ReportedIP Hive 2.1.54: Formular-Ausführungsnachweis und einseitiger Schnellstart
ReportedIP Hive 2.1.53 erschien am 10. September 2026 mit einem Formular-Ausführungsnachweis, der Skripte stoppt, die direkt an Kommentar-, Registrierungs- und Passwort-Formulare senden. Am 13. September folgte 2.1.54 mit einem einseitigen Schnellstart anstelle des Einrichtungsassistenten mit zehn Schritten. Beides ist in jedem Tarif kostenlos und hat verändert, wie eine neue Website eingerichtet wird und wie ihre Formulare geschützt sind.
Die aktuelle Version ist 2.1.67. Die folgenden Abschnitte sagen, wo sich seitdem ein Menü, ein Tarif oder ein Verhalten geändert hat. Wie der Formularschutz heute im Detail arbeitet, erklärt der Leitfaden zum Formular-Honeypot.
Was ist neu in Hive 2.1.53 und 2.1.54?
| Funktion | Version | Tarif |
|---|---|---|
| Formular-Ausführungsnachweis | 2.1.53 | Free |
| Community-Bedrohungsprüfung bei Formularen | 2.1.53 | Free |
| Einseitiger Schnellstart | 2.1.54 | Free |
| Empfehlung beim Tarifwechsel übernommen | 2.1.54 | Professional und höher |
| Aufgeräumtes Sicherheits-Dashboard | 2.1.54 | Free |
Die Community-Bedrohungsprüfung braucht den Modus Community Network, der mit einem kostenlosen Konto funktioniert. Keine Funktion, die vor diesen Versionen kostenlos war, ist hinter einen Tarif gewandert.
Wie stoppt der Formular-Ausführungsnachweis Spam-Skripte?
Viele Spam-Skripte laden ein Formular nie. Sie senden ihre Daten direkt an die Adresse, die es verarbeitet. Seit 2.1.53 tragen Kommentar-, Registrierungs- und Passwort-Formulare einen versteckten Anker und ein zweites Feld, das nur ein Browser ergänzt, der das Skript der Seite ausführt. Eine Einsendung ohne beides hat das Formular nie dargestellt. Auf der Website, für die die Funktion gebaut wurde, kam jeder Spam-Kommentar der Nacht davor auf diesem Weg.
In die Seite wird nichts geschrieben, das zu einem einzelnen Besucher gehört, deshalb funktionieren Seiten-Caches weiter. Ein Theme, das sein Kommentarformular ohne die üblichen WordPress-Hooks schreibt, wird nachsichtig bewertet, weil die Website selbst misst, ob ihre Formulare den Anker tragen. Ein fehlender Nachweis allein zählt nie zur Sperrleiter, ein Leser mit abgeschaltetem JavaScript wird also nie gesperrt.
In 2.1.53 war ein Kommentar ohne Nachweis nur ein Punktwert und konnte noch in der Moderation landen. Seit 2.1.67 weist das Kommentarformular eine solche Einsendung mit einer klaren Meldung ab, so wie es Registrierung und Passwort-Zurücksetzung von Anfang an getan haben. Ein Kommentar aus einer zwischengespeicherten Seite, die gar keine Schutzfelder trägt, wird weiterhin nur bewertet. Registrierung und Passwort-Zurücksetzung lassen sich mit einem eigenen Schalter ausnehmen, und der Nur-Melden-Modus protokolliert jede Abweisung, ohne etwas abzuweisen.
In 2.1.53 lagen die Einstellungen unter Firewall → Spam Defence. Seit 2.1.59 sind sie die Karte Formularschutz unter ReportedIP Hive → Schutz. Die Konstante REPORTEDIP_HIVE_DISABLE_FORM_PROOF in der wp-config.php schaltet die gesamte Schicht weiterhin ab.
Welche Formulare deckt der Ausführungsnachweis heute ab?
