Panel verbinden: Remote-Einstellungen

Die Remote-Einstellungen verbinden das Plugin mit dem Cisilino-Panel. Die Verbindung ist optional: Ohne sie schützt das Plugin deine Website trotzdem. In diesem Kapitel siehst du, wie du den Reiter ausfüllst, was zum Panel wandert und was du vermeiden solltest, wenn du das Panel verbinden willst.

Wo du es findest

In der Seitenleiste von WordPress öffnest du Einstellungen und dann „Cisilino Site Defense Network“ (Punkt 1 im Bild). Klicke auf den Reiter „Remote-Einstellungen“ (Punkt 2). Darunter findest du zwei Bereiche: den Kasten „Status der Panel-Verbindung“ (Punkt 3) und das Formular „Verbindung zum Panel“ (Punkt 4).

Wozu es dient

Das Plugin zählt fehlgeschlagene Logins und blockiert IPs lokal, in der Datei .htaccess. Verbindest du es mit dem Panel, schickt es ihm alle 15 Minuten die IPs, die den Login nicht geschafft haben. Im Gegenzug erhält es die Liste der für deinen Kunden bereits gesperrten IPs und blockiert sie auch auf deiner Website.

Lässt du die Remote-Einstellungen leer, macht das Plugin keinen externen Aufruf. Es zählt weiter die Versuche und blockiert die IPs auf der Website. Das Schema seiner Schutzmaßnahmen findest du in Kapitel 1, dem Inhaltsverzeichnis des Handbuchs.

Wie du die Remote-Einstellungen ausfüllst

1. Öffne im Panel Einstellungen › Audit-Dienste und such den Abschnitt „API-Schlüssel — Cisilino Site Defense Network“. Dort erzeugt das Panel den Schlüssel.
2. Geh zurück zu WordPress, in den Bereich von Punkt 4. Fülle „Customer Code“ aus.
3. Füge den „API-Schlüssel“ ein. Das Feld ist vom Typ Passwort: Du siehst nicht, was du schreibst.
4. Trage die „URL des Panels“ ein, zum Beispiel https://panel.beispiel.de.
5. Stelle, wenn du willst, die „Lokale Sperrschwelle (fehlgeschlagene Versuche)“ ein. Davon handelt Kapitel 4.
6. Wähle die „Sicherheitsstufe (IP-Liste vom Panel)“.
7. Klicke auf „Speichern und Verbindung prüfen“.

Die Einstellungen werden immer gespeichert, auch wenn die Prüfung danach fehlschlägt. Eine Ausnahme ist eine http-URL, die das gesamte Speichern blockiert (siehe weiter unten). Du musst nicht alles neu schreiben, um einen Tippfehler zu korrigieren. Das Ergebnis der Prüfung erscheint im Kasten von Punkt 3, mit dem Vermerk „Letzte Prüfung“ und dem Datum. Grün, wenn alles passt, rot, wenn etwas nicht stimmt.

Die Sicherheitsstufen

Das Feld „Sicherheitsstufe (IP-Liste vom Panel)“ bietet vier Optionen.

• „Deaktiviert — nur offizielle Blacklist des Panels“ ist der Standardwert.
• „Noob — IPs, die anderswo im Netzwerk beim WordPress-Login gescheitert sind“.
• „Casual — auch IPs, die anderswo im Netzwerk bei FTP gescheitert sind“.
• „Berserk — alle als mögliche Angriffe erfassten IPs, unabhängig vom Protokoll“.

Wenn du das Panel verbinden und eine Sicherheitsstufe wählen willst, bedenke: Die Stufen werden Schritt für Schritt weiter. Noob ist in Casual enthalten, Casual ist in Berserk enthalten. Das Panel schickt alle Listen, aber das Plugin wendet nur die gewählte an. Gehst du zurück auf „Deaktiviert“, verschwindet die vorherige Liste sofort aus .htaccess.

Standardwerte und Grenzen

• Customer Code und API-Schlüssel sind am Anfang leer.
• Die Schwelle ist 10, mit Minimum 3 und Maximum 100 nur im Feld des Formulars: Der Server prüft die Grenzen nicht (ein leerer Wert oder 0 wird zu 10, ein erzwungener Wert von 1 bis 2 oder über 100 würde akzeptiert).
• Die Sicherheitsstufe ist „Deaktiviert“.
• Fehlt auch nur einer von Customer Code, Schlüssel oder URL, sendet das Plugin nichts und der Statuskasten verschwindet.

