CodeSeven Security Pro

Moderne Security-Plattform für WordPress

CodeSeven Security Pro ist eine Plattform zum Schutz von WordPress-Websites, entwickelt nach der Philosophie moderner SaaS-Security-Tools — nicht als weiteres „Antivirus-Plugin“ mit alarmierenden roten Bannern, sondern als Security Operations Console im Stil von Linear / Vercel / Datadog. Eine ruhige, operative Oberfläche, auf die sich professionelle Administratoren jeden Tag verlassen können.

Aufgebaut aus 6 integrierten Modulen — Firewall, Login Security, Activity Monitor, Health, Operations Dashboard und Notifications —, die als einheitliches Security-Ökosystem mit gemeinsamer Telemetry Pipeline, normalisiertem Event-Schema und dynamischem Risk Scoring zusammenarbeiten.

Das erste WordPress-Security-Plugin, bei dem die Firewall den eigenen Administrator nicht aus der Website aussperren kann (Trusted Admin Protection, v1.0.4).

🛡️ Firewall — Moderne Rule Engine

Kein primitiver IP-Blocker. Das Plugin nutzt eine Pipeline-basierte Request-Verarbeitung mit Rule Engine und Threat Scoring — jede Anfrage durchläuft konfigurierbare Regeln, bevor sie WordPress erreicht.

• IP Blocklist Management — automatisches Blockieren mit konfigurierbarer TTL (Standard: 60 Minuten)
• Stable TTL (v1.0.4) — „1 Stunde Sperre“ bedeutet tatsächlich 1 Stunde, auch bei anhaltendem Angriff — wiederholte Hits erhöhen den Attempts Counter, setzen blocked_until aber nicht neu
• Static IP Whitelist (v1.0.4) — umgeht alle Firewall-Prüfungen für CI-Server, Monitoring und Büronetzwerk
• Trusted Admin Protection (v1.0.4) — Auto-Learn von IP + User-Agent (sha256-Fingerprint) bei erfolgreichem Admin-Login. Warum IP+UA und nicht nur die IP? Weil ein Angreifer mit derselben IP sich so nicht an eine vertrauenswürdige Sitzung anhängen kann. Standardmäßig aktiv, TTL 30 Tage
• Firewall Rules Registry — erweiterbare Regeln mit Priorität, Bedingung und Aktion
• XML-RPC Protection — standardmäßig deaktiviert (einer der am häufigsten angegriffenen Endpoints in WordPress)
• Detailed Event Logs — vollständiger Audit Trail jeder blockierten Anfrage mit IP, Grund und ausgelöster Regel

🔐 Login Security — Authentication Intelligence Engine

Kein „5 Fehlversuche = Sperre“-Plugin. Ein mehrstufiger Analyzer mit Identity Correlation, Device Fingerprinting und dynamischem Risk Scoring.

Progressive Penalties (statt binärer Sperre)

• 3 Fehlversuche — 5 Sekunden Verzögerung (verlangsamte Antworten an Bots)
• 5 Fehlversuche — Warning-Event wird im Activity Stream ausgegeben
• 8 Fehlversuche — 15 Minuten IP-Sperre
• 15 Fehlversuche — 24 Stunden Sperre + Admin-Benachrichtigung
• Jeder Schwellenwert ist in den Einstellungen konfigurierbar

Identity Correlation Engine

Integrierte Korrelatoren, die komplexe Angriffsmuster erkennen:

• Credential Stuffing — gleiche IP + 5+ verschiedene Benutzernamen innerhalb von 10 Minuten → harte IP-Sperre für 24 h
• Distributed Brute Force — gleicher Benutzername + 10+ verschiedene IPs innerhalb von 30 Minuten → Sperre des Benutzernamens + Admin-Benachrichtigung
• Admin Probing — 3+ Fehlversuche mit dem Benutzernamen „admin“ → IP-Sperre für 1 Stunde
• Username Enumeration — 10+ Versuche mit nicht existierenden Benutzernamen → IP-Sperre für 2 Stunden

Dynamic Risk Scoring

KEINE statische Severity. Der Score wird dynamisch berechnet auf Basis von: Anzahl der Fehlversuche, Velocity (Versuche pro Minute), Username Intelligence (Admin Probing), Bot-Signaturerkennung, Geschäftszeiten / neues Land / zuvor gesperrte IP — insgesamt 11 Faktoren.

Device Fingerprinting

Schlanke Session Correlation über einen sha256-Hash aus IP + User-Agent + Accept-Language + Accept-Encoding. Kein invasives Tracking — ausschließlich Anomaly Detection und Session Correlation.

