Um schreiben oder kommentieren zu können, benötigen Sie ein Benutzerkonto.
Sie haben schon ein Benutzerkonto? Melden Sie sich hier an.
Jetzt anmeldenHier können Sie ein neues Benutzerkonto erstellen.
Neues Benutzerkonto erstellenZitat von JABA-HostingIn den obigen Test waren wir die schnellsten.
Mit einer leeren WordPress Installation...
Inzwischen ist auf dem Testserver eine normale WordPress Installation, offenbar durchoptimiert von den hauseigenen WordPress Experten mit Redis Object Cache, Autoptimize, externen CDNs, aktuelles Ergebnis:
TTFB 1.2 Sekunden, Fully Loaded Time 14.4 Sekunden.
https://gtmetrix.com/reports/test-wp.jabahosting.de/WuF8BsiD/
Vermutlich handelt es sich in diesem Fall um die hier beschriebene Sicherheitslücke im Epsilon Framework, das in Deinem relativ alten Sparkling Theme in einer möglicherweise angreifbaren Version vorhanden ist.
Du kannst versuchen, aus den diesbzgl. Änderungen in den anderen genannten betroffenen Themes (dort sind einige mit dem gleichen Autor/Hersteller wie Dein Theme) eine nötige Änderung im Epsilon Framework in Deinem Theme abzuleiten oder den Theme Autor/Hersteller nach einem diesbzgl. Update für Sparkling zu fragen.
Am Rande bemerkt: WordFence und NinjaFirewall sollte man nicht parallel betreiben, die hebeln sich ggf. gegenseitig aus. Vendidero Helper scheint sehr alt zu sein. Contact Form 7 nutzt inzw. ReCaptcha v3.
ZZt verwende ich ein PopUp das sich sofort öffnet
Hast Du Dir schon die Einstellungen des aktuellen Plugins angesehen? Bei Popup Events kann man lt. dem 2. Screenshot in der Pluginbeschreibung ein Delay (Verzögerung) einstellen.
... und würde auch gerne eine bessere Ladezeit haben. ...
Am besten erstmal grundlegende Dinge dazu in WordPress ansehen:
Ein Teil der Ladezeit kommt vom Steady for WordPress Plugin, das Scripts von externen Servern einbindet, ebenso wie vom Google Tag Manager. Hier wird auf externe Server gewartet bevor überhaupt der Seiteninhalt erreicht wird. Beide Plugins laufen egal was in der Borlabs Cookies Auswahl angewählt wird.
Das Abschalten des Google Tag Manager Trackings in der Datenschutzerklärung funktioniert am Rande bemerkt nicht, dort werden Shortcodes, die evtl. dafür gedacht waren, im Klartext anzeigt, zB. [FONT=Courier New][google_analytics_optout][/FONT].
Ein weiterer Teil der Ladezeit kommt von den Google Webfonts, auch hier wird auf externe Server gewartet, die könnte man auch lokal laden, hier eine kleine Anleitung für Dein Divi Theme.
Dieser aus dem o.g. Contact Form 7 Blog kopierte Code sollte so nur für Validation von E-Mail Feldern [FONT=Courier New]your-email[/FONT] und [FONT=Courier New]your-email-confirm[/FONT] verwendet werden.
Für eigene Eingabefelder sollte man den Code noch wie im Blogbeitrag beschrieben auf a) den Feldtyp des Eingabefeldes im Filternamen [FONT=Courier New]wpcf7_validate_ + {type of the form-tag}[/FONT] und b) natürlich auch den/die Namen des validierten Feldes bei Vergleich mit [FONT=Courier New]$tag->name[/FONT] anpassen.
Der Artikel ist vom December 26, 2020 ...
Und im Artikel steht:
The Contact Form 7 privilege escalation vulnerability was patched by the original developer in version 5.0.4.
Diese Lücke von 2018, die auch seit 2018 behoben ist, dürfte mit dem Fall von @Metasequoia eher nichts zu tun haben.
