ReportedIP Hive 3.0.0: ein kostenloses Plugin auf WordPress.org, bezahlte Funktionen im Pro-Add-on
ReportedIP Hive 3.0.0 ist ein einziges kostenloses Plugin aus dem WordPress-Plugin-Verzeichnis, und alles, was zu einem bezahlten Tarif gehört, steckt jetzt im separaten Add-on ReportedIP Hive Pro. Die Version ist am 16. Oktober 2026 erschienen und ersetzt die zwei Ausgaben, die wir bisher hatten: den vollen separaten Download und das kleinere Plugin auf wordpress.org.
Neue Websites installieren Hive aus dem WordPress-Plugin-Verzeichnis. Bestehende Websites müssen nichts tun: Beide bisherigen Ausgaben erhalten 3.0.0 als Update und behalten ihre Einstellungen und Daten. Dieser Beitrag erklärt, warum wir das Plugin geteilt haben, was in welchem Teil steckt, wie der Umstieg für jede Art von Installation abläuft und wie wir ihn getestet haben.
Warum kommt ReportedIP Hive 3.0.0 aus dem WordPress-Plugin-Verzeichnis?
Bis Version 2.1.74 gab es Hive zweimal. Das volle Plugin wurde separat heruntergeladen und aktualisierte sich über einen eigenen Update-Prüfer. Ein zweites, deutlich kleineres Plugin nur für den Login-Schutz stand unter demselben Slug auf wordpress.org. Zwei Codebasen bedeuteten zwei Fehlerlisten, zwei Changelogs und eine Entscheidung, die neue Nutzer verwirrte, bevor sie überhaupt etwas installiert hatten.
Wir wollten ein Plugin, das sich über WordPress selbst installiert und aktualisiert, mit automatischen Updates, der Plugin-Übersicht und der Prüfung durch das Plugin-Team. Das Verzeichnis hat dafür klare Regeln. Die Plugin-Richtlinien erlauben keinem Plugin im Verzeichnis, Funktionen mitzuliefern, die gesperrt bleiben, bis jemand bezahlt, und sie erlauben keine Updates von einem fremden Server. Das 2.x-Plugin tat beides: Es enthielt den Code aller Tarife und schaltete Teile davon über den Community Access Key frei.
Also haben wir es entlang der Tarifgrenze in zwei Teile geschnitten. Das kostenlose Plugin enthält alles, was eine Website schützt, und keinen Schalter, der auf eine Zahlung wartet. Die bezahlten Funktionen sind in ein Add-on umgezogen, das wir selbst ausliefern.
Was enthält das kostenlose ReportedIP Hive 3.0.0?
Das kostenlose Plugin ist für sich vollständig. Es braucht kein Konto, keine Testphase und keinen Key, und es steht unter der GPL.
- Login-Sicherheit. Sechzehn Sensoren überwachen das Anmeldeformular, XML-RPC, die REST-API, die Formulare für Kommentare, Registrierung und Passwort-Zurücksetzen sowie die Anfrage selbst. Fehlgeschlagene Anmeldungen werden je Adresse begrenzt, Password Spraying wird gesondert erkannt, und die Sperrleiter läuft in sechs Stufen von 5 Minuten bis 7 Tage.
- Zwei-Faktor-Authentifizierung. Authenticator-Apps, Codes per E-Mail, zehn Wiederherstellungscodes und ein Passkey oder Hardware-Sicherheitsschlüssel je Konto, zum Beispiel ein YubiKey oder Windows Hello. 2FA lässt sich je Rolle erzwingen, und auch das Passwort-Zurücksetzen fragt nach dem zweiten Faktor.
- Firewall. Ein mitgelieferter Basis-Regelsatz gegen SQL-Injection, XSS, Path Traversal und Scanner, der optionale Schutz vor WordPress, der dieselben Regeln anwendet, bevor WordPress lädt, die Erkennung von Köderpfaden und die Prüfung echter Suchmaschinen-Bots.