2.1.53 schützte drei WordPress-Formulare. Spätere Versionen haben den Nachweis in Formular-Plugins getragen und eine zweite Prüfung ergänzt:
| Formulare | Tarif | Seit Version |
|---|---|---|
| Kommentarformular, Registrierung, Passwort-Zurücksetzung | Jeder Tarif, auch Free | 2.1.53 |
| Contact Form 7 | Jeder Tarif, auch Free | 2.1.58 |
| Rechenprüfung | Professional und höher | 2.1.58 |
| Gravity Forms, WPForms, Forminator, Formidable Forms, Elementor Forms, Ultimate Member | Business und höher | 2.1.58–2.1.66 |
Contact Form 7 startete in Professional und ist seit 2.1.63 kostenlos. Die Rechenprüfung schließt die Lücke, die der einfache Nachweis lässt: ein Skript, das die Seite einmal liest und kopiert, was es dort findet. Seit 2.1.64 muss der Browser vor dem Absenden eine frische Aufgabe der Website selbst lösen, eine kopierte Antwort kommt also nicht mehr durch. Details je Plugin stehen in den Leitfäden zu Gravity Forms und zu WPForms und Forminator.
Wie schützt die Community-Bedrohungsprüfung Formulare?
Die Anmeldeseite prüft die Adresse eines Besuchers seit der ersten Hive-Version gegen das Community-Netzwerk. Kommentare, Registrierungen und Passwort-Zurücksetzungen taten das nicht, eine Adresse, die das Netzwerk bereits als missbräuchlich kannte, konnte also weiter posten, solange sie unter dem lokalen Punktwert der Website blieb. Seit 2.1.53 führen alle drei Formulare dieselbe Prüfung auf der Schutzstufe der Anmeldeseite aus. Wem die Website eine Anmeldung verweigern würde, der kann nicht auf das Kommentarformular ausweichen: Der Besucher erfährt den Grund, und die Adresse wird für dieselbe Dauer gesperrt wie nach einer abgewiesenen Anmeldung.
Die Prüfung ist ausfallsicher. Ein aufgebrauchtes Tageskontingent, eine Ratenbegrenzung, eine Zeitüberschreitung oder ein nicht erreichbares Netzwerk gelten als „keine Meinung“, und die Einsendung wird allein nach lokalen Signalen beurteilt. Sie läuft nur im Modus Community Network und ist standardmäßig an, mit denselben Ausnahmen wie die Anmeldeprüfung: Adressen auf der Whitelist, der eigene Server der Website und Infrastruktur, die das Netzwerk als solche kennzeichnet. Seit 2.1.60 steht der Schalter Community-Bedrohungsprüfung bei Formularen in der einfachen Ansicht der Karte Formularschutz. Wie das Netzwerk eine Adresse bewertet, erklärt der Leitfaden zur Community Threat Intelligence.
Was hat den Einrichtungsassistenten von Hive ersetzt?
Hive 2.1.54 hat den Einrichtungsassistenten mit zehn Schritten abgelöst. Der Schnellstart an seiner Stelle stellt zwei Fragen: welcher Modus laufen soll, Community Network oder Local Shield, und für Community Network den Community Access Key. Die Prüfung des Schlüssels liest den Tarif des Kontos und übernimmt eine Empfehlung für diesen Tarif.
- Drei Schalter bleiben sichtbar: 2FA für Administratoren mit 7 Tagen Schonfrist, das Footer-Badge „Protected by ReportedIP“ und Alarm-Mails an die Admin-Adresse.
- Alle anderen Einstellungen, von den Sensor-Schwellen bis zur Log-Aufbewahrung, sind für den erkannten Tarif vorkonfiguriert.
- Der Experten-Link übernimmt dieselbe Empfehlung und öffnet statt des Dashboards die vollständigen Einstellungen.
- Alte Links auf
page=reportedip-hive-wizardleiten zum Schnellstart weiter.
Seit 2.1.59 nennt der Schnellstart die Formular-Plugins, die er auf der Website findet. Er schaltet den Schutz für Contact Form 7 in jedem Tarif ein und die übrigen Formular-Plugins ab Business. Der Leitfaden zum Schnellstart geht jeden Schritt durch, und die Dokumentation zum Schnellstart listet, was er einstellt.
Was schaltet ein Tarifwechsel ein?