Aber z.B. auch ein Theme, das leider seit Januar nicht mehr aktualisiert wurde...
Welches Theme, welche Version? Und welche sonstigen weiteren Plugins sind installiert?
Das kannst du hier nachlesen: https://www.malcare.com/blog/contact-form-7-vulnerability/
Die dort beschriebene Lücke wurde vor über 3 Jahren in Contact Form 7 Version 5.0.4 behoben.
Du könntest für die entspr. Felder eine eigene Validation verwenden und darin Deine andere Datenbank prüfen o.ä., siehe älterer Blogbeitrag des Contact Form 7 Autors.
Auch aktuelle Software kann Sicherheitslücken haben.
Zudem zeigt WordPress z.B. in der Plugins Liste leider keine besonderen Hinweise an, falls ein Plugin z.B. schon seit Jahren nicht mehr aktualisiert oder auch aus dem Plugin Repository entfernt oder dort gesperrt wurde. Das sollte man regelmässig selbst prüfen. Das gleiche gilt für Themes. Viele Betreiber von WordPress Seiten wissen das nicht und wiegen sich in trügerischer Sicherheit.
Es gab dazu schon diverse Tickets im WordPress Core, z.B. hier vor 7 Jahren, gelöst wurde das bisher nicht, aktueller Stand mit ähnlichem Bezug in diesem Ticket, das mit WordPress 5.7 kommen sollte, dann aber doch nicht kam.
Aber ich wüsste echt gern, was da passiert ist...
TL;DR: Der Website wurde gehackt. Alles auf dem Server inkl. Datenbank ist als kompromitiert zu betrachten.
Jemand hat eine Sicherheitslücke in Deinem Theme oder in einem Plugin oder in WordPress oder auf noch andere Art und Weise ausgenutzt, um (mindestens) einen neuen Benutzer als "Administrator" anzulegen. Das ist bei WordPress ein Super-GAU.
Das nachträgliche Installieren von z.B. Ninja Firewall ist nicht ausreichend, es beseitigt nicht die Sicherheitslücke, ein ggf. vorhandener Hack kann so ein Plugin nach Belieben unterlaufen bzw. umgehen.
Das allgemeine Vorgehen bei einem Hack ist z.B. hier beschrieben, das könntest Du mit jemandem mit WordPress Erfahrung bei Dir im näheren Umfeld zusammen durchgehen.
Dabei am Wichtigsten wäre, die für den Hack genutzte(n) Lücke(n) zu ermitteln, damit das nicht wieder passiert.
Liegt vermutlich eher/auch daran, dass das Bild responsive eingebunden wird und daher bei Grössenänderungen je nach Bildschirmbreite die Koordinaten nicht mehr stimmen. Als wir früher Image Maps benutzt haben, haben wir dieses Problem mit jQuery RWD Image Maps gelöst.
Ergänzung: Gelöst ist das Problem noch nicht. Sobald das aktuell sichtbare Bild durch verkleinern des Browserfensters kleiner wird, stimmen die beiden aktuell eingegebenen Koordinaten nicht mehr. Die Koordinaten sind absolute Pixel und nicht relativ zur tatsächlich angezeigten Bildgrösse. Du brauchst noch sowas wie das o.g. jQuery RWD Image Maps.
Wenn das Thema für den Fragesteller schon längst geklärt ist - das technische Problem ist schon lange auf seine Seite gelöst ...
Woher weisst Du, dass das Problem gelöst ist? Wie wurde es gelöst? Spätere Mitleser mit ähnlichen Problemen sollen daraus lernen können.
Der Fragesteller hat sich bislang nicht dazu geäussert, letzter Stand:
... ich weiß absolut nicht wo ich ansetzten soll um das Problem zu lösen ...