- Formulare und Spam. Eine unsichtbare Ausführungsprüfung statt eines CAPTCHA bei Kommentaren, Registrierung, Passwort-Zurücksetzen und Contact Form 7, ein Kommentar-Spamfilter, ein Kommentar-Honeypot, die Sperre von Wegwerf-Adressen und Registrierungsregeln mit zehn Einträgen je Liste.
- Abschottung und Betrieb. Schalter für den REST-Zugriff, XML-RPC, Feeds, wp-admin für Gäste, PHP in Uploads und Versions-Fingerabdrücke, grundlegende Sicherheits-Header, das Aktivitätsprotokoll, der Schutz-Score, WP-CLI-Befehle, Multisite-Unterstützung und die MainWP-Anbindung.
Local Shield ist der Standardmodus und stellt keine Verbindung nach außen her. Das Community Network ist freiwillig: Mit einem kostenlosen Community Access Key prüft das Plugin angreifende Adressen gegen die Community-Sperrliste und teilt die Adressen, die es sperrt. Eine Malware-Prüfung von Dateien bietet Hive nicht, und das steht auch so im Verzeichniseintrag.
Was bringt ReportedIP Hive Pro in welchem Tarif?
ReportedIP Hive Pro ist ein Add-on für die Tarife Professional, Business und Enterprise. Es läuft neben dem kostenlosen Plugin und liest den Tarif aus Ihrem Community Access Key, einen zweiten Lizenzschlüssel gibt es nicht. Die Funktionen sind dieselben, die die bezahlten Tarife schon in 2.1.74 hatten:
| Funktion im Pro-Add-on | Professional | Business und Enterprise |
|---|---|---|
| 2FA-Mails und SMS-Codes über das verwaltete Relay | 500 Mails und 25 SMS im Monat | Business: 2.500 Mails und 75 SMS im Monat |
| Zwei-Faktor-Anmeldung im WooCommerce-Shop | Ja | Ja |
| Adaptive 2FA-Nachfrage je Rolle | Ja | Ja |
| Härtungsmodus bei Angriffswellen | Ja | Ja |
| Erweiterte Sicherheits-Header und der CSP-Baukasten | Ja | Ja |
| Rechennachweis auf Formularen | Ja | Ja |
| Sperre von Tor-Exit-Nodes | Ja | Ja |
| Unbegrenzte Registrierungsregeln mit regulären Ausdrücken | Ja | Ja |
| Gruppensperren über mehrere Websites | 1 Gruppe mit 10 Keys | Business: 3 Gruppen mit 50 Keys |
| Formularschutz für WPForms, Gravity Forms, Forminator, Formidable, Elementor Forms und Ultimate Member | Nein | Ja |
| Mehrere Sicherheitsschlüssel je Konto | Nein | Ja |
| Audit-Trail | Nein | Ja |
| Kontosperre und Sitzungsverwaltung | Nein | Ja |
| Cloud-Flottenverwaltung | Nein | Ja |
Enterprise erhält Mails im Rahmen der Fair Use, SMS nach Vertrag und bis zu 100 Gruppen. Priority Sync der Firewall-Regelsätze gehört nicht zum Add-on: Das kostenlose Plugin bekommt die tieferen Regelsätze, sobald der Key zu einem Contributor-Tarif oder höher gehört.
- Download. Das Add-on liegt nicht auf wordpress.org. Kunden mit bezahltem Tarif finden die Schaltfläche Hive Pro herunterladen auf der Hive-Seite ihres reportedip.com-Kontos.
- Updates. Das Add-on fragt alle 12 Stunden bei reportedip.com nach und zeigt neue Versionen in der gewohnten Plugin-Übersicht. Das Paket wird nur für einen Community Access Key mit bezahltem Tarif ausgeliefert.
- Es installiert, was es braucht. Wird das Add-on auf einer Website ohne das kostenlose Plugin aktiviert, installiert es ReportedIP Hive von wordpress.org und aktiviert es. Ist das kostenlose Plugin inaktiv oder zu alt, wartet das Add-on und zeigt einen Hinweis mit dem nächsten Schritt.
