Beiträge von threadi

Die Updates kostet nie etwas. Ich hab allerdings auch immer eine gültige Lizenz, weiß nicht wie es ist wenn man die nicht hat. Da das ein kommerzielles Produkt ist, kann man das hier nur schwer selbst mal eben reproduzieren. Da lohnt sich eher eine Frage bei deren Support um solche Details zu klären.

Das URL Thema ist gelöst, ja - das passt. Allerdings sehe ich nun auch, dass Google Fonts und Google Tag Manager geladen werden bevor der Besucher dem zugestimmt hat. Das müsstest du ändern da du sonst Abmahnungen bekommen könntest. Wie das änderst hängt davon ab wie du beides eingebunden hast. Google Fonts würde ich empfehlen lokal im Hosting abzulegen. Viele Plugins, über die man sie einbindet, haben dafür Optionen. Für den Tag Manager brauchst du in jedem Fall ein Cookie Consent Tool.

Nein, das liegt nicht daran, dass es nicht im WordPress Repository ist sondern, weil die Entwickler von Avada das schlicht noch nicht (sinnvoll) eingebaut haben. Denn eigentlich sind auch Autoupdates für derartige Themes/Plugins möglich, auch ohne irgendwelche Hilfsmittel.

Meine Quelle: jahrelange Erfahrung mit Avada sowie die Entwicklung eigener kommerzieller Plugins, die sich per Autoupdate aktualisieren lassen. Auch ich habe in den letzten Wochen bei allen betroffenen Projekten die 2 Avada-Sicherheitslücken durch manuell ausgeführte Updates fixen müssen.

Das o.g. Theme Forest Plugin funktioniert nur, wenn man seine Lizenz über ThemeForest bucht. Wir nutzen eine Agenturlizenz von Avada selbst, wo das nicht möglich ist. Dieses Plugin haben wir daher nur bei einzelnen Kunden im Einsatz, die die Lizenz selbst gebucht haben, wo aber auch dort das Autoupdate nicht funktioniert hat. Auch hier ist meine Quelle wieder meine eigene Erfahrung damit in den letzten Wochen.

Meine Empehlung: den Avada Changelogs folgen und bei Sicherheitsupdates zeitnah manuell diese installieren. Hilfreich können auch Sicherheitsplugins sein, die über solche Lücken z.B. per Mail informieren auf die man dann auch schnell reagieren sollte.

Alternative: auf Avada verzichten. Das erfordert jedoch eine komplette Neueinrichtung des Projektes, was mit entsprechendem Aufwand verbunden sein mag.

Zitat

Ich habe zuerst bei wordpress angefangen, das ist richtig. Wie kann sich das jetzt auswirken?

Diese alte URL ist noch irgendwo im Projekt hinterlegt und wird auch bei der Ausgabe im Frontend verwendet. Die Wirkung ist

• a) deine Besucher rufen Inhalte deiner Website von mehreren Domains ab. Wenn diese alte irgendwann nicht mehr funktioniert, dann sehen sie die von dort ausgelieferten Inhalte (offenbar Bilder) nicht mehr.
• b) du deine Besucher in Bezug auf die Richtlinien der DSGVO über das Laden von Inhalten von anderen Domains informieren müsstest bevor sie geladen werden. Machst du das nicht, wäre deine Website abmahnfähig. Details dazu kann dir ein Anwalt sagen. Hier findet keine Rechtsberatung statt.

Die einfachste Lösung ist wie oben bereits von mir geschrieben:

Zitat

Solltest du anpassen, entweder manuell oder mit Hilfe von https://de.wordpress.org/plugins/better-search-replace/. Da du Elementor nutzt könnte das auch unter Elementor > Einstellungen > Werkzeuge > URL ersetzen möglich sein.

Und zu:

Zitat

Für die Änderung im Elementor brauch man ja - scheints - nur alte und neue URL eingeben, der Haken ist nur: ich kenne meine alte nicht mehr.

Deine aktuelle Domain mit wordpress. davor, wie oben schon geschrieben.

Also gelöst? Schaue ich mir deine Website an, dann wirkt sie gerade ziemlich "kaputt". Nur die Startseite und einige wenige Unterseiten haben sichtbare Inhalte. Den anderen Seiten fehlt offenbar der Inhalt.