Jeder soll gern zur Lösung von Problemen beitragen, wenn aber wie hier sinnfreie Behauptungen in den Raum gestellt werden, ist es nur im Sinne des Fragestellers und auch späterer anderer Mitleser, diese Behauptungen zu hinterfragen (#10) bzw. die gegenteiligen Tatsachen und Zusammenhänge klarzustellen (#12).
Wenn man das behauptet
... das Plugin Autoptimize ist falsch eingestellt und das Super Cache Plugin muss entfernt werden ...
dann sollte man dem Fragesteller schon auch mitteilen können, was falsch ist und warum etwas entfernt werden muss.
ich möchte von meiner Wordpress Webseite eine externes Programm starten.
Wo ist dieses Programm?
Kann man alles gut und DSGVO-konform mit MailPoet erledigen.
Zur DSGVO Konformität gibt es durchaus unterschiedliche Ansichten und ganz so einfach geht das nicht, sollte man mit einem entspr. Rechtsanwalt besprechen.
Evtl. läuft irgendein Script o.ä. nicht richtig, wenn man nicht angemeldet ist.
Wird ein Cache- oder Minify- oder anderes Optimierungsplugin für Grafiken o.ä. verwendet? Falls ja, deaktiviere das/diese Plugin(s). Ändert das etwas?
Was steht bzw. erscheint in der Brower Console (google) wenn du die Seite ohne Login aufrufst?
Mit diesem Plugin verschwindet damit der Seitentitel und der Strich:
Content Options
- Hide Post / Page Header
Evtl. war das nicht angehakt. Es verschwindet damit dann aber auch das Beitragsbild, falls eines gesetzt ist, das kam in der Fragestellung nicht vor.
Auf Seiten mit Beitragsbildern erscheint der Strich nicht, auf Seiten ohne Beitragsbild kannst Du das hier verwenden, in Verbindung mit der von Dir bereits gefundenen Breite des Strichs.
Content Options
- Hide Titles
Seltsam. Auf einem Testserver hier mit diesem Inhalt in functions.php des Child Themes wird custom-fonts.css nicht mehr geladen.
<?php
// https://developer.wordpress.org/themes/advanced-topics/child-themes/
add_action( 'wp_enqueue_scripts', 'my_theme_enqueue_styles' );
function my_theme_enqueue_styles() {
$parenthandle = 'courage-stylesheet'; // This is 'twentyfifteen-style' for the Twenty Fifteen theme.
$theme = wp_get_theme();
wp_enqueue_style( $parenthandle, get_template_directory_uri() . '/style.css',
array(), // if the parent theme code has a dependency, copy it to here
$theme->parent()->get('Version')
);
wp_enqueue_style( 'child-style', get_stylesheet_uri(),
array( $parenthandle ),
$theme->get('Version') // this only works if you have Version in the style header
);
}
// https://forum.wpde.org/threads/entfernen-von-funktion-aus-parent-theme.194524/#post-814519
function child_courage_custom_fonts() {
wp_dequeue_style( 'courage-custom-fonts' );
}
add_action( 'wp_enqueue_scripts', 'child_courage_custom_fonts', 2 );
add_action( 'enqueue_block_editor_assets', 'child_courage_custom_fonts', 2 );
Evtl. ist Dein Child Theme nicht aktiv o.ä.
Dann setze die Priority mal auf 9999 o.ä. hoch, ändert das etwas? Wurde der Code 1:1 kopiert? Welches Parent Theme wird verwendet? Link zur Seite wo diese custom-fonts.css eingebunden wird?
Das Entfernen der Funktion muss im Child-Theme passieren.
Vermutlich so, ungetestet:
function child_courage_custom_fonts() {
wp_dequeue_style( 'courage-custom-fonts' );
}
add_action( 'wp_enqueue_scripts', 'child_courage_custom_fonts', 2 );
add_action( 'enqueue_block_editor_assets', 'child_courage_custom_fonts', 2 );
Beachte die Priority, die ist lt. Deinem Codeblock 1 im Parent, und hier 2 im Child, so läuft die Action im Child später als im Parent.