- Beim Deaktivieren geht nichts verloren. Einstellungen, Nutzerdaten und der Audit-Trail bleiben. Nur die Gruppensperrliste wird freigegeben und nach der erneuten Aktivierung wieder abgeglichen.
Wie kommen bestehende Websites zu Hive 3.0.0?
Websites mit 2.1.x aktualisieren sich selbst
Websites mit 2.1.74 oder einer älteren 2.1-Version haben 3.0.0 ein letztes Mal über den alten Update-Kanal erhalten. Diese Version enthält einen kleinen Umzugshelfer. Er stellt die Website auf Updates von wordpress.org um, entfernt den alten Update-Prüfer samt geplanter Aufgabe und behält jede Einstellung, Sperre, jeden Whitelist-Eintrag, jede 2FA-Methode, jeden Sicherheitsschlüssel und jede Audit-Zeile.
Gehört der Key einer Website zum Tarif Professional, Business oder Enterprise, lädt der Helfer beim nächsten geplanten Lauf ReportedIP Hive Pro herunter und aktiviert es, damit die bezahlten Funktionen ohne einen Klick weiterlaufen. Eine Website im Tarif Free oder Contributor sieht einen kurzen Hinweis, dass bezahlte Funktionen jetzt in einem eigenen Add-on stecken. Schlägt die automatische Installation fehl, etwa weil der Hoster Dateiänderungen sperrt, nennt der Hinweis den Grund und verweist auf den Download im Konto.
Websites mit Version 1.3 von wordpress.org aktualisieren wie gewohnt
Das frühere ReportedIP Hive Light nutzte im Verzeichnis denselben Slug, seine Websites erhalten 3.0.0 deshalb als normales Update. Die Daten kommen mit: Dauerhafte Whitelist-Einträge bleiben dauerhaft, freigegebene Adressbereiche und IPv6-Adressen greifen wieder, Zähler für Anmeldeversuche werden je Adresse zusammengeführt, und die Proxy-Header True-Client-IP und X-Cluster-Client-IP bleiben ausgewählt. Öffnen Sie danach den Schnellstart und wählen Sie Local Shield oder das Community Network.
Multisite-Netzwerke behalten die Daten jeder Website
Wo Version 1.3 in einem Netzwerk Website für Website aktiviert war, hatte jede Unterseite eigene Tabellen. Hive 3.0.0 wird netzwerkweit aktiviert und kopiert die Sperren, Whitelist-Einträge, Zähler und offenen Meldungen jeder Website in die Netzwerktabellen. Bei Doppelungen bleibt der länger gültige Eintrag, Zähler werden addiert, und die alten Tabellen bleiben als Sicherung, bis das Plugin mit Datenlöschung deinstalliert wird.
MainWP-Dashboards installieren das Add-on für Sie
Das kostenlose Plugin bringt die MainWP-Anbindung weiterhin selbst mit, Child-Sites brauchen also kein weiteres Plugin. Version 1.4.1 der ReportedIP-Erweiterung für das MainWP-Dashboard zeigt für jede Child-Site, ob das Add-on vorhanden ist, und installiert ReportedIP Hive Pro auf Websites mit bezahltem Tarif.
Fünf Voreinstellungen haben sich in 3.0.0 geändert
- Die Prüfung neuer Passwörter gegen bekannte Datenlecks ist aus, bis Sie sie einschalten. Eine Website, die von 2.x kommt, behält ihren gespeicherten Wert.
- Die Aktivierung schreibt nichts in die
.htaccess. Die Blöcke für Köderpfade und Uploads folgen erst einer Aktion von Ihnen, etwa dem Schnellstart oder dem Speichern des Schalters. Eine 2.x-Website mit abgeschlossenem Schnellstart behält ihre Blöcke. - Local Shield sendet keine Anfrage an reportedip.com, auch nicht mit gespeichertem Key, und die News-Karte lädt nur im Modus Community Network.
