Schutzeinstellungen

Jede Einstellung von Hive liegt auf einer Seite, ReportedIP Hive → Schutz. Diese Seite erklärt ihren Aufbau, die wichtigsten Standardwerte, die Schalter zum Abriegeln von Zugängen, die Security-Header, die Proxy-Einstellungen und die Systembereitschaft, die die Teile einer Installation überwacht, die still ausfallen.

Die fünf Reiter

Jeder Bereich zeigt einen Kurzstatus, seine alltäglichen Schalter als Zeilen und seine Experteneinstellungen hinter Technische Details anzeigen. Der Expertenmodus im Seitenkopf öffnet die Details von vornherein. Ein Suchfeld durchsucht alle Reiter. Jeder Reiter trägt Änderungen speichern und Standard wiederherstellen; Letzteres schreibt die Empfehlung für Ihren Tarif. Schutz prüfen lässt die Systembereitschaft sofort laufen und meldet das Ergebnis auf der Seite. Eine Funktion des Pro-Add-ons, die Ihre Website nicht hat, erscheint als Zeile mit dem Tarif, zu dem sie gehört, nicht als Schalter.

Was keine Einstellung ist, liegt unter Werkzeuge: der Reiter Server (Extended Protection und die Webserver-Snippets), Regeln (Regelsynchronisation und Firewall-Ausnahmen), Daten (Import, Export, Zurücksetzen, Verhalten bei Deinstallation) und Diagnose (Testmail, Selbsttest der Formularprüfung). Die Werkzeuge stehen im Expertenmodus im Menü und sind über ihre Adresse immer erreichbar.

Jede Option hat einen Eintrag in einem Einstellungsregister mit Wertebereich, Tarif und einer Beschreibung in einem Satz. Die Seite Schutz, der Schnellstart, der JSON-Import, MainWP und die Flottenverwaltung des Pro-Add-ons schreiben alle über dieses Register, ein Wert wird also gleich geprüft, egal woher er kommt.

Die wichtigsten Standardwerte

Alle Optionsnamen tragen das Präfix reportedip_hive_.

Zugänge abriegeln

Schalter unter Firewall & Bots → Zugänge abriegeln, die Teile von WordPress abschalten, die eine Website nicht braucht. Alle sind standardmäßig aus und wirken sofort, wenn Sie sie zurückschalten.

• REST-API-Zugriff: offen, nur angemeldete Besucher oder ausgewählte Rollen. Namensräume auf der Freigabeliste bleiben in jedem Modus öffentlich, vorbelegt mit denen, die sonst brechen (oembed/1.0, wp-site-health/v1, die gängigen Consent-Banner- und Formular-Namensräume, die WooCommerce Store API); reportedip-hive/v1 bleibt immer offen, damit die 2FA-Routen funktionieren. Gäste erhalten 401, angemeldete Benutzer außerhalb der Rollenliste 403.
• XML-RPC: weist xmlrpc.php ab, schaltet Pingbacks aus, entfernt den Header X-Pingback und die Links für RSD und WLW. Anwendungspasswörter über REST sind nicht betroffen.
• Feeds: RSS-, Atom- und Kommentar-Feeds antworten mit 404, ihre Links verschwinden aus dem Seitenkopf.
• wp-admin für Besucher: weist /wp-admin/ für nicht angemeldete Besucher ab, zusammen mit den Aliasen /admin und /dashboard. admin-ajax.php und admin-post.php bleiben erreichbar. Anmeldung verbergen schließt wp-admin für Besucher ebenfalls.
• PHP-Ausführung in Uploads: ein Markerblock in der .htaccess des Upload-Ordners weist PHP-artige Dateinamen ab, auch shell.php.jpg. Nur Apache; nginx und unbekannte Server erhalten das Snippet zum Einfügen.
• Software-Fingerabdrücke: entfernt das Generator-Tag von WordPress und die Versionsangaben, die Plugins in die Seite schreiben. Versionsnummern bleiben aus den Adressen der Assets ableitbar, das ist also Kosmetik. Die PHP-Fehleranzeige gleich mit abzuschalten, gehört zum Pro-Add-on.

