein abgelehnter Zugangsschlüssel zählt nicht mehr als Fehlversuch im API-Gesundheitsfenster.
• 2.1.56: Die Seiten Einstellungen und Firewall wurden durch eine Schutz-Seite ersetzt (eine Karte je Registerbereich, Suche, Einfach- und Expertentiefe, ein gemeinsamer Speicherdienst mit MainWP, Flotte und Import) und durch eine Werkzeug-Seite für Drop-in, Regel-Sync, WAF-Ausnahmen, Import, Export, Reset und Test-Mail. Das Dashboard bekam ein Statusbanner, Nächste-Schritte-Karten aus sechs Hinweis-Detektoren und eine Zeile je Schutzbereich. Alte Einstellungs- und Firewall-Adressen leiten weiter.
• 2.1.54–2.1.55: Aus dem Einrichtungsassistenten wurde ein einseitiger Schnellstart, der den Tarif aus der Schlüsselprüfung liest und eine passende Empfehlung über das Einstellungsregister einschaltet; ein späterer Tarifwechsel aktiviert für unveränderte Werte, was der neue Tarif empfiehlt. Jede gespeicherte Einstellung folgt jetzt einem Standard, und das Dashboard zeigt die neuesten Meldungen von reportedip.com in der Sprache des Administrators.
• 2.1.52–2.1.53: Abwehr für Kommentare und Formulare. Ein bewertender Kommentar-Spamfilter mit rund zwanzig Signalen (ein Kommentar, der auf Freigabe wartet, ist kein Spam-Urteil mehr), ein cache-fester Ausführungsnachweis auf Kommentar-, Registrierungs- und Passwort-Formularen und die Community-Reputationsprüfung, die von der Anmeldeseite auf genau diese drei Formulare ausgeweitet wurde. In jedem Tarif kostenlos.
• 2.1.51: Fünf neue Schutzmaßnahmen. Registrierungsschutz (verbotene Benutzernamen, E-Mail-Regeln, eine Begrenzung der Anmelderate pro IP-Adresse, eine Opt-in-Sperre für Anmeldungen mit nicht existierenden Benutzernamen), Zugriffssperrschalter für REST, XML-RPC, Feeds, wp-admin, PHP bei Uploads sowie Versions-Fingerabdrücke und ein Systembereitschaftsregister mit zwölf Detektoren, alles kostenlos in jedem Tarif. Kontosperrung sowie der Sitzungsmanager unter „Benutzer → Sitzungen“ im Business-Tarif, adaptive Auslöser für die zweistufige Zwei-Faktor-Authentifizierung je nach Rolle im Professional-Tarif. Siebzig Optionen wurden in das Einstellungsregister verschoben (insgesamt 169, alle beschrieben, 71 fernverwaltbar); der Import von Einstellungen kann den Sanitizer nicht mehr umgehen, und der Hardening Mode begrenzt nun auch die Schwellenwerte für die Login-Oberflächen von WooCommerce und für den Login mit Anwendungskennwörtern.
• 2.1.48–2.1.50: Cloud-Flottenmanagement (Business) über drei mit Ed25519 signierte REST-Routen mit einem Aktualisierungsfenster, einmalig verwendbaren Anfrage-IDs und Zielgruppenbindung; standardmäßig deaktiviert, kann aktivieren. Eine Untergrenze von 25 % unterhalb des Schwellenwerts für den „Community-Confidence“-Block, wobei die Migration v16 gespeicherte Werte unterhalb dieser Untergrenze aufhebt, sowie vollständige IP-Verwaltung über WP-CLI (whitelist, block, unblock, blocked list, attempts reset) sowie wp reportedip status.
• 2.1.42–2.1.47: Die Sicherheits- und Korrektheitsprüfung: admin-ajax.php innerhalb des Block-Gates und der Firewall durchgeführt, einmalig verwendbare TOTP-Codes, eine WAF-Exception, die die dahinterliegenden Regeln nicht mehr verschleiert, prozentkodierte Prüfungen, die von drei weiteren Sensoren erfasst werden, sowie zweiundvierzig AJAX-Handler auf einem gemeinsamen Permissions Guard. Zudem eine Installationsidentität im wp.org-Stil bei jeder API-Anfrage, eine Karte mit lizenzierten Domains auf dem Dashboard, das kanonische Einstellungsregister mit seinem versionierten Remote-Protokoll sowie wieder für MainWP und ManageWP sichtbare Plugin-Updates.
• 2.1.37–2.1.41: Opt-in-Sperrung von Tor-Exit-Knoten (Professional, signierter tor_exits Regelsatz), vertrauenswürdige Proxy-Quellbereiche zum Schutz vor „Forwarded-Header“-Spoofing, ein Sicherheits-Widget auf dem wp-admin-Dashboard, ein „Never-Block“-Veto für von der Community verifizierte Infrastruktur, eine erweiterte IP-Abfrage mit wp reportedip lookup, stabile Integrator-Hooks (reportedip_hive_threshold_exceeded), race-sichere Versuchszähler (Schema v15) sowie eine strengere Firewall: Ausnahmen für Crawler erfordern ein überprüfbares Signal, Payload-Regelgruppen blockieren bereits beim ersten Treffer, Release-Builds enthalten wieder die gebündelten Regelsätze, und vier Regeln schließen die CVE-2026-64638 (XSS2Shell)-Kette beim Login. Die Domain wurde auf reportedip.com verlegt.