- Das Footer-Badge „Protected by ReportedIP“ bleibt aus, bis Sie es ankreuzen. Eine Website, die es schon zeigt, behält es.
- Jeder Hinweis lässt sich schließen. Ein kritisches Problem mit der Warteschlange oder der Einrichtung bleibt stehen, bis es behoben ist.
Wie haben wir Hive 3.0.0 gegen 2.1.74 getestet?
Die Regel für die Trennung war einfach: Das kostenlose Plugin und das Add-on zusammen müssen alles können, was 2.1.74 konnte. Ein automatischer Vergleich prüft jede Klasse, Methode, jeden Hook, jede Option, Datenbanktabelle, REST-Route, jeden WP-CLI-Befehl und jeden Test von 2.1.74 gegen die beiden neuen Plugins. Für 2.1.74 sind das 134 Klassen, 2.178 Methoden, 323 Hooks, 210 Optionen und 10 Tabellen. Der Lauf endet ohne eine einzige ungeklärte Lücke; jeder verschobene oder umbenannte Teil trägt eine schriftliche Begründung.
- Automatische Tests. Mehr als 2.000 Unit- und Multisite-Tests für das kostenlose Plugin und mehr als 650 für das Add-on, dazu 255 End-to-End-Tests in einem echten Browser auf einer Einzel-Website und in einem Multisite-Netzwerk.
- Jeder Update-Weg im Browser. 53 von 53 Abnahmetests liefen auf frischen Testinstallationen durch: 2.1.74 mit echten Daten auf 3.0.0 und das Add-on, Version 1.3.9 auf 3.0.0 auf einer Einzel-Website und in einem Netzwerk, jeder Tarif mit und ohne Add-on, ein Multisite-Netzwerk und ein Sicherheitsdurchlauf.
- Sicherheit nach dem Entfernen. Der Sicherheitsdurchlauf greift die Website mit dem kostenlosen Plugin allein an, mit dem Add-on und nachdem das Add-on gelöscht wurde: Brute Force auf den Login und auf Anwendungspasswörter, Firewall-Regeln in beiden Schichten, ein ausgefüllter Formular-Köder, Hide Login, die 2FA-Sperre beim Passwort-Zurücksetzen und eine gefälschte REST-Bestätigung. Das kostenlose Plugin hat in jedem Fall weiter geschützt.
- Plugin Check. Der offizielle Plugin Check von wordpress.org meldet für das Release-Paket 0 Fehler und 0 Warnungen.
Ist Hive 3.0.0 langsamer als 2.1.74?
Nein. Vor Beginn der Arbeit haben wir eine Grenze von 10 Prozent festgelegt und sieben Szenarien auf denselben Daten gemessen: 500.000 Protokollzeilen, 5.000 Sperren und eine Sperrliste von 1 MB. Zeiten auf einem geteilten Testrechner schwanken, deshalb haben wir die drei Varianten Runde für Runde auf einer Installation abgewechselt und den Median genommen.
| Szenario | Datenbankabfragen 2.1.74 | Kostenloses Plugin | Kostenloses Plugin und Pro | Zeit, kostenloses Plugin | Zeit, kostenloses Plugin und Pro |
|---|---|---|---|---|---|
| Startseite, anonymer Besucher | 36 | 31 | 36 | -4,0 % | -7,0 % |
| Schnelle 404-Anfragen | 36 | 31 | 36 | +8,4 % | +5,1 % |
| REST-API-Beitragsliste | 33,7 | 28,7 | 33,7 | -19,8 % | -3,5 % |
| Login-Flut | 35,6 | 28,6 | 35,6 | -17,7 % | -25,4 % |
| Anfrage von einer gesperrten Adresse | nicht gezählt | nicht gezählt | nicht gezählt | -42 % | -48 % |
| POST-Anfrage mit 64 KB | 36 | 31 | 36 | -10,3 % | -5,5 % |
| Admin-Dashboard | 60 | 54 | 56 | -3,7 % | +5,6 % |
Das kostenlose Plugin allein braucht bei jeder Anfrage fünf bis sieben Abfragen weniger als 2.1.74. Mit dem Add-on entspricht die Zahl im Frontend der von 2.1.74 und liegt im Dashboard um vier darunter. Die erste Messung ergab mit dem Add-on 66 Abfragen im Dashboard; das Add-on lädt seinen gespeicherten Zustand jetzt in einer Abfrage, und diese Korrektur ist Teil von 3.0.0.
