Prüfpunkt software-erweiterung_versionVersionen bleiben verborgen
Was verraten Plugin-Versionen im Quelltext Ihrer Website?
Plugin-Versionen im Quelltext verraten jedem Betrachter, welche Erweiterungen Ihre Website nutzt und wie alt sie sind. Erweiterungen — bei WordPress „Plugins“ und „Themes“ genannt — rüsten Funktionen nach: Kontaktformulare, Bildergalerien, Shop-Anbindungen. Ihre Dateipfade tragen oft eine Versionsangabe wie „?ver=5.8“. Der Prüfbereich Software-Stand liest diese Angaben aus der ausgelieferten Seite und meldet sie als Befund.
Versionsangaben in Dateipfaden dienen der Cache-Steuerung
Browser merken sich Dateien einer Website, damit sie beim nächsten Besuch schneller lädt. Damit nach einem Update wirklich die neue Datei ankommt, hängen viele Systeme die Versionsnummer an den Dateipfad — der Browser sieht einen neuen Pfad und lädt frisch. Das ist verbreitet und technisch begründet. Die Nebenwirkung: Die Versionsnummer steht damit öffentlich im Quelltext. Der Prüfbereich wertet das deshalb als geringfügigen Befund mit 20 von 100 Punkten — deutlich leichter als eine Bibliothek ohne Herstellerpflege. Gemeldet wird, welche Erweiterungen ihre Version preisgeben, samt der genauen Fundstellen, damit Ihre Agentur gezielt nachsehen kann.
Sichtbare Erweiterungs-Versionen zeigen Fremden Ihren Pflegestand
Wer den Quelltext Ihrer Seite liest, sieht bei sichtbaren Versionsangaben auf einen Blick, welche Erweiterungen installiert sind und wie alt sie sind — ohne Anmeldung, ohne Werkzeuge, ohne Spuren. Veraltete Erweiterungen lassen sich so von außen erkennen. Auch hier gilt die saubere Trennung: Die Prüfung stellt Sichtbarkeit fest, keine Verwundbarkeit. Eine alte Versionsnummer beweist nicht, dass etwas angreifbar ist. Aber Erweiterungen stammen von vielen verschiedenen Herstellern und werden unterschiedlich gut gepflegt — gerade deshalb lohnt der Blick auf genau die Erweiterungen, deren Version jeder sehen kann. Der Befund ist eine priorisierte Arbeitsliste für die nächste Wartung.
Die Prüfung liest nur, was Ihre Seite selbst ausliefert
Der Prüfbereich erkennt Erweiterungen an den typischen Pfadmustern der verbreiteten Systeme: WordPress-Plugins und -Themes, Joomla- und PrestaShop-Module, TYPO3-Extensions, Drupal-Module. Er folgt dabei ausschließlich Verweisen, die im ausgelieferten Quelltext stehen. Er probiert keine Adressen durch, sucht keine versteckten Dateien und meldet nichts, wofür es keine Belegstelle gibt. Daraus folgt auch die ehrliche Untergrenze: Von außen ist immer nur ein Teil der installierten Erweiterungen erkennbar. Ein leerer Befund heißt „nichts erkennbar“, nie „alles aktuell“. Die vollständige Liste Ihrer Erweiterungen kennt nur der Administrationsbereich Ihrer Website — fragen Sie danach.
So gehen Sie es an
- Bitten Sie Ihre Agentur um eine Liste aller installierten Erweiterungen samt Datum der letzten Aktualisierung.
- Lassen Sie Erweiterungen entfernen, die niemand mehr braucht — jede installierte Erweiterung ist Pflegeaufwand.
- Prüfen Sie zuerst die Erweiterungen, deren Version im Quelltext sichtbar ist: Genau diese kann jeder Außenstehende auf Aktualität abklopfen.
- Vereinbaren Sie regelmäßige Update-Fenster, damit Aktualisierungen nicht liegen bleiben.
- Fragen Sie bei wichtigen Erweiterungen nach, ob der Hersteller sie noch aktiv weiterentwickelt.
Weiter im Prüfbereich Software-Stand
- Was verraten Server-Header über die Software Ihrer Website?Antwort-Header wie „Server“ oder „X-Powered-By“ nennen oft Software-Versionen. Das erleichtert Angreifern die Zuordnung und lässt sich abschalten.
- Warum sollte das HTML Ihrer Website die W3C-Validierung bestehen?Der W3C-Validator prüft, ob das HTML einer Seite den Regeln des Standards folgt. Was ein Fehler bedeutet, wie die Prüfung abläuft und wer ihn behebt.
- Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr. Was das Wartungsende bedeutet und wie Sie den Wechsel anstoßen.
- Warum sollte Ihre Website ihre CMS-Version verbergen?Eine sichtbare CMS-Version macht Ihre Website für versionsgezielte Angriffe sortierbar. Die Angabe lässt sich meist ohne Funktionsverlust entfernen.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
Foto: Kelly Sikkema, CC0
.jpg){kind=link}