2FA Architecture Ready

Ein erweiterbares Provider-System ist im Code vorbereitet — TOTP (Google Authenticator), Email OTP, Backup Codes, WebAuthn / Passkeys. Die Implementierung der Provider folgt in kommenden Versionen.

📊 Activity Monitor — Telemetry Engine

Kein bloßes Activity Log. Eine produktionsreife Event-Pipeline mit normalisiertem Schema, Threat Correlation und ereignisgesteuerter Feedback-Schleife.

Normalized Event Schema

Jedes Ereignis im System besitzt UUID, trace_id, category, severity, actor (IP / Benutzer / Land), context, risk_score, tags und timestamp in einem standardisierten JSON-Format — bereit für SIEM-Integration oder Cloud-Sync.

Event Categories

• auth — login.success, login.failed, password.reset
• firewall — request.blocked, rule.triggered
• system — plugin.installed, theme.changed, core.updated
• filesystem — file.modified, file.created, file.deleted
• api — endpoint.unauthorized, malformed.payload
• license — activation.success, validation.failed
• user — user.created, role.changed, capability.granted

Severity-Based Retention

Unterschiedliche Aufbewahrungsrichtlinien je nach Severity (asynchrone Bereinigung über WP-Cron):

• debug → 7 Tage
• info → 30 Tage
• notice → 60 Tage
• warning → 90 Tage
• high → 180 Tage
• critical → 365 Tage
• emergency → PERMANENT (wird nie gelöscht)

Async Ingestion

Events werden NICHT synchron während des Requests geschrieben. In-Memory-Queue + Batch-INSERT beim Shutdown — keinerlei Blockierung von Benutzeranfragen, bis zu 100× schneller als Schreibvorgänge pro Event. Ausgelegt für 10 Millionen Events.

Threat Correlation

Einzelne Ereignisse sind Rauschen — Muster sind das Signal. Correlation Rules fassen zusammenhängende Ereignisse zu Threat Narratives zusammen (z. B. Brute Force + erfolgreicher Login + Rollenänderung = kritischer Vorfall).

❤️ Health & Metrics — Operational Observability

Pflichtmodul — das einzige, das sich nicht deaktivieren lässt. Grundlage für alle Dashboard-Visualisierungen.

Real-Time Health Service

Health Checks pro Request mit Reporting jeder Komponente: DB-Konnektivität + Latenz, Migrationsstatus, Module Registry (aktiv vs. geladen), Cache Health, Event Bus, Queue-Tiefe der Activity Ingestion, Status von Login Security und Firewall. Ausgabe: healthy / degraded / critical mit Aufschlüsselung pro Komponente.

Pre-Computed Metrics Aggregation

Das Dashboard fragt KEINE Roh-Events ab (das würde die Performance bei 1M+ Events ruinieren). Background Worker aggregieren stündliche + tägliche Metriken, das Dashboard liest vorberechnete Zeilen. Unter 50 ms für die 24-h-Zusammenfassung.

Background Jobs System

Verwalteter Job Runner mit vollständigem Audit Trail:

• HealthSnapshotJob — erfasst den Systemzustand alle 5 Minuten
• MetricsHourlyAggregator — stündlicher Rollup jeweils um :05
• MetricsDailyAggregator — täglicher Rollup um 03:00 UTC
• RetentionCleanupJob — asynchrone Bereinigung abgelaufener Events
• ExpiredBlocksCleanup — entfernt abgelaufene Login-Sperren

Ein Transient-basierter Mutex verhindert doppelte gleichzeitige Ausführung. Veraltete Locks werden automatisch aufgehoben.

📈 Security Operations Console (Dashboard)

Premium-SOC-Dashboard in React (via @wordpress/element). Keine typische „WordPress-Admin-Seite“ — visuelle Identität im Stil von Linear / Vercel / Datadog.

Security Score (0-100)

Zusammengesetzte Kennzahl — ein Alleinstellungsmerkmal des Produkts. Wird server-side aus 5 Signalen berechnet:

• Aktive kritische Sperren (maximal -30)
• Fehlgeschlagene Logins der letzten 24 h (maximal -20)
• Aktive Firewall-Sperren (maximal -15)
• Beeinträchtigte Health-Komponenten (maximal -20)
• Inaktive Pflichtmodule (maximal -15)

Farbcodierung: 80-100 Grün (healthy), 50-79 Gelb (attention), 0-49 Rot (critical). Die Trend Pill zeigt die Veränderung gegenüber der vorherigen Messung.

Three-Tier Layout

Oben: 5 Security Posture Cards — Threat Level, Active Blocks, Failed Logins, System Health, Module Status. Sparklines + Click-through.