Hast du die Website mal unter der Subdomain wordpress. begonnen zu bearbeiten? Die ist noch an vielen Stellen verlinkt. Solltest du anpassen, entweder manuell oder mit Hilfe von https://de.wordpress.org/plugins/better-search-replace/. Da du Elementor nutzt könnte das auch unter Elementor > Einstellungen > Werkzeuge > URL ersetzen möglich sein.

Deine Startseite hat übrigens keinen Seitentitel. Das ist doof für Suchmaschinen.

Zitat von GMBauer

Gibts denn irgendeine Lücke, die macht, dass ein externer sich anmelden kann?

Wenn es sie gäbe und jedem bekannt wäre, würde die Software gar nicht mehr genutzt werden.

Wenn du eine Lücke irgendwo vermutest, dann muss diese in von dir verwendeten Plugins oder Themes bestehen. Leider wissen wir hier nicht, welche Plugins und Themes du verwendest. Eine Empfehlung wäre jedes Plugin wie auch das Theme einzeln zu prüfen

a) ob du dessen aktuellste Version ist und wenn nicht, diese zu aktualisieren
b) ob das Plugin ggfs. gar nicht mehr vom Entwickler gepflegt wird. Ein lange Zeit nicht aktualisiertes Plugin oder Theme kann (muss aber nicht) Probleme verursachen.

Schau dir auch an, ob es in den Projekten individuelle Programmierungen gibt. Die o.g. SQL-Injektion wäre bei so etwas oft (nicht immer) sehr einfach möglich. Auch hier müsstest du schauen, ob das auf alle Projekte zutrifft. Achtung: solche individuellen Programmierungen können an verschiedenen Stellen zu finden sein: als individuelles Plugin, in der functions.php eines Child-Themes oder in einem Code-Snippet Plugin. Auch ein Must-Use-Plugin wäre dafür nutzbar.

Möglicherweise kannst du die Liste, die es zu Prüfen gilt, etwas einschränken, wenn du Gemeinsamkeiten zwischen den 15 Projekten herausfindest. Aber Vorsicht: das kann auch trügen. Denn es könnten auch mehrere unterschiedliche Plugins sein, die bei den Projekten für die Probleme zuständig sind.

Abseits von WordPress und auch wenn es Projekte in verschiedenen Hostings betrifft, würde ich auch schauen, ob ggfs. jeweils die Datenbank des Hosters öffentlich erreichbar ist. Das dürfte sie heute niemals sein, aber eine Prüfung ist es Wert.

Du sprichst irgendwie nur von den Plugins - wie sieht es mit dem eingesetzten Theme und WordPress selbst aus? Sind die aktuell? Insbesondere WordPress hatte mit wp2shell eine Sicherheitslücke am 17. Juli geschlossen, die seither extrem ausgenutzt wird.

Zitat

Wäre die automatische Aktualisierung aller Plugins besser?

Muss man immer individuell entscheiden. In deinem Fall, wo es reine Inhaltswebs sind und keine Shops, könnte ich mir automatische Aktualisierungen durchaus vorstellen. Da ist ja nichts geschäftskritischen drauf - das kritische ist eher, wenn sie gehackt werden.

Zitat

Welche Plugins gibt es, die mir hier helfen könnten? (Zugang "verriegeln" um BruteForce abzublocken?)

Sicherheitsplugins. Siehe: https://de.wordpress.org/plugins/tags/security/ - und nein, ich empfehlen von denen keines, da alles inzwischen ihre Arbeit gleichermaßen gut machen. Der Unterschied ist eher in der Bedienung zu sehen und ob man selbst damit klar kommt.

Zitat

Was ist die maximale Länge für Passwörter? (Alle Passwörter liegen bei mir in einzelnen Textdateien, die widerum in einer VeraCrypt-Datei liegen. Die mache ich nur bei Bedarf auf.)

Darüber würde ich mir ehrlich gesagt weniger Gedanken machen. Eines der o.g. Sicherheitsplugins kann dir das Handling der Passwörter in WordPress abnehmen.

Was ich auch noch empfehlen würde: ändere alle Passwörter im Hosting selbst. Nicht nur vom FTP sondern auch vom Hostingzugang. Ändere auch alle sonstigen Passwörter die du selbst in der Hand hast.