Die Benutzer-Sitemap (wp-sitemap-users-1.xml) verschwindet, solange Benutzer-Enumeration blockieren an ist, und das ist der Standard, weil sie genau die Liste veröffentlicht, die diese Abwehr verbirgt. Abweisungen werden einmal je Adresse und Ereignis mit fünf Sekunden Drosselung protokolliert (rest_denied, xmlrpc_denied, feed_denied, admin_guest_denied). Sie lösen nie die Sperrleiter aus und werden nie gemeldet: Das ist Zugriffskontrolle, keine Angriffserkennung.

Security-Header

Antwort-Header auf jeder Anfrage im Frontend. Ein Header, den Ihr Server oder ein anderes Plugin schon sendet, bleibt unberührt.

• Grundlegend, kostenlos: X-Content-Type-Options, X-Frame-Options, Referrer-Policy.
• Erweitert, Professional mit dem Pro-Add-on: HSTS (Preload optional), Permissions-Policy, ein Baukasten für die Content-Security-Policy (zuerst im Report-only-Modus) und das Cross-Origin-Trio COOP, CORP und COEP.

Der Reiter Server unter Werkzeuge exportiert die eingestellten Header als Zeilen für nginx (add_header) oder Apache (Header).

Cloudflare, Reverse-Proxys und Load-Balancer

Hinter einem Proxy ist die verbindende Adresse der Proxy, und die Besucheradresse steckt in einem Header. Wählen Sie diesen Header unter Grundschutz → Erkennung & Schwellwerte → Header für die Besucher-Adresse: CF-Connecting-IP, X-Forwarded-For, X-Real-IP, Client-IP, True-Client-IP oder X-Cluster-Client-IP. Tragen Sie dann die Proxy-Adressen unter Vertrauenswürdige Proxy-Bereiche ein, eine Adresse oder einen CIDR-Bereich pro Zeile, zum Beispiel die veröffentlichten Bereiche von Cloudflare.

Mit der Liste zählt der Header nur für Anfragen von einem eingetragenen Proxy, niemand, der den Server direkt erreicht, kann sich also eine freigegebene Adresse zuschreiben oder eine Sperre abschütteln. Eine leere Liste akzeptiert den Header von jeder Gegenstelle und löst eine Warnung der Systembereitschaft aus. Der Schutz vor WordPress wendet dieselbe Prüfung an.

Systembereitschaft

Detektoren überwachen, was ohne Geräusch ausfällt. Offene Punkte erscheinen unter Systemstatus mit ihrer Schwere, dem Zeitpunkt ihres ersten Auftretens, einem Link zur zuständigen Einstellung und einem Link hierher. Kritische Punkte und Warnungen erzeugen zusätzlich einen Hinweis auf den Plugin-Seiten, das Widget in wp-admin zeigt die Anzahl, und wp reportedip status listet sie im Feld issues. Warnungen und Vorschläge lassen sich für sieben Tage zurückstellen; kritische Punkte bleiben, bis sie behoben sind.

