Häufige Fragen zu WP Masquerade

Ein WordPress-Plugin, das verändert, was deine Website Bots und Erkennungstools verrät: Es gibt eine andere Software an (Joomla!, Drupal, PrestaShop …), entfernt WordPress-typische Hinweise, verlegt die Anmeldeseite und erkennt Bots, die nach Sicherheitslücken suchen. Alle Funktionen ansehen.

Nein. Theme, Texte und Seiten bleiben unverändert. Nur die Dateiadressen (Bilder, Styles, Skripte) ändern sich, wenn du die Aliasse von WP Masquerade Pro aktivierst. Als angemeldeter Administrator siehst du die Website ohne Tarnung: Prüfe das Ergebnis in einem privaten Browserfenster.

Die Adressen deiner Seiten ändern sich nicht. Mit den Aliassen von Pro ändern sich die Adressen deiner Bilder; auf der Stufe, die alte Adressen sperrt, funktionieren externe Links auf deine Bilder nicht mehr. Das Entfernen der oEmbed-Discovery (Pro) unterdrückt die Rich-Vorschauen deiner Beiträge auf anderen Websites. Das Verstecken der Autorenliste (Pro) entfernt auch die Autoren-Sitemap, was keine Auswirkung auf deine Seiten und Beiträge hat. Jede betroffene Option ist in der Oberfläche gekennzeichnet.

Die kostenlose Version versteckt WordPress, gibt Joomla!, Drupal, PrestaShop, TYPO3 oder MediaWiki an (oder einen Namen deiner Wahl), entfernt die grundlegenden technischen Links (RSD, Windows Live Writer, Kurzlinks), verlegt die Anmeldung und versteckt wp-login.php und wp-admin, sperrt Pingbacks und XML-RPC und zählt gefangene Bots. Pro ergänzt alles Weitere: 41 Profile und Wappalyzer-Marker, REST- und oEmbed-Hinweise entfernt, Autorenliste versteckt, Aliasse für Dateiadressen, unbekannte AJAX-Anfragen mit 404 beantwortet, Begrenzung der Anmeldeversuche, Zwei-Faktor-Authentifizierung, Sicherheits-Header, Integritätsprüfung, E-Mail-Benachrichtigungen, Sperren, Signatur-Feed, Updates und bevorzugten Support. Vollständiger Vergleich.

Nein, und kein Plugin kann das ehrlicherweise versprechen. WP Masquerade entfernt die Hinweise, die automatische Tools am häufigsten nutzen, und fügt die einer anderen Software hinzu. Spuren können bleiben: URLs in CSS- oder JavaScript-Dateien, CSS-Klassen oder Skriptnamen bestimmter Plugins, Antworten eines vorgeschalteten Caches.

Nein. Es verringert, was Bots über deine Website erfahren, und schließt bekannte Türen; so wird die Angriffsfläche für automatisierte Angriffe kleiner. SQL-Injections oder XSS filtert es nicht, es sucht nicht nach Schadsoftware und schützt nicht vor Denial-of-Service-Angriffen. Mit solchen Tools lässt es sich sehr gut kombinieren.

Nein. Es sperrt Pingbacks und XML-RPC und erkennt Bots, die deine Website abtasten, filtert aber weder Kommentare noch Formulare. Sieh dir an, was es blockiert und welches Anti-Spam-Plugin dazu passt.

Eine Firewall und ein Malware-Scanner, die es nicht mitbringt, wobei nur ein Plugin die Anmeldung verwalten sollte. Unser Vergleich der besten WordPress-Sicherheits-Plugins stellt die Möglichkeiten im Detail vor.

• Drupal, phpBB oder eine andere Software vollständig emulieren;
• alle Spuren von WordPress entfernen oder ein bestimmtes Ergebnis in einem Erkennungstool garantieren;
• jedes Plugin oder Theme einzeln anonymisieren;
• alle URLs in CSS- oder JavaScript-Dateien oder in externen Antworten umschreiben;
• die gesamte Verwaltung verschieben, die URL der REST-API oder alle PHP-Einstiegspunkte ändern;
• sichtbare WordPress-Hinweise in deinem Theme ändern;
• eine SQL/XSS-Firewall, einen Virenscanner oder DDoS-Schutz bereitstellen;
• Sicherheitslücken im Kern, in Themes oder Plugins beheben: Halte sie aktuell;
• die Kompatibilität mit allen Hostings, Caches und Plugins zusichern.