Wenn dann tippe ich eher auf das Plugin was den Darkmode bereitstellt.

Du kannst die Ursache aber auch nur selbst in deinem Browser untersuchen. Mit der Taste F12 die Entwicklerkonsole öffnen und schauen, welcher Stil an welchem Element den weißen Hintergrund bei dir verursacht. Möglicherweise erkennt man dort dann auch woher die Eigenschaft kommt. Gerne kannst du davon auch einen Screenshot zeigen.

Du hast in der Menüleiste einen Button um den Darkmode zu aktivieren. Bei mir war der initial nicht gesetzt, so dass bei mir die ganze Seite weiß war. Sobald ich den setzte, sah es so aus wie in deinem Screenshot 33. In deinen Screenshots ist der Button leider nicht zu sehen - prüfe mal welchen Status du bei diesem hast.

Wie gesagt, du kannst die Plugins auch auf anderen Wegen öffentlich bereitstellen und bewerben. Das machst du auf deiner eigenen Website schon, nur kennt die halt keiner. Bei GitHub wären sie besser aufgehoben, da manch einer tatsächlich erst dort sucht. Ist primär eine Frage der Vermarktung deiner Plugins und von dir selbst.

Zitat von czoczo

Ich muss mir das noch mal durch Kopf gehen lassen und zu Test ein paar dort hin schicken

Nein, das solltest du genau nicht machen. Die Einreichung eines Plugins muss Ernsthaft sein. Kein Test. Kein Versuch. Sondern weil DU es willst und auch gleichzeitig sicher bist, dass dein Plugin die notwendige Qualität erfüllt.

Bedenke: diejenigen, die diese Einreichungen kontrollieren machen das freiwillig, die meisten in ihrer Freizeit. Derzeit prüfen sie rund 800 neue Plugins pro Woche. Irgendwelche Test-Einreichungen führen nur dazu, dass diese Liste noch länger wird.

Bedenke auch: auffällige Plugins, abgelehnte Plugins und auch eine mühselige Kommunikation zur Einreichung des Plugins, kann dazu führen, dass du keine weiteren Plugins einreichen werden darfst. Also einfach etwas zu versuchen, bringt hier wenig. Du musst es auch wollen.

Und wie du hier an der Rückmeldung bereits siehst: KI-generierte Plugins sind gar nicht gern gesehen. Das kommt natürlich auf den Anwender an, aber es gibt nicht wenige die so denken. Zum Glück leben wir in einem Meinungspluralismus

Auch ich bin bei solchen KI-Plugins äußerst skeptisch. Habe mir eben mal dein "czoczo Beitrags Filter" angeschaut. Ist an sich eine super Idee Es besteht nur aus einer Datei mit 120 Zeilen, die jedoch die Qualitätsanforderungen vom Repository nicht erfüllen. So wie es jetzt ist, würde schon der automatische Test es beim Einreichen ablehnen.

Du kannst eigene Plugins jederzeit im WordPress Repository einreichen. Das geht hierüber: https://wordpress.org/plugins/developers/add/ - beachte jedoch, dass die Plugins dazu einige Qualitätsansprüche erfüllen müssen. Ein rein mit KI geschriebenes Plugin wird durch das Plugin Team daher auch sehr schnell abgelehnt, da es oft die Qualität nicht erreicht. Die Plugin Guidelines müssen 100%ig erfüllt werden.

Alternativ dazu kannst du natürlich dein Plugin auch abseits des offiziellen Repositories bereitstellen, z.B. auch auf deiner eigenen Website. Hier ist jedoch eher fraglich, ob das durch jemanden gefunden wird und ob es abseits davon wirklich ein Mehrwert für die Community wäre. Ein möglicher Weg wäre auch das FAIR-Projekt, was aber leider auch recht unbekannt ist in der Community.

Wenn du Unterstützung bei der Entwicklung von Plugins benötigst, kannst du dir auch jemanden suchen, der dich dabei unterstützt. Bei reinen Community-Plugins lohnt es sich den Quellcode einfach öffentlich bereitzustellen, z.B. bei https://github.com.