Warum https nötig ist

In den Remote-Einstellungen muss die URL des Panels mit https beginnen. Der API-Schlüssel reist im Körper jeder Synchronisierungsanfrage. Über http könnte jeder auf dem Netzwerkweg ihn mitlesen. Er könnte auch die Antwort verändern, die entscheidet, welche IPs blockiert werden. Um zu verstehen, was das Protokoll garantiert, lies diese Seite zu HTTPS im MDN-Glossar, die die Verschlüsselung des Datenverkehrs klar erklärt.

Eine URL ohne Schema (zum Beispiel panel.beispiel.de) wird mit http ergänzt und deshalb abgelehnt: Schreib immer https://. Die Prüfung erfolgt zweimal. Schreibst du eine http-URL, speichert das Plugin nichts (auch nicht die anderen Felder) und zeigt einen roten Hinweis, der mit „URL des Panels nicht gespeichert: https nötig“ beginnt. Die Prüfung wiederholt sich bei jeder Anfrage: War bereits eine http-URL gespeichert, startet die Anfrage nicht, und der Status wird zum Fehler, mit der Meldung „URL des Panels nicht sicher: https nötig“. Die einzige Ausnahme ist der lokale Entwicklungs-Host, wie localhost oder eine Domain, die auf .test, .localhost oder .local endet.

Achtung: Schreib den API-Schlüssel niemals in eine http-URL und füge ihn nicht in Werkzeuge ein, die du nicht kennst. Der Schlüssel bleibt im Klartext in der Datenbank von WordPress: Schütze auch den Zugang zum Backend.

Was zum Panel verbinden wirklich gesendet wird

Sobald die Remote-Einstellungen gespeichert sind, sendet das Plugin bei jeder Synchronisierung an das Panel:

• den Customer Code, den API-Schlüssel und die Adresse der Website;
• bis zu 200 Ereignisse pro Mal, jedes mit IP, letztem versuchtem Benutzer, Ergebnis (immer „failed“) und Zeitpunkt des Versuchs;
• die Zeilen des Aktivitätsprotokolls der Website (Reiter „Aktivitätsprotokoll“), in Stapeln von 200: wer die Aktion ausgeführt hat (Login, Rolle, IP), die Art der Aktion und die Beschreibung. Das passiert, wenn der Eintrag „Aktivitäten an das Panel senden“ aktiv ist, was standardmäßig der Fall ist. Der Versand startet auch am Ende der Anfrage, nicht nur alle 15 Minuten.

Es sendet nie das eingegebene Passwort. Es sendet auch nicht die lokalen Overrides: Sie sind in Kapitel 5 beschrieben und bleiben nur auf deiner Website. Gesendete Zeilen werden markiert und nicht erneut verschickt.

Wenn etwas nicht funktioniert

Funktionieren die Remote-Einstellungen nicht, zeigt der rote Kasten eine dieser Meldungen.

• „Authentifizierung vom Panel abgelehnt: customer_code oder API-Schlüssel falsch.“ Schickt das Panel eine eigene Fehlermeldung, erscheint diese an ihrer Stelle. Prüfe beide Werte erneut.
• „Panel nicht erreichbar: …“, gefolgt vom Fehlertext. Prüfe URL, DNS und Zertifikat.
• „Das Panel hat mit einem Fehler geantwortet (HTTP …)“, gefolgt vom Anfang der Antwort.
• „Antwort des Panels ungültig (kein JSON).“ Die URL ist wahrscheinlich nicht die richtige.

Antwortet das Panel nicht, verliert das Plugin nicht den Schutz. Die bereits blockierten IPs bleiben in der Datei .htaccess. Die Ereignisse bleiben in der Warteschlange und werden beim nächsten Durchlauf erneut gesendet. Es gibt keine Warn-E-Mail: Den Status liest du nur im Kasten.

Achtung: Die Stufen Casual und vor allem Berserk blockieren viele IPs auf einmal. Starte mit „Deaktiviert“ oder mit Noob und wechsle nur bei Bedarf zu einer breiteren Stufe.

Merke dir: Die Remote-Einstellungen sind optional, und das Plugin schützt die Website auch ohne sie. Wer das Panel verbinden will, findet hier alles Nötige.

Vorheriges Kapitel: Cisilino Site Defense Network installieren und aktivieren. Nächstes Kapitel: Reiter Allgemein: Sperrschwelle und Status des Plugins.