Ja, unbedingt. Updates, Backups, eingeschränkte Zugriffsrechte und starke Passwörter bleiben unverzichtbar. Die Tarnung ergänzt diese bewährten Vorgehensweisen; sie ersetzt sie nicht.

Die Sicherheitslücken einer alten Joomla!-Version gibt es auf deinem WordPress nicht: Bots, die sie ausprobieren, scheitern und können in die Fallen tappen. Der Leitfaden rät allerdings davon ab, sich darauf zu verlassen, dass dieser Effekt einen Angreifer abschreckt.

Bei der kostenlosen Version nicht: Die Diagnose bleibt lokal. Mit Pro kontaktiert die Website den Lizenzserver, um die Lizenz zu aktivieren, sie einmal täglich zu überprüfen und den Signatur-Feed sowie Updates abzurufen; die Integritätsprüfung fragt bei wordpress.org die offizielle Dateiliste ab und übermittelt dabei nur die Version und die Sprache von WordPress. Es werden keine Daten deiner Besucher übertragen. Der Katalog der getarnten Plugins wird bei derselben täglichen Prüfung aktualisiert. Der Sicherheitsüberblick für eine Agentur wird nur gesendet, wenn der Administrator der Website ihn einschaltet. Datenschutzerklärung.

Die drei standardmäßig aktiven Header (X-Frame-Options, Referrer-Policy, Permissions-Policy) sind für die meisten Websites unbedenklich; ein bereits anderswo gesetzter Header wird nie überschrieben. Die einfache CSP deaktiviert die eingebetteten PDF-Vorschauen des Datei-Blocks. HSTS ist die einzige Einstellung, die sich nur schwer rückgängig machen lässt: Browser verlangen dann ein Jahr lang HTTPS. Die Header im Detail.

Nicht immer: Eine Seite, die direkt von einem Server-Cache oder einem CDN ausgeliefert wird, ohne WordPress zu durchlaufen, trägt sie unter Umständen nicht. Die Schaltfläche „Startseite prüfen“ zeigt, was deine Besucher tatsächlich erhalten; andernfalls fügst du die Header in der Konfiguration des Caches oder des Servers hinzu.

Nein. Sie gleicht die Dateien des WordPress-Kerns (wp-admin, wp-includes und die Dateien im Stammverzeichnis) mit den offiziellen Prüfsummen von wordpress.org ab. Plugins, Themes, hochgeladene Dateien und wp-config.php werden nicht geprüft. Die Integritätsprüfung im Detail.

Das ist normal: Bei der ersten Anmeldung jedes Administrators wird nur sein Browser registriert. Eine Benachrichtigung geht danach raus, wenn das Konto von einem unbekannten Browser aus genutzt wird. Kommt auch der Testbericht nicht an, kann die Website vermutlich keine E-Mails versenden: Ein SMTP-Plugin löst das Problem in der Regel. Die Benachrichtigungen im Detail.

Ja, mit Pro: Der Tab KI-Crawler ordnet 37 bekannte Crawler (GPTBot, ClaudeBot, Google-Extended, CCBot…) in Familien ein und ergänzt die Regeln in deiner robots.txt. Die Schnellauswahl „Suche und KI-Antworten erlauben, Training blockieren“ lässt dich von KI-Suchmaschinen zitieren, ohne Trainingsmaterial zu werden. robots.txt ist nur eine Bitte: Eine optionale strikte Sperre weist auch gesperrte Crawler ab, die sich zu erkennen geben, aber nicht solche, die sich als Browser ausgeben. Googlebot und Bingbot sind nie betroffen, und bereits Gesammeltes bleibt gesammelt. Die KI-Crawler-Kontrolle im Detail.

Ja. Der Tab Agentur im Kundenbereich ordnet deine Websites nach Kunden, zeigt pro Website eine Sicherheitspunktzahl von 0 bis 100, verschickt Einstellungsprofile, erstellt einen druckbaren Kundenbericht und richtet White-Label ein. Nichts geschieht ohne die Website: Ihr Administrator kreuzt im Tab Pro-Lizenz an, was er teilen oder empfangen möchte; standardmäßig ist alles aus. Das Agentur-Dashboard im Detail.