Wie ich zu diesen Tipps komme? Ich habe selbst seit vielen Jahren 17 Plugins im WordPress Repository, welche inzwischen von mehreren tausend Anwendern genutzt werden.

Zitat von R560073

Jetzt eine Frage, vielleicht liegt es am Theme, ich nutze "Oceanwp"
Würde gerne mit denen Kontakt aufnehmen, doch das geht im kostemloden Fall nicht.
Hast du dazu eine Idee?

Den Support für das Thema OceanWP findest du hier: https://wordpress.org/support/theme/oceanwp/ (falls es daran liegen sollte, die werden dich das gleiche Fragen und Bitten wie wir hier)

Seit fast 10 Jahren gibt es in Leipzig das regionale WordPress Meetup. Hier tauscht man sich alle 2 Monate zu einem Thema aus, zu dem jemand einen Vortrag hält oder etwas präsentiert. In den anderen Monaten gibt es die Werkstatt, wo jeder mit seinem WordPress-Problem kommen kann und wir lösen es gemeinsam. Klappte bisher auch sehr gut

Aus dem Meetup heraus entstand das berühmte wie auch beliebte WordCamp Leipzig, zu dem wir inzwischen jährlich fast 100 Menschen in der Messestadt willkommen heißen. Ich bin seit nicht langer Zeit sowohl Organizer beim Meetup als auch beim WortCamp.

Am kommenden Dienstag ist beim Meetup wieder eine Präsentation dran. Bei seinem sprichwörtlich jährlichen Besuch zeigt Simon Kraft, Product Manager bei Patchstack, worauf Entwickler beim Cyber Ressiliance Act achten müssen und wie Anwender ihr Website absichern können und sollten. Details: https://www.meetup.com/leipzig-wordpr…ents/312269382/

Vorschau: beim Oktober-Meetup halte ich einen Vortrag zu WooCommerce und im Dezember geht es voraussichtlich wieder um KI.

Die Meldung deutet i.d.R. auf einen serverseitigen Fehler hin. Das wird meist durch ein Plugin oder auch das Theme verursacht. Den müsstest du finden. Der erste Weg wäre die Error-Log von deinem Hoster. Wenn du die nicht selbst finden kannst, frag deren Support.

Alternativ kannst du auch wie hier beschrieben das Debugging in WordPress aktivieren: https://developer.wordpress.org/advanced-admin…ebug-wordpress/ - dadurch wird eine debug.log erzeugt in der das gleiche stehen sollte wie in der Error-Log. Anhand dieser Angaben müsstest du sofort den schuldigen finden können.

Falls dir das beides zu technisch ist, kannst du auch im Ausschlussprinzip versuchen den schuldigen zu finden. Deaktiviere alle Plugins und prüfe, ob es dann geht. Wenn ja, war eines der Plugins Schuld und du kannst durch einzelnes aktivieren diesen finden.

Hallo Frank,

den Anhang von deinem Beitrag hab ich wieder gelöscht, da er deine E-Mail-Adresse öffentlich zeigte.

Und um konkret zu sein, ist deine Website gehackt wurden. Nicht WordPress an sich, denn du hast eine Einzelinstallation, die bei Strato gehostet wird. Auf welchem Weg diese gehackt wurde, kann man ohne sie zu sehen und zu kennen natürlich nicht beurteilen. Meist hängt es jedoch Plugins zusammen, die nicht aktualisiert wurden.

Um das zu lösen, ist der einfachste Weg ein sauberes Backup einzuspielen. Dazu bietet dein Hoster Strato auch eine Anleitung an: https://www.strato.de/faq/hosting/so…er-homepage-zu/

Sollte Strato jedoch kein Backup deiner Website haben, dann hast du nur noch 2 Möglichkeiten:

• Such dir jemanden, der die Website für dich bereinigt. So jemanden findest du z.B. in der Jobbörse hier im Forum: Jobs & Aufträge
• Oder bau sie komplett neu auf. Möglicherweise kannst du einzelne Inhalte über https://web.archive.org suchen, dort werden ab und zu Kopien aller Websites gespeichert. Von deiner ist eine Kopie vom März da: https://web.archive.org/web/2026041820…ank-stramm.com/ - ja, sieht scheiße aus, weil eben nur die Inhalte gespeichert sind, nicht das Styling.