Mitte: 4 Diagramme — Hourly Threats (Linie), Auth Failures (Linie), Severity Distribution (Donut), Category Breakdown (Balken). Aus aggregierten Metriken, niemals aus Roh-Events.

Unten: 3 Operational Streams — Recent Activity (letzte 20 Events), Login Attempts (letzte 50 mit Risk Score), Blocked Requests (letzte 50 aus den Firewall-Logs). Mit Tabs und Paginierung.

Smart Polling

Automatische Pause bei ausgeblendetem Tab (Page Visibility API). Intervalle pro Ressource — Health 30 s, Metrics 60 s, Activity 15 s. Manuelle Aktualisierung jederzeit möglich.

Performance Budget

• Initial Render < 100 ms nach dem Laden der Daten
• < 10 API-Aufrufe pro Dashboard-Ansicht
• < 50 KB JS-Bundle (gzipped)

📧 Notifications — Smart Alert Delivery

Nicht „eine E-Mail bei jedem Fehler“. Eine konfigurierbare Benachrichtigungsschicht mit Rate Limiting und Cooldown.

• Configurable Recipient — E-Mail-Adresse für die Zustellung von Alerts
• Severity Threshold — minimale Severity, die eine Benachrichtigung auslöst (Standard: high)
• Category Filtering — firewall / auth / health / system / license
• Frequency Modes — Echtzeit / täglicher / wöchentlicher Digest
• Cooldown (Standard 15 min) — identische Ereignisse werden unterdrückt, damit Sie bei einem anhaltenden Angriff nicht 100 gleiche E-Mails erhalten
• Queue + Delivery Jobs — asynchrone Zustellung, blockiert den Request-Ablauf nicht

⚙️ 23 konfigurierbare Einstellungen

Jeder Schwellenwert, jede Aufbewahrungsfrist und jedes Verhalten ist über die Settings-Oberfläche einstellbar:

• Firewall — Aktivierung / Sperrdauer / XML-RPC erlauben / erlaubte Requests protokollieren
• Login — 4 Schwellenwerte (delay/warn/temp/long) + 2 Sperrdauern + IP-Whitelist
• Activity — Aktivierung + 7 Aufbewahrungsfristen nach Severity
• Notifications — Aktivierung / Schwellenwert / Empfänger / Häufigkeit / Kategorien / Cooldown

🏗️ Architektur

• 22 Datenbanktabellen mit passenden Compound Indexes für alle Query Patterns
• 33 REST-Endpoints im Namespace /cssp/v1
• Locked Response Envelope — SemVer-Disziplin, keine Breaking Changes in v1.x
• Modularer DI-Container mit Event Bus zwischen den Modulen
• WP_Error-Responses mit HTTP 400/401/403/404/422/500
• PHP-8.4-kompatibel

🎯 Für wen ist es gedacht?

• Professionelle WordPress-Administratoren — die Tools auf SaaS-Niveau wollen, nicht den Look eines Gratis-Plugins
• Agenturen, die viele Websites betreuen — Agency-Unlimited-Plan + websiteübergreifende Transparenz
• Produktive E-Commerce-Websites — bei denen Ausfallzeiten Geld kosten
• Membership- und SaaS-Websites — bei denen Auth-Security kritisch ist
• B2B-Websites — bei denen ein Compliance-Audit-Trail Pflicht ist
• Unternehmen, die bereits einen Lockout erlebt haben — Trusted Admin Protection ist die Versicherung gegen das schmerzhafteste Szenario

💡 Warum CodeSeven Security Pro statt Wordfence?

• Premium-SaaS-UI statt überladener Admin-Seiten
• Ruhiger, operativer Ton — kein panisches Rot
• Modulare Architektur — deaktivieren Sie Module, die Sie nicht benötigen
• Trusted Admin Protection — Wordfence hat kein Äquivalent
• Asynchrone Event-Pipeline — bremst die Website auch bei hohem Traffic nicht aus
• Native Unterstützung für BG / EN / DE
• Preise pro Domain — fair und planbar

🔒 Der Schutz bleibt auch bei abgelaufener Lizenz aktiv

Einzigartige Garantie: Der Schutz bleibt auch nach Ablauf der Lizenz bestehen. Nur Updates und Support erfordern eine aktive Lizenz. Ihre Website bleibt niemals ungeschützt, nur weil ein Verlängerungstermin verpasst wurde.

⚙️ Technische Anforderungen

• WordPress 5.8 oder neuer
• PHP 7.4 oder neuer (getestet bis PHP 8.4)
• MySQL 5.7+ oder MariaDB 10.3+
• Aktuelle Version: 1.0.4