Aegis ist ein Sicherheitsdienst für WordPress-Websites. Er prüft Plugins, Themes, Abhängigkeiten und Konfiguration jeden Tag und sagt am Ende nicht nur, was nicht stimmt, sondern auch, was man dagegen tun soll. Hier kurz, was dahintersteckt.
Wer eine WordPress-Seite betreibt, kennt das Gefühl: Irgendwo stehen Updates aus, irgendwo gibt es vielleicht eine Sicherheitslücke, und so richtig weiß man nicht, wie ernst das gerade ist. Vorhandene Werkzeuge liefern oft lange Listen mit Fachbegriffen, mit denen die Betreiber einer kleinen Website wenig anfangen können. Der Name Aegis ist ein Verweis auf den Schild der griechischen Mythologie. Er soll schützen, ohne dass man dafür Sicherheitsexperte sein muss.
Mein Anspruch: Ein Bericht, den auch jemand ohne technischen Hintergrund versteht.
Was Aegis prüft
- WordPress und PHP – Laufen veraltete Versionen, die keine Sicherheitsupdates mehr bekommen?
- Plugins und Themes – Gibt es bekannte Sicherheitslücken oder ausstehende Updates? Jedes Plugin wird einzeln benannt.
- Abhängigkeiten – Composer- und npm-Pakete aus Themes, abgeglichen mit Packagist und OSV.
- Konfiguration – Ist der Debug-Modus aktiv? Wie sieht es mit Cronjobs und automatischen Updates aus? In welchem Zustand ist die Installation?
- Live und Staging – Auch Testumgebungen hinter Passwortschutz werden geprüft. Im Bericht tauchen davon nur die relevanten Punkte auf.
Die Prüfung läuft täglich. Wer etwas behebt, muss dafür nichts bestätigen: Der Punkt verschwindet beim nächsten Durchlauf automatisch aus der Liste.
Der Bericht
Das war mir am wichtigsten. Ein Befund ist nur so viel wert, wie man ihn einordnen kann. Deshalb bekommt jeder Punkt eine Ampel, eine Dringlichkeit und eine konkrete Empfehlung, ohne Fachjargon.
Ein Beispiel: Eine kritische Lücke in einem Cache-Plugin steht ganz oben, eine mittlere in einem Formular-Plugin darunter, ein einfaches Update für ein SEO-Plugin ganz unten. Bei jedem steht, auf welche Version aktualisiert werden soll. Die wichtigsten Aufgaben kommen zuerst.
Den Bericht gibt es auf zwei Wegen:
- als monatliches PDF per E-Mail
- als Online-Übersicht ohne Konto, über einen passwortgeschützten Link, der nach einer festen Zeit abläuft
Niemand muss sich also für einen Blick in den Bericht irgendwo registrieren.
Wie es funktioniert
Auf der WordPress-Seite läuft ein kleines, schreibgeschütztes Plugin. Es überträgt ausschließlich Versionsdaten, also welches WordPress, welches PHP, welche Plugins in welcher Version. Keine Inhalte und keine Kundendaten.
- Plugin installieren
- Website verbinden. Jede Seite bekommt einen eigenen Schlüssel, das gilt auch für Seiten hinter Passwortschutz.
- Ab da wird täglich geprüft und der Bericht kommt von allein.
Dass nur Versionsdaten die Seite verlassen, war eine bewusste Entscheidung. Für die Prüfung braucht es nicht mehr, und je weniger übertragen wird, desto weniger kann schiefgehen.
Für wen
Aegis richtet sich an alle, die WordPress-Seiten betreiben oder betreuen lassen, ohne selbst tief in Sicherheitsthemen zu stecken. Also etwa kleine Unternehmen, bei denen die Website nebenher läuft und trotzdem nicht zum Einfallstor werden soll.
Wer wissen möchte, wie es um die eigene Seite steht, kann sich bei mir melden. Ich schaue gerne drauf.
Mehr dazu unter aegis.leutsch.dev.