Sobald du wieder eine Website hast, egal auf welchem der 3 Wege, solltest du unbedingt dran denken regelmäßig Updates zu machen und deine Website auch abzusichern. Dein Hoster Strato hilft hierbei aus meiner Erfahrung leider so gar nicht - eher im Gegenteil.

Übrigens haben wir in Leipzig auch monatliche WordPress Meetups, wo man bei Fragen zu WordPress vorbeikommen kann. Das nächste ist in 2 Wochen: https://www.meetup.com/leipzig-wordpr…ents/312269382/

Solche Blockierungen bereiten auch mehr Mühe als es sich lohnt. Es gibt sehr viele derartige Tools, willst du alle aussperren? Das geht faktisch nicht, weil es keine komplette Liste gibt und diese sich auch (ähnlich wie KIs) laufend ändert.

Und wie schon geschrieben, ist es sehr leicht anhand des Quellcodes oder auch der REST API und anderen Dingen herauszubekommen, wie ein Projekt konfiguriert ist. Per se ist das auch gar kein Sicherheitsproblem für das Projekt. Bots, die Angriffe laufen lassen, gucken gar nicht nach sowas sondern hacken einfach drauf los - und stoßen, wenn eine vermeintliche Lücke doch nicht existiert, halt auf einen Fehler und versuchen das nächste. Die gucken nicht nach "was ist". Aus dem Grund hilft auch jegliche Anonymisierung/Pseudonomisierung der Website imho nichts.

Ich würde mir daher darüber gar nicht so viele Gedanken machen. Wichtiger ist, dass du deine Projekte regelmäßig aktualisierst und ein Sicherheitsplugin oder vorgeschaltete Firewall im Einsatz hast um Angriffe abzuwehren.

Gibts heute Abend schon in Form des WordPress Meetup Online DACH Nach der Abarbeitung des Themas kommt man oft noch locker ins Gespräch. Allerdings sind es halt sehr viele Anwesende, eine kleine Runde wäre auch mal nett - man muss nur auch Themen haben um die Gefahr zu minimieren sich anzuschweigen

Was bei einigen auch beliebt ist, ist GeneratePress. Habe damit auch schon bischen zu tun gehabt und find es gut. Für ein Projekt hats noch nicht gereicht. Die Pro sollte man aber in jedem Fall holen.

Gleich mal vorweg: underscore ist ein Automattic-Projekt was vor rund 2 Jahren eingestellt wurde. Da wird nie wieder ein Update kommen. Siehe: https://github.com/automattic/_s

Deine Frage kann man aber gar nicht allgemeingültig beantworten. Jeder muss hier seinen eigenen Weg finden und gehen. In der WordPress-Welt ist das zum Glück alles machbar, da es eine Vielfalt als Möglichkeiten gibt. Und wie medienkobold eben schon schreibt: alles hat seine Daseinsberechtigung. Irgendetwas pauschal zu verteufeln mag auch ich nicht.

Mir ist das Theme in von mir erstellten Projekten inzwischen ziemlich egal. Ich wähle je nach Projekt aus was in Frage kommt - oder baue es einfach auch selbst. In den letzten Jahren habe ich so Kontakt mit dutzenden PageBuildern und dazu passenden Themes gehabt. Ehrlich gesagt meist wird aber mit Elementor etwas umgesetzt, ab und zu sogar mit Avada - ich bevorzuge inzwischen jedoch den Block Editor, mit dem aber meine Kollegen nicht klar kommen. Bei allen sind mir die jeweiligen Grenzen bewusst, was letztlich auch eine Entscheidungsgrundlage für das eingesetzte Theme ist.

Bricks find ich auch ziemlich gut gelungen, hab damit aber leider noch kein Projekt umsetzen können, nur Widgets dafür gebaut.

Mit Divi bin ich noch nie warm geworden. Es wirkt in Version 4 auf mich viel zu chaotisch - der Code ist einer der schlechtesten den ich kenne. Divi 5 macht es nicht besser, ist es doch eigentlich nur ein grafisch veränderter Block Editor. Hab dazu auch mal meine Meinung kundgetan. Wird für mich auch künftig nicht in Frage kommen, aber ich kann wiederum verstehen wieso es manche Anwender bevorzugen.