Das meiste, was mein Team bearbeitet, ist die Wartung und Sicherheit von WordPress für Kundenseiten, irgendwo im Bereich von mehreren Dutzend Installationen zu jedem Zeitpunkt, und der Grund, warum WP Security Ninja sich durchgesetzt hat, ist, dass es sich wie ein Werkzeug verhält, das von Menschen entworfen wurde, die tatsächlich mehr als eine Seite gleichzeitig verwaltet haben. Viele Sicherheits-Plugins basieren auf der Annahme, dass man sich in ein einziges Dashboard einloggt, eine einzige Bewertung ansieht und weitermacht. Diese Annahme bricht zusammen, sobald man für vierzig Seiten mit vierzig Logins und vierzig Wartungsfenstern verantwortlich ist. WP Security Ninja behandelt die Multi-Site-Realität als Standardfall und nicht als Nachgedanken, und diese eine Entscheidung hat ihm einen Platz in unserem Standard-Stack eingebracht.
Die MainWP-Integration ist der Teil, auf den ich zuerst hinweisen würde. Wir betreiben MainWP bereits als Hub für Updates und Backups über die gesamte Kundenbasis, daher ist alles, was sich nahtlos integrieren lässt, ohne Reibung hinzuzufügen, für uns von echtem Wert. Die MainWP-Unterstützung von Security Ninja ist direkt in beide Versionen des Plugins integriert, sowohl in die kostenlose als auch in die Premium-Version, was bedeutet, dass es kein separates Child-Plugin gibt, das auf jeder Seite installiert werden muss, kein zusätzliches bewegliches Teil, das aktualisiert werden muss, und keinen zusätzlichen Ausfallpunkt. Sobald das Plugin auf einer Child-Seite installiert ist, erscheint es einfach im MainWP-Dashboard.
Die Aufteilung zwischen den kostenlosen und den Premium-MainWP-Add-ons ist es wert, präzise zu sein, da sie entscheidet, welches ein Agentur tatsächlich benötigt:
- Das kostenlose Add-on, das im WordPress.org-Repository verfügbar ist, zeigt die Sicherheitstestergebnisse von jeder Child-Seite an, markiert bekannte Schwachstellen und ermöglicht es, Scans aus der Ferne zu starten. Für viele kleinere Setups ist das wirklich ausreichend.
- Das Premium-Add-on fügt das kombinierte Ereignisprotokoll über alle verbundenen Seiten hinzu, Suche und Filterung dieser Ereignisse und die Fernsteuerung des White-Label-Modus bei Pro-Installationen. Dies ist die Stufe, die ihren Platz verdient, sobald man Kundenseiten in großem Umfang verwaltet.
Was uns speziell zum Premium-Add-on gebracht hat, war dieses kombinierte Ereignisprotokoll. Anstatt jede Seite zu öffnen, um zu sehen, wie ihre Firewall- und Login-Aktivität aussah, zieht es ein synchronisiertes Protokoll von jeder verbundenen Installation in eine durchsuchbare Ansicht. Wenn ein Kunde eine E-Mail sendet, um zu fragen, warum er ausgesperrt wurde, oder wenn ich bestätigen möchte, ob eine bestimmte Seite letzte Woche einen Anstieg fehlgeschlagener Logins verzeichnet hat, beantworte ich es vom MainWP-Dashboard aus in etwa einer Minute. Das kombinierte Protokoll und die Fernsteuerung des White-Label-Modus berichten nur sinnvoll über Seiten, die die Pro-Version ausführen, da das kostenlose Plugin keine Ereignisse registriert, aber für unsere bezahlte Kundenschicht ist das die Konfiguration, die wir ohnehin ausführen.
Fernscans und Massenaktionen verdienen eine eigene Erwähnung, weil sie den Rhythmus der Routinearbeit verändern. Von der MainWP-Spalte aus kann ich die Sicherheitstests auf einer einzelnen Seite oder auf hundert Seiten mit einer Massenaktion starten, dann später zurückkommen und frische Ergebnisse abrufen, sobald die Seiten synchronisiert sind. Wir haben einen monatlichen Sicherheitsdurchgang in unseren Wartungsvertrag eingebaut, und vorher bedeutete das, dass eine Person jede Seite einzeln durchklicken musste. Jetzt ist es eine Aktion, eine Kaffeepause und eine Überprüfung dessen, was gelb oder rot zurückkam. Die Übersichtsspalte zeigt die Sicherheitsbewertung und erkannte Schwachstellen pro Seite auf einen Blick, sodass der Triage-Schritt erfolgt, bevor jemand eine einzelne Seite öffnet.
Die Sicherheitsbewertung pro Seite ist nützlicher, als eine einzelne Zahl es sein sollte, und sie ist stillschweigend das Erste geworden, was ich mir ansehe. Sie fasst die Testergebnisse, die Schwachstellenfunde und den Zustand der Kerndateiprüfungen in einer Zahl zusammen, und über eine Flotte hinweg gibt sie mir eine schnelle Möglichkeit, die Aufmerksamkeit zu sortieren: Die Seiten, die niedrig liegen, werden zuerst angesehen, die, die hoch liegen, können warten. Es ist auch eine Zahl, die ein Kunde ohne Sicherheitskenntnisse versteht, was mehr zählt, als es klingt. Wenn ich erkläre, warum eine bestimmte Seite diesen Monat Arbeit benötigt, ist es weitaus überzeugender, auf eine gesunkene Bewertung zu zeigen, als einen Absatz voller Fachjargon, den der Kunde mit einem Nicken zur Kenntnis nimmt und nicht aufnimmt. Ich behandle die Bewertung als Triage-Signal und nicht als Evangelium, weil keine einzelne Zahl alles erfasst, was für die Sicherheit einer Seite wichtig ist, aber als Möglichkeit, zu entscheiden, wohin die nächste Arbeitsstunde gehen sollte, erfüllt sie ihren Zweck gut, und das über alle verbundenen Seiten hinweg aus der MainWP-Übersicht.
White Label ist das Feature, das für uns das Agenturpaket leise rechtfertigt. Bei Pro-Lizenzen auf Agenturebene kann man den Plugin-Namen, seine Beschreibung, die Autorendetails, das Symbol und die zugehörigen URLs durch das eigene Branding ersetzen und es optional vollständig vom Standard-Plugin-Bildschirm ausblenden. Wenn sich ein Kunde in sein eigenes WordPress-Admin einloggt, sieht er kein Drittanbieterprodukt namens Security Ninja in seiner Plugin-Liste. Er sieht ein Sicherheitstool, das den Namen unserer Agentur trägt, was genau der Eindruck ist, den wir bezahlt werden, zu schaffen. Es ist ein kleines Stück Politur auf dem Papier und ein bedeutendes in der Praxis, denn ein Kunde, der einen Stapel unbekannter Drittanbieter-Plugins sieht, fragt sich, wofür er uns bezahlt. Das White-Label-Modul wird mit jeder Stufe des Agenturpakets geliefert, anstatt hinter einer separaten Gebühr zu sitzen, und auf einem MainWP-Setup kann man das Kundenbranding über die Flotte hinweg ein- oder ausschalten, ohne jede Seite zu besuchen.
Tagtäglich leistet die Cloud-Firewall die meiste Arbeit, und sie funktioniert in einigen Schichten, die gut zusammenpassen:
- Die IP-Datenbank blockiert den Verkehr von einer kontinuierlich aktualisierten Liste bekannter bösartiger Adressen, im Bereich von 600 Millionen Einträgen, die alle paar Stunden aktualisiert wird, sodass ein großer Teil automatisierter Angriffe nie eine nützliche Antwort erhält.
- Länderblockierung, basierend auf dem bekannten 8G-Firewall-Regelwerk, ermöglicht es, den Zugriff nach Region zu beschränken und zu wählen, ob ein blockiertes Land eine benutzerdefinierte Nachricht sieht oder irgendwo harmlos umgeleitet wird. Für Kundenseiten, die nur ein oder zwei Regionen bedienen, reduziert dies eine enorme Menge an automatisiertem Unsinn.
- Die erweiterten Firewall-Kontrollen lassen Sie entscheiden, wie blockierte Besucher behandelt werden, anstatt ein einziges Verhalten zu erzwingen, was wichtig ist, wenn ein Kunde eine ungewöhnliche Konfiguration hat und Sie die Firewall durchsetzungsfähig, aber nicht ungeschickt benötigen.
Eine Sache, die bei jeder so durchsetzungsfähigen Firewall wichtig ist, ist, was passiert, wenn sie etwas falsch macht, und Security Ninja gibt Ihnen die Kontrollen, um das zu handhaben, ohne die gesamte Seite zu schwächen. Eine Firewall, die auf einer so großen Datenbank basiert, wird gelegentlich einen legitimen Besucher erwischen, besonders auf Seiten mit benutzerdefinierten Setups oder ungewöhnlichem Verkehr. Sie können vertrauenswürdige IP-Adressen zulassen, genau überprüfen, was blockiert wurde, und das Verhalten der Firewall anpassen, anstatt mit einem Alles-oder-Nichts-Schalter zu leben. Für Kundenarbeit ist dieser Unterschied wichtig, denn der Anruf, den ich am wenigsten entgegennehmen möchte, ist ein Kunde, der mir sagt, dass ein echter Kunde die Seite nicht erreichen kann. Die Möglichkeit, die Adresse auf die Whitelist zu setzen, sie gegen das Protokoll zu bestätigen und weiterzumachen, während der Schutz überall sonst vollständig aktiv bleibt, ist der Unterschied zwischen einer zweiminütigen Lösung und einem unangenehmen Nachmittag.
Der 404 Guard ist eines dieser Features, von denen ich nicht erwartet habe, dass sie mir wichtig sind, und die ich jetzt nicht mehr ausschalten würde. Schlechte Bots verbringen ihren Tag damit, Seiten nach nicht existierenden Dateien zu durchsuchen, auf der Suche nach einem alten Backup, einer exponierten Konfiguration, einem verwundbaren Plugin-Pfad, und jede dieser Anfragen kostet den Server etwas. 404 Guard überwacht dieses