Seit 2.1.54 übernimmt ein Upgrade die Empfehlung des neuen Tarifs für jede Einstellung, die der Admin nicht von Hand geändert hat, und ein Banner listet die Änderungen. In 2.1.54 waren das in Professional die Tor-Sperre, der HSTS-Header, 90 Tage Logs und die Zwei-Faktor-Anmeldung für WooCommerce-Kunden, in Business das Audit-Protokoll mit einem Jahr Logs. Seit 2.1.67 schaltet Professional zusätzlich die Rechenprüfung ein und Business die sechs Schalter für Formular-Plugins. Die Tarife vergleicht die Preisseite.
Was hat sich am Dashboard und in den Menüs geändert?
In 2.1.54 sind die API-Aufrufstatistik und die Karte der lizenzierten Domains auf die Seite Community gewandert, wo das Kontingent schon stand. Die Schnellaktions-Kacheln, die das Hauptmenü wiederholten, sind weg, und die Aktivitätsliste zeigt die fünf neuesten Ereignisse. Unten zeigt das Dashboard die drei neuesten News-Beiträge von reportedip.com in der Sprache des Admins, nur im Modus Community Network. Eine Website in Local Shield stellt dafür keine ausgehende Anfrage.
Acht Optionen, die im wp-admin bearbeitbar waren, aber in Export, Import, MainWP und dem Cloud-Flotten-Dashboard fehlten, verhalten sich jetzt wie jede andere Einstellung. Seit 2.1.56 sind die früheren Seiten Einstellungen und Firewall eine Seite, ReportedIP Hive → Schutz. Was keine Einstellung ist, etwa Extended Protection, WAF-Ausnahmen, Import und Export und die Test-Mail, steht auf der Seite Werkzeuge, die das Menü im Expertenmodus zeigt.
Wie bekomme ich diese Änderungen heute?
Jede Version seit 2.1.54 enthält sie, und eine Website, die ihre Einrichtung schon abgeschlossen hatte, behielt beim Update ihre Einstellungen. Hive installiert seine Updates selbst über die automatischen WordPress-Updates. Für eine neue Installation laden Sie das aktuelle ZIP von der Hive-Produktseite. Die Grenzen der Tarife stehen unter Funktionen je Tarif in der Dokumentation.
OWASP führt Formular-Spam als eigene automatisierte Bedrohung, OAT-017 Spamming, samt empfohlenen Gegenmaßnahmen.
Häufige Fragen
Ist der Formular-Ausführungsnachweis kostenlos?
Der Formular-Ausführungsnachweis ist in jedem Tarif kostenlos, für Kommentarformular, Registrierung, Passwort-Zurücksetzung und Contact Form 7. Die zusätzliche Rechenprüfung braucht Professional. Gravity Forms, WPForms, Forminator, Formidable Forms, Elementor Forms und Ultimate Member sind ab Business abgedeckt. In keinem Tarif ist ein Captcha oder ein Drittanbieter-Dienst beteiligt.
Was passiert mit Formularen, wenn das Community-Netzwerk nicht erreichbar ist?
Formulare funktionieren weiter, wenn das Community-Netzwerk nicht erreichbar ist. Hive wertet eine Zeitüberschreitung, eine Ratenbegrenzung, ein aufgebrauchtes Tageskontingent oder einen Netzwerkfehler als „keine Meinung“ und beurteilt die Einsendung nur nach lokalen Signalen: Ausführungsnachweis, Honeypot und Kommentar-Spamfilter. Der Ausfall der Community-Prüfung hält eine Website nie davon ab, Kommentare oder Registrierungen anzunehmen.
Hat das Update auf 2.1.54 bestehende Einstellungen verändert?
Das Update auf 2.1.54 hat die Einstellungen jeder Website behalten, die ihre Einrichtung schon abgeschlossen hatte. Der Schnellstart erscheint nur bei einer neuen Installation oder bei einer, die den alten Assistenten nie beendet hat. Ein späterer Tarifwechsel ändert nur Einstellungen, die der Admin nie von Hand bearbeitet hat, und das Banner nach dem Upgrade listet jede davon.