WordPress-Zustand: Was wp-admin Ihnen nicht sagen kann
WordPress ist mit Abstand das, was auf unseren Servern am häufigsten installiert wird, und auch das, was wir am häufigsten prüfen müssen, wenn etwas schiefläuft. Über die Jahre haben wir eine Methode entwickelt, eine Installation von außen zu betrachten, die uns im Support sehr geholfen hat, und es ergab für uns keinen Sinn, dass sie nur auf unserer Seite bleibt. Deshalb haben wir sie in den Kundenbereich gebracht, und sie ist kostenlos.
Zuerst sollte man sagen, was sie nicht ist: Wir wollen nicht wiederholen, was Ihnen wp-admin bereits sagt. WordPress hat seit Version 5.2 einen eigenen Bildschirm zum Website-Zustand und weist Sie dort schon auf ausstehende Updates hin. Das zu wiederholen wäre Rauschen, und früher oder später würden wir ihm widersprechen, was noch schlimmer ist.
Wir haben das Gegenteil getan: Wir sagen Ihnen, was WordPress selbst nicht wissen kann. Denn wp-admin schaut aus der Installation heraus, und wir schauen vom Server aus.
Was wir wissen, ohne dass Sie etwas anfordern
Für jede Ihrer Websites wissen wir bereits, auf welcher WordPress-Version sie läuft und mit welcher PHP-Version, und das sehen Sie, sobald Sie den Bildschirm öffnen. Wir lesen es einmal am Tag mit einem grep auf eine Textdatei aus, ohne etwas zu starten, sodass es in Ihrem Konto absolut keine Ressourcen verbraucht.
Und was wir prüfen, wenn Sie das Audit anfordern
Wenn Sie eine Ihrer Websites öffnen und ihr Audit anfordern, prüfen wir vier Dinge, die Sie in keinem WordPress-Panel finden.
Ob die Core-Dateien die offiziellen sind. Wir vergleichen sie einzeln mit der Liste der Prüfsummen, die WordPress.org veröffentlicht. Taucht eine veränderte Datei auf oder eine zusätzliche in wp-admin oder wp-includes, gibt es dafür keine harmlose Erklärung. Das ist eines der deutlichsten Anzeichen dafür, dass jemand eingedrungen ist, und WordPress kann es von innen nicht erkennen, weil der Angreifer meist genau die Dateien verändert, die Alarm schlagen würden.
Ob ein aktives Plugin seit Jahren nicht mehr von seinem Autor gepflegt wird. Das halten wir für eine der nützlichsten Prüfungen, denn in wp-admin sieht ein verwaistes Plugin genauso aus wie ein aktuelles: Da es nie ein ausstehendes Update haben wird, erscheint es in keiner Warnliste. Aus Erfahrung wissen wir, dass Angreifer meist genau hier eindringen. Deshalb gleichen wir es mit wordpress.org ab und sagen Ihnen, seit wann niemand mehr daran gearbeitet hat.
Ob ein Sicherheitspatch seines eigenen Zweigs fehlt. Das ist etwas anderes als eine neue Hauptversion, und es lohnt sich, beides zu unterscheiden: Der Patch des Zweigs enthält nur Sicherheitskorrekturen und ändert nichts an Ihrer Website, während der Wechsel auf einen neuen Zweig ein altes Plugin durchaus beeinträchtigen kann. Wer beides zusammen sieht, verschiebt am Ende beides.
Was Ihre wp-config.php sagt. Ob das Debugging nach der Behebung einer Störung eingeschaltet geblieben ist, ob der Code-Editor von wp-admin noch offen ist oder ob ein Wartungsmodus von einem abgebrochenen Update hängen geblieben ist und Ihre Website unsichtbar macht.
Wir sagen es Ihnen nicht nur: Sie können es direkt dort beheben
Ein Panel, das nur diagnostiziert, bleibt aus unserer Sicht auf halbem Weg stehen und wird zu einem Bericht, der Sie mit dem Problem allein lässt. Deshalb steht neben jedem gefundenen Punkt die Schaltfläche, die ihn behebt.
Auf demselben Bildschirm können Sie Plugins und Themes aktualisieren, aktivieren, deaktivieren oder löschen, den Sicherheitspatch des Zweigs einspielen, den Code-Editor abschalten, die Website aus dem Wartungsmodus holen und alle offenen Sitzungen Ihres WordPress beenden. Letzteres macht man nach einem Einbruch, um den Eindringling hinauszuwerfen, und bisher mussten Sie uns darum bitten.
Beim Löschen sind wir etwas vorsichtiger und fragen vorher nach, denn es ist das Einzige auf der Liste, das sich nicht rückgängig machen lässt: Die Dateien lassen sich neu installieren, aber die Konfiguration, die das Plugin in Ihrer Datenbank hinterlassen hat, kommt nicht von selbst zurück.
Den Core neu installieren
Wenn die Core-Dateien nicht mit den offiziellen übereinstimmen, können Sie ihn direkt dort neu installieren. Dabei überschreiben wir wp-admin, wp-includes und die PHP-Dateien im Stammverzeichnis mit den offiziellen Dateien Ihrer Version, ohne Ihr wp-content oder Ihre Datenbank anzurühren. Ihre Themes, Plugins, Uploads und Inhalte bleiben also genau dort, wo sie sind. Bevor wir etwas überschreiben, speichern wir sicherheitshalber eine Kopie des aktuellen Cores in Ihrem eigenen Konto.
Einen Hinweis geben wir Ihnen lieber vorher als nachher: Eine Neuinstallation des Cores heilt keinen Einbruch. Die Hintertür steckt meist gerade in wp-content, wo wir nicht eingreifen. Wenn Ihnen das passiert ist, schreiben Sie uns, und wir sehen es uns gemeinsam mit Ihnen an. Wir sagen es Ihnen lieber, als dass Sie sich bei offener Tür in Sicherheit wiegen.
Warum einmal pro Woche
Das Audit läuft für eine Website nach der anderen, und einmal pro Woche. Das ist kein Geiz unsererseits, und wir halten die Begründung für vernünftig: Diese Prüfung startet PHP in Ihrem eigenen Konto und verbraucht Ihre CPU, dieselbe, die Ihre Website ausliefert. Sie jeden Tag von uns aus auf allen Installationen laufen zu lassen, hieße, Ihre Ressourcen zu verbrauchen, um eine Frage zu beantworten, die Sie nicht gestellt haben.
Was sich von einem Tag auf den anderen tatsächlich ändert, nämlich die Core-Version, lesen wir bereits kostenlos und täglich aus. Diese Angabe haben Sie also gleich daneben, ohne auf etwas warten zu müssen.
Und wenn Sie sich nicht selbst darum kümmern möchten
All das ist kostenlos und dafür gedacht, dass Sie hineinschauen, nachsehen und klicken, wann immer Sie möchten. Wenn Sie lieber gar nicht hineinschauen müssen, ist das Proactive+: Der Unterschied liegt nicht darin, was sich tun lässt, sondern darin, wer es tut und wie oft.