Die kostenlose Version funktioniert ohne Server-Regel. Für die Datei-Aliasse von Pro werden die Regeln für Apache, LiteSpeed, o2switch (PowerBoost), OpenLiteSpeed, Nginx, IIS und Caddy erzeugt; bei Managed Hosting gibst du den Block an den Administrator des Servers weiter. Details je Server.

Das Leeren ist für LiteSpeed Cache, WP Rocket und WP Super Cache integriert. Denk daran, die neue Anmeldeadresse vom Cache auszuschließen, bevor du sie testest. Einen anderen Cache oder ein CDN leerst du mit dessen eigenem Tool.

Nein. Unterstützt wird nur einfaches WordPress (eine Website pro Installation).

Nicht für dieselben Funktionen: Zwei Tarnungen widersprechen sich. Deaktiviere die Pfad- oder Anmeldeänderungen des anderen Plugins, bevor du weitermachst. Die Diagnose weist darauf hin.

Die Pro-Funktionen werden angehalten, ebenso die Updates, der Signatur-Feed und der Support. Die kostenlosen Funktionen laufen weiter, ohne dass du etwas neu installieren musst. Zwei Sicherungen verhindern, dass etwas kaputtgeht: Ein bereits überprüfter Alias-Plan wird weiter angewendet (die Adressen deiner Dateien ändern sich nicht), und Konten, die die Zwei-Faktor-Authentifizierung bereits nutzen, behalten sie. Eine neue Lizenz aktiviert Pro mit deinen Einstellungen wieder.

Je nach Tarif auf 1, 10, 100 oder unbegrenzt vielen. Jeder aktivierte Domainname belegt einen Platz; du kannst jederzeit einen Platz freigeben. Jede Website wird mit einem eigenen Aktivierungscode aktiviert, den du in deinem Kundenbereich erzeugst. In jedem Tarif erlaubt eine Lizenz höchstens 5 neue Website-Aktivierungen innerhalb von 24 Stunden; eine bereits aktivierte Website erneut zu aktivieren oder die Lizenz zu verschieben, zählt nicht. Preise ansehen.

Installiere nach dem Kauf WP Masquerade Pro (ein einziges Plugin, die kostenlose Version ist enthalten), erzeuge in deinem Mitgliederbereich einen Aktivierungscode für die Adresse der Website und füge ihn unter WP Masquerade → Pro-Lizenz ein. Den Lizenzschlüssel gibst du nie auf einer Website ein. Der Tab WP Masquerade installieren in deinem Mitgliederbereich führt dich Schritt für Schritt.

In deinem Kundenbereich, der Zugang zum Abrechnungsportal von Stripe bietet. Die Lizenz bleibt bis zum Ende des bezahlten Zeitraums aktiv; danach werden die Pro-Funktionen angehalten, und die kostenlosen Funktionen laufen weiter, mit den beiden oben beschriebenen Sicherungen.

Ja. Alle Preise werden netto angezeigt. Der Anbieter fällt unter die französische Kleinunternehmerregelung: „TVA non applicable, art. 293 B du CGI“ (keine Umsatzsteuer gemäß Art. 293 B des französischen Steuergesetzbuchs). Beim Bezahlen wird keine Umsatzsteuer aufgeschlagen: Der gezahlte Betrag entspricht dem angezeigten Nettopreis.

Füge define('CMS_MASQUERADE_DISABLE', true); in die wp-config.php ein: Alle Änderungen werden ausgesetzt, und wp-login.php funktioniert wieder. Alle Wiederherstellungsverfahren.

Melde dich mit einem Backup-Code an. Andernfalls kann ein anderer Administrator die Zwei-Faktor-Authentifizierung in deinem Profil deaktivieren. Als letzte Möglichkeit: define('CMP_DISABLE_2FA', true); in der wp-config.php.

Das Deaktivieren eines Plugins entfernt die in die .htaccess eingefügten Regeln nicht, und das Umschreiben der Adressen steckt in WP Masquerade Pro. Aktiviere Pro wieder oder stelle die vorherigen Server-Regeln wieder her, und leere anschließend die Caches.