• Warteschlange des Schutzes nicht beschreibbar (kritisch). Extended Protection ist an, aber der Schutz vor WordPress kann seine Treffer-Warteschlange nicht schreiben, seine Sperren werden also nie übernommen und eskalieren nie. Korrigieren Sie die Rechte des genannten Verzeichnisses oder schalten Sie Extended Protection aus.
• Geplante Aufgaben stehen (kritisch). Jede Cron-Aufgabe von Hive ist über 24 Stunden überfällig: Meldewarteschlange, Regelsynchronisation und Bereinigung stehen still. Meist ein defekter WP-Cron-Loopback; richten Sie einen System-Cron ein und definieren Sie DISABLE_WP_CRON.
• WP-Cron ohne Ersatz abgeschaltet (Warnung). DISABLE_WP_CRON ist gesetzt, ALTERNATE_WP_CRON nicht, und seit über einer Stunde hat kein externer Auslöser gearbeitet.
• Header für die Besucher-Adresse ohne Proxy-Bereiche (Warnung). Der Header gilt für jede Gegenstelle, ein direkter Besucher könnte also eine Adresse vortäuschen. Tragen Sie Ihre Proxy-Bereiche unter Erkennung & Schwellwerte ein.
• Datenbankschema veraltet (kritisch). Das gespeicherte Schema liegt hinter dem Plugin, meist nach einer abgebrochenen Migration. Das Neuladen einer Plugin-Seite versucht es erneut.
• Verbindung zur Community gestört (Warnung). Viele der letzten Anfragen an reportedip.com sind gescheitert. Prüfen Sie ausgehendes HTTPS und den Zugangsschlüssel.
• Mail-Kontingent des Relays aufgebraucht (Warnung, Pro-Add-on). 2FA-Mails laufen bis zum monatlichen Neustart oder bis zu einem Zusatzpaket über wp_mail().
• SMS-Kontingent des Relays aufgebraucht (Warnung, Pro-Add-on). Wer SMS als einzige Methode nutzt, sollte eine zweite ergänzen.
• Mailzustellung scheitert (Warnung). WordPress hat wiederholt wp_mail_failed gemeldet, Codes und Alarme kommen also nicht an. Prüfen Sie die SMTP-Einrichtung. Empfängeradressen werden aus der gespeicherten Meldung entfernt.
• Kein Verschlüsselungs-Backend (kritisch). Weder libsodium noch OpenSSL ist vorhanden, die 2FA-Geheimnisse lassen sich also nicht verschlüsseln. Bitten Sie den Hoster, eines davon zu aktivieren.
• Meldewarteschlange mit fehlgeschlagenen Einträgen (Warnung). Meldungen haben ihre Wiederholungen aufgebraucht. Wiederholen Sie sie im Reiter API-Warteschlange der Seite Aktivität.
• Rückstau in der Meldewarteschlange (Warnung). Offene Meldungen stauen sich, das deutet auf den Cron oder die Verbindung. Beide Prüfungen der Warteschlange bleiben in Local Shield und ohne Schlüssel still.
• Anmeldeadresse noch öffentlich (Vorschlag). Anmeldung verbergen ist aus. Die Karte nimmt einen Slug entgegen und schaltet die Funktion in einem Schritt ein.
• Shop-2FA verfügbar, aber aus (Vorschlag, Pro-Add-on). Die Website nutzt WooCommerce, und der Tarif enthält die Abfrage im Theme für Kunden.
• Extended Protection möglich, läuft aber nicht (Vorschlag). Der Server unterstützt den Schutz vor WordPress, gesperrte Anfragen könnten also enden, bevor WordPress startet.
• Local Shield statt Community (Vorschlag). Die Website schützt sich selbst, fragt aber weder das Netzwerk noch trägt sie dazu bei.
• Formular-Plugin noch nicht abgedeckt (Vorschlag). Ein unterstütztes Formular-Plugin ist aktiv und Hive könnte es prüfen, aber sein Schalter ist aus. Ein Vorschlag je Plugin.
• Gruppen enthalten, aber ungenutzt (Vorschlag, Pro-Add-on). Der Tarif enthält Gruppen, und dieser Schlüssel ist in keiner. Die Karte öffnet Gruppen in Ihrem Konto; Gruppen erklärt sie.
• Ihr eigener zweiter Faktor fehlt (Vorschlag). 2FA ist für die Website an, und das Konto, das die Seite ansieht, hat keine Methode. Wird je Person ausgelöst.
• Badge in der Fußzeile aus. Seit 3.0.0 nicht mehr ausgelöst: Das Badge ist optional und bleibt aus, solange Sie es nicht einschalten.

Support-Paket. Der Systemstatus bietet außerdem eine JSON-Datei für eine Supportprüfung an: Versionen, die Einstellungen, die vom Standard abweichen, Systembereitschaft, Cron, API-Zustand, die Meldewarteschlange, die Ereignisse eines gewählten Zeitraums (1, 7, 14 oder 30 Tage) und die aktiven Sperren. Sie enthält keinen Zugangsschlüssel, kein Passwort, keinen Benutzernamen und keine Mailadresse, und Adressen werden auf ihr Netz gekürzt, solange Sie keine vollständigen anfordern. Dieselbe Datei liefern wp reportedip support-bundle und die MainWP-Erweiterung.

Schutzwertung

Zwei Anzeigen auf dem Dashboard bewerten Erkennung und Härtung von 0 bis 100 mit einer Note von A+ bis F. Jeder Punkt verlinkt den Schalter, der ihn verbessert. Funktionen, die Ihr Tarif nicht enthält, zählen zum sichtbaren Potenzial, nicht gegen die Wertung, das kostenlose Plugin kann also die Bestnote erreichen.

Zuletzt aktualisiert: 16. Oktober 2026 · Betreut vom ReportedIP-Team