Security Check Report
Ein rein lesendes Konfigurations-Audit für WordPress. 60 Prüfungen, eine Note von A bis F und ganz oben die fünf Maßnahmen, die Sie zuerst angehen sollten.
Kostenlos · GPLv2 · Keine Pro-Version · Keine Telemetrie
Was das Plugin macht
Security Check Report liest die Konfiguration Ihrer WordPress-Installation und bewertet sie in 60 Prüfungen. Das Ergebnis ist eine gewichtete Note von A bis F, ein Risikowert und eine Liste von höchstens fünf Maßnahmen, abgeleitet aus Dringlichkeit und Punktzahl. Erst darunter folgt die vollständige Liste aller Befunde.
Wer schon einmal vor einem Security-Report mit 60 Zeilen saß und nicht wusste, wo anfangen, kennt das Problem, das diese Liste löst. Genau in diesem Moment bleiben Reports sonst ungelesen.
Der Report nach dem ersten Lauf: Note, Risikowert und die fünf wichtigsten Maßnahmen.
Was es nicht ist
Damit Sie das richtige Werkzeug für die richtige Aufgabe wählen: Dieses Plugin ist ein Audit, kein Schutzschild. Eine Firewall schützt vor dem, was hereinkommt. Dieses Plugin prüft, was schon offen steht.
| Keine Firewall | Es blockiert nichts und fängt keine Requests ab. |
| Kein Malware-Scanner | Es vergleicht Core-Dateien mit den offiziellen Prüfsummen und sucht injizierten Code in der Options-Tabelle. Es durchsucht keinen Plugin- oder Theme-Code nach Signaturen und entfernt nichts. |
| Keine Schwachstellen-Datenbank | Es meldet, wenn ein Plugin veraltet, verwaist oder aus dem Verzeichnis entfernt wurde. Einzelne CVEs schlägt es nicht nach. |
| Kein Auto-Fixer | Jeder Befund kommt mit einer Anleitung. Umsetzen müssen Sie selbst, oder Sie geben es an jemanden, der das täglich macht. |
| Kein Sicherheitsversprechen | Note A heißt: nichts Wesentliches offen. Es heißt nicht: sicher. |
Die fünf Prüfgruppen
60 Prüfungen, aufgeteilt in fünf Gruppen. Jede Prüfung bringt eine eigene Erklärung mit: was geprüft wird, warum das wichtig ist und was zu tun ist.
| Gruppe | Prüfungen |
|---|---|
| Core und Erweiterungen | 13 |
| Konfiguration | 14 |
| Dateien und Rechte | 13 |
| Konten und Zugriff | 7 |
| Netzwerk und Transport | 13 |
Alle Prüfungen, gruppiert und filterbar. Jeder Befund lässt sich aufklappen und zeigt Details und die passende Maßnahme.
Was es anders macht
Es sagt, was zuerst zu tun ist
Oben im Report stehen höchstens fünf Maßnahmen, abgeleitet aus Dringlichkeit und Punktzahl, deterministisch und ohne KI. Die vollständige Befundliste kommt erst danach.
Es sagt, was sich seit dem letzten Mal geändert hat
Ab dem zweiten Lauf zeigt der Report, was neu fehlgeschlagen ist, was behoben wurde und was sich verändert hat. Der zweite Lauf ist der Moment, in dem die meisten Werkzeuge langweilig werden. Hier wird er interessanter.
Es rät nicht
Wenn eine Prüfung keine Antwort bekommt, etwa weil ein ausgehender Request blockiert ist, lautet das Ergebnis: nicht feststellbar. Das fließt nicht in die Note ein, weder positiv noch negativ. Andere Werkzeuge melden bei einem Timeout ein Problem. Das erzeugt Fehlalarme, und Fehlalarme bringen Leute dazu, den ganzen Report zu ignorieren.
Stummschalten, das von selbst zurückkommt
Einen akzeptierten Befund können Sie stummschalten. Das Plugin merkt sich dabei einen Fingerabdruck dessen, was gemeldet wurde. Ändert sich der Inhalt, taucht der Befund wieder auf. Das ist der Unterschied zwischen davon wissen und blind dafür geworden sein.
Inventar der Application Passwords
Welche Application Passwords existieren, wann erstellt, wann zuletzt benutzt, von welcher IP. Application Passwords umgehen die Zwei-Faktor-Authentifizierung per Design. Ein nie benutztes von vor zwei Jahren bei einem Admin-Konto ist der eigentliche Befund, nicht die Frage, ob die Funktion aktiviert ist.
Transparenz: was das Plugin schreibt und wohin es sich verbindet
Das Plugin arbeitet rein lesend, mit genau einer Ausnahme, die wir lieber selbst erklären: Es legt während des Laufs eine temporäre PHP-Datei im Uploads-Ordner an und löscht sie im selben Request wieder. Nur so lässt sich zuverlässig feststellen, ob Ihr Server dort PHP ausführen würde. Genau diese Einstellung macht aus einer Upload-Lücke eine Übernahme der Website, deshalb ist sie die wichtigste Härtungsmaßnahme überhaupt.
In der Datenbank speichert es vier Optionen (letzter Lauf, vorletzter Lauf, stummgeschaltete Befunde, Baseline) und einen Login-Zeitstempel pro Konto im User-Meta. Beim Deinstallieren wird alles entfernt.
Externe Verbindungen gibt es ausschließlich zu api.wordpress.org und zur eigenen Site. Telemetrie gibt es keine, es werden also keine Daten an uns gesendet.
Installation
Sie finden das Plugin im offiziellen WordPress-Verzeichnis: in Ihrem WordPress-Admin unter Plugins, Installieren, Suche nach Security Check Report. Oder direkt unter wordpress.org/plugins/security-check-report.
Voraussetzungen: WordPress ab 7.0, PHP 7.4 bis 8.5. Das Plugin ist kostenlos, steht unter GPLv2, und es gibt keine Pro-Version und keinen Upsell im Plugin. Es bewirbt keine Dienstleistung, zeigt keine Werbung und funktioniert vollständig ohne Kundenbeziehung.
Warum es dieses Plugin gibt
Das ist die Checkliste, die wir bei jedem Wartungskunden abarbeiten. Wir haben sie in ein Plugin gepackt und verschenkt.
Das Werkzeug ist an echten Kundensites gewachsen. Wenn Sie die Befunde nicht selbst abarbeiten wollen, wissen Sie jetzt, wen Sie fragen können.