Welche Daten verlassen die Website mit Hive 3.0.0?
Im Modus Local Shield keine, auch nicht mit gespeichertem Community Access Key. Im Community Network sendet das Plugin die angreifende Adresse, die Ereigniskategorie, die Uhrzeit, Name und Adresse der Website, die Zahl der Versuche und die Plugin-Version. Benutzernamen, Passwörter und Formularinhalte verlassen die Website nie. Das Add-on fügt eine Anfrage hinzu: Seine Update-Prüfung sendet den Key an reportedip.com und an niemanden sonst. Die Datenschutzseite der Dokumentation listet jede Anfrage und alles, was lokal gespeichert wird.
Ist der Quellcode von ReportedIP Hive offen?
Ja. Das kostenlose Plugin steht unter der GPL 2.0 oder später, und sein Code liegt wie bei jedem gelisteten Plugin im SVN des Verzeichnisses. Quelltext und Entwicklungsversion stehen auf der Plugin-Seite bei wordpress.org bereit. Seit 3.0.0 liefert der alte Update-Kanal keine Updates mehr aus.
Was kommt nach Hive 3.0.0?
Version 3.0.1 entfernt den Umzugshelfer. Er wird nur für den einen Schritt vom alten Update-Kanal zu wordpress.org gebraucht, und das erste Update aus dem Verzeichnis ersetzt ihn ohnehin. Deutsch ist in 3.0.0 enthalten. Übersetzungen für Französisch, Spanisch, österreichisches Deutsch und Deutsch in der Sie-Form sind vorbereitet und gehen an translate.wordpress.org, wo jeder sie prüfen und verbessern kann. Danach geht die Arbeit wieder an Funktionen, jetzt in zwei Plugins mit einem gemeinsamen Release-Plan.
Fragen zu Hive 3.0.0
Brauche ich das Pro-Add-on?
Nur in den Tarifen Professional, Business oder Enterprise. Das kostenlose Plugin schützt eine Website vollständig: Firewall, Login-Begrenzung, 2FA, Formularprüfung und das Community Network funktionieren ohne Add-on. Ohne bezahlten Tarif hat das Add-on nichts einzuschalten, und sein Paket wird nicht ausgeliefert.
Was passiert mit meinen bezahlten Funktionen, wenn das Add-on nach dem Update fehlt?
Sie pausieren, gelöscht wird nichts. Einstellungen, 2FA-Methoden, Sicherheitsschlüssel und Audit-Zeilen bleiben in der Datenbank, und Kontosperren setzt das kostenlose Plugin weiter durch. Laden Sie das Add-on in Ihrem reportedip.com-Konto herunter, laden Sie es unter Plugins hoch und aktivieren Sie es; jede bezahlte Funktion macht dort weiter, wo sie stehen geblieben ist.
Woher kommen Updates jetzt?
ReportedIP Hive aktualisiert sich von wordpress.org wie jedes Plugin aus dem Verzeichnis, automatische Updates eingeschlossen. ReportedIP Hive Pro aktualisiert sich mit Ihrem Community Access Key von reportedip.com und erscheint in derselben Plugin-Übersicht. Der Link zur Update-Prüfung in der Zeile des Add-ons erzwingt eine sofortige Prüfung.
Weiterlesen
Das letzte Release der 2.1-Reihe beschreibt der Beitrag zu Hive 2.1.72 und den Gruppensperren. Preise und Kontingente aller Tarife stehen auf der Preisseite.
Schützen Sie Ihre WordPress-Website mit Firewall, Login-Sicherheit, 2FA und Formularprüfung. Kostenlos aus dem WordPress-Plugin-Verzeichnis.