WordPress-Plugin

Das DomainWarn-Plugin für WordPress verbinden, Domains aufnehmen, Innensicht melden und die security.txt über das Plugin ausliefern, Schritt für Schritt.

Auf dieser Seite

Einrichten

Das DomainWarn-Plugin nimmt die Adressen deiner WordPress-Website in die Überwachung auf und meldet alle 15 Minuten, was keine Prüfung von außen sieht: Versionen, offene Updates, Mailversand – und ob WP-Cron noch läuft.

  1. Im WordPress-Admin unter Plugins → Installieren nach „DomainWarn“ suchen, installieren und aktivieren.
  2. Unter Einstellungen → DomainWarn auf „Mit DomainWarn verbinden“ klicken. Du bestätigst in DomainWarn, und das Token landet von selbst auf der Website – nichts zu kopieren. Ein kostenloses Konto genügt.
  3. „Adressen aufnehmen“ – fertig. Optional einen Kunden auswählen; ab dann meldet das Plugin alle 15 Minuten.

Lieber von Hand? In DomainWarn unter Einstellungen → API ein Token mit Schreibrecht erzeugen und ins Feld „API-Token“ eintragen. Auf der Kommandozeile gibt es dieselben Schritte als wp domainwarn test, wp domainwarn sync und wp domainwarn report.

Damit der Heartbeat trägt, muss WP-Cron laufen – genau das prüft er.

Voraussetzungen: WordPress 6.3 oder neuer, PHP 8.2 oder neuer und ein DomainWarn-Konto – das kostenlose genügt.

Siehe auch: WordPress-Plugin

Was das Plugin meldet

  • WordPress- und PHP-Version: Die genaue Version statt geraten. Ob sie veraltet ist oder keine Sicherheitsupdates mehr bekommt, beurteilt DomainWarn anhand der aktuellen Versionen und der Stützzeiträume von PHP.
  • Offene Updates: Plugins und Themes mit verfügbarem Update, jeweils mit installierter und verfügbarer Version.
  • Mailversand: Absenderadresse und Mailserver. Zusammen mit den DNS-Records ergibt das den Befund „die Website versendet über einen Server, der nicht im SPF steht“ – den weder die Website noch eine Prüfung von außen allein treffen kann.
  • Wartungsmodus: Bleibt der Wartungsmodus nach einem Update versehentlich an, ist die Website für Besucher und Suchmaschinen zu. DomainWarn weist darauf hin.
  • Heartbeat von WP-Cron: Ein geplanter Lauf meldet sich alle 15 Minuten. Bleibt er aus, steht WP-Cron: Die Website antwortet noch, verschickt aber keine Mails und verarbeitet nichts. DomainWarn eröffnet dann einen Vorfall und meldet ihn an deine Kanäle.

Übertragene Daten

Übertragen werden die Adressen der Website, WordPress- und PHP-Version, Namen und Versionen der installierten Plugins und Themes, Absenderadresse und Mailserver sowie der Wartungsmodus. Nicht übertragen werden Benutzer, Beiträge, Kommentare, Bestellungen oder andere Inhalte. Das API-Token bleibt auf der Website und geht nie an den Browser; ohne Token bleibt das Plugin still und kontaktiert niemanden.

Hosting über das WordPress-Plugin und die Shopware-Erweiterung

Läuft auf der Domain WordPress oder Shopware 6, braucht es für die security.txt keine Zeile im Webserver: Das Plugin bzw. die Erweiterung liefert die Datei selbst aus. In den Einstellungen „security.txt über DomainWarn ausliefern“ einschalten (Standard: aus) – ab dann holt die Website die Datei bei DomainWarn und beantwortet /.well-known/security.txt selbst mit 200 und text/plain, byte-genau und ohne Weiterleitung. Die Datei wird eine Stunde zwischengespeichert; ist DomainWarn nicht erreichbar, kommt die letzte gute Fassung, solange ihr Expires in der Zukunft liegt. In Shopware gilt das je Verkaufskanal-Domain.

Ausgeliefert wird nur, wo die Datei hingehört: an der Domain selbst oder mit www davor (eine Website unter blog.kunde.de liefert nichts aus), nur wenn die Website an der Wurzel der Domain liegt, und nur aus einer Datei der genauen Form https://domainwarn.com/security-txt/<Token>/security.txt. Diese Adresse kommt aus einem gespeicherten Stand, den der geplante Lauf alle 15 Minuten bei Bedarf erneuert (GET /api/v1/orgs/<kuerzel>/domains/<id>/hosting); ein normaler Seitenaufruf fragt nie bei DomainWarn nach. Angenommen wird nur, was wie eine security.txt aussieht (Contact-Zeile, kein HTML); ohne brauchbare Datei antwortet die Website wie ohne Plugin. Liegt schon eine security.txt im Webverzeichnis oder beantwortet ein anderes Plugin die Adresse, zeigt die Einstellungsseite das als Konflikt und die Auslieferung bleibt aus – überdeckt wird nichts still.

„security.txt prüfen“ ruft die Adresse ab wie ein Forscher, vergleicht die Datei byte-genau mit der bei DomainWarn (Contact und Expires vorhanden) und zeigt daneben das Ergebnis der eigenen Prüfung von DomainWarn. Hält ein Cache noch eine ältere Fassung, sagt die Prüfung das.

MTA-STS lässt sich so nicht ausliefern: RFC 8461 verbietet sendenden Mailservern, beim Abruf der Policy einer Weiterleitung zu folgen. Die Policy muss unter mta-sts.kunde.de selbst liegen – dafür sorgt der CNAME auf DomainWarn. Plugin und Erweiterung zeigen deshalb für MTA-STS und BIMI nur den Stand (aktiv, Record fehlt, veraltet, nicht eingerichtet), die Records zum Kopieren und einen Knopf zur Seite im Dashboard, auf der sie sich mit einem verbundenen DNS-Anbieter per Klick eintragen lassen.

Siehe auch: WordPress-Plugin im Verzeichnis

Häufige Fragen

Brauche ich ein kostenpflichtiges Konto?
Nein. Das Plugin ist kostenlos und arbeitet mit dem kostenlosen DomainWarn-Konto. Abgerechnet wird der Monitoring-Dienst, wenn mehr Domains oder kürzere Prüfintervalle gebraucht werden.
Werden Inhalte meiner Website übertragen?
Nein. Übertragen werden Adressen, Versionen, installierte Plugins und Themes, Absenderadresse und Mailserver sowie der Wartungsmodus. Keine Benutzer, Beiträge, Kommentare oder Bestellungen.
Warum meldet DomainWarn einen Vorfall, obwohl die Website läuft?
Weil das Lebenszeichen ausgeblieben ist. Dann steht WP-Cron: Die Website antwortet noch, verschickt aber keine Mails und verarbeitet nichts mehr.
Funktioniert das Plugin mit einer eigenen DomainWarn-Installation?
Ja. Die API-Adresse lässt sich auf der Einstellungsseite unter „Erweitert“ ändern.