• 2.1.33–2.1.36: Offizielle Unterstützung für YubiKey und Hardware Security Key: vollständige WebAuthn-Prozesse auf allen drei Challenge-Oberflächen, ein Multi-Key-Manager mit attestationbasierter Modellerkennung (Business), Erkennung geklonter Schlüssel über Regression des Signaturzählers mit E-Mail-Benachrichtigungen in allen Tarifen, Ed25519, sofern libsodium verfügbar ist, sowie ein überarbeiteter, leicht verständlicher Abschnitt zur 2FA mit einer vom Benutzer wählbaren Standardmethode.
• 2.1.26–2.1.32: Kreuzprüfung durch verifizierte Crawler (ein gefälschter Googlebot-User-Agent tätigt keine Käufe), eine zentrale Schutzfunktion, die verifizierte Bots niemals blockiert, Community-Reputationssperren, die alle Bereiche abdecken, Verhinderung von Selbstsperrungen für die eigenen Adressen des Servers, volumengewichtete Block Escalation sowie die Leistungsoptimierung: 36 → 11 Abfragen pro Anfrage, ein 8-KB-Header für die Blocklist sowie eine TTFB im Dashboard von 920 → 278 ms (Schema v13).
• 2.1.25: Die WAF blockiert die REST-Batch-Route-Confusion-Angriffsklasse des WordPress-Kerns in jedem Tarif (strukturelle Regeln, kein Token-Abgleich), überprüft eine dekodierte Kopie des Request-Bodies (wodurch eine Umgehung über kodierte Payloads verhindert wird) und Paranoia-Level-2/3-Blockierungen renderen ihre spezifische Referenzkategorie.
• 2.1.22–2.1.24: Die erzwungene 2FA-Standardkonfiguration sieht nun eine obligatorische Registrierung anstelle einer Sperrung vor (Administratoren und Super-Administratoren können niemals dauerhaft gesperrt werden); eine doppelte Übermittlung der 2FA-Herausforderung führt nicht mehr dazu, dass Benutzer bei „Sitzung abgelaufen“ hängen bleiben; die PHPUnit eval-stdin.php RCE-Prüfung (CVE-2017-9841) wird in jedem Tarif blockiert.
• 2.1.14–2.1.20: Korrektheit des Produktions-Hostings: UTC-konforme Datums- und Zeitangaben (die automatische Sperrung schlug auf Nicht-UTC-Datenbankservern stillschweigend fehl), der Hide Login funktioniert hinter Seiten-Caches und auf Websites mit „Trailing Slash“ sowie auf Nginx-Seiten, „Extended Protection“ konfiguriert sich automatisch unter Nginx + PHP-FPM und überspringt die Body-Prüfung für angemeldete Redakteure, die API-Zustandsprüfung nutzt ein rollierendes Fenster, und das Abfragen der Relay-Quota für Hot-Paths wurde entfernt.
• 2.1.9–2.1.13: Vom Backend verwaltete WAF Exceptions mit einer Ein-Klick-Aktion „Zulassen“ (Schema v10), selbsterklärende Blockprotokollierung (abgeglichener Wert, Ziel, Methode, URI, User-Agent), MainWP-Provisioning kann Websites in den Community-Modus versetzen, und das Sicherheits-Dashboard wurde zu einer umfassenden Analyseansicht (sieben Bedrohungsfamilien, Diagramm der WAF-Regelgruppen, Top-Angreifer).
• 2.1.0–2.1.8: Die Firewall-Version: ein serverseitig bereitgestelltes, mit Ed25519 signiertes „Rule Delivery Framework“, das eine Anfragen prüfende Web Application Firewall speist (kostenlose Engine + „Paranoia-Level-1“-Baseline, PRO-Level 2/3 über „Priority Sync“, Verified Bot Detection, Disposable-Email Blocking, Comment Honeypot, Security Headers (grundlegend kostenlos, erweitert in PRO), Protection & Hardening Score für Dashboard-Schutz und Absicherung, Referenzcodes für Sperrseiten (X-RIP-Ref), den Audit Event Trail (Schema v9), die MainWP Integration sowie einen Firewall-Verwaltungsbereich, gefolgt von Korrekturen für False Positives bei legitimen Crawlern und der ausfallsicheren Drop-in-Entfernung.
• 2.0.x: Netzwerkweite Multisite-Aktivierung (Network: true), Verwaltung der Zugriffsebenen pro Blog, Banner für Ebenen-Upgrades, verstärkte Überwachung von App-Passwörtern und geografischen Anomalien, 2FA im WooCommerce-Frontend ab PRO+, Hardening Mode für koordinierte Angriffe, Erkennung und Meldung von Decoy Paths.
• 1.5.2: Kompatibilität mit Cache-Plugins auf der 403-Seite; die 2FA-Drosselung wird zu einer echten Eskalationssperre ausgebaut; init Priorität 1.
• 1.5.1: Übersichtlichkeit im Blockierungs-Reiter (Reports > Automatische Blockierung > Dauer-Strategie); Editoren für feste Länge und Stufenleiter werden inline ausgetauscht.
• 1.5.0: Progressive Block Escalation (5 m → 7 d Leiter); Cookie-Banner-Endpoints werden standardmäßig umgangen; Standardwerte für 404/Kommentar-Spam wurden gelockert.
• 1.2.4: Die Schaltfläche „Erneut versuchen“ in der API-Warteschlange löst nun tatsächlich den API-Aufruf aus.
• 1.2.0: Sieben neue Sensoren: App-Passwort-Monitor, REST-Burst-Monitor, Blockierung von User Enumeration, 404/Scan-Detektor, Geo-Anomalie, Passwortstärke, Hide Login.
• 1.1.0: Zentraler Mailer mit Markenvorlage.
• 1.0.0: Erste öffentliche Veröffentlichung: IP-Sperrung, 4-Methoden-2FA, Setup Wizard, Listentabellen.

Zuletzt aktualisiert: 16. Oktober 2026 · Betreut vom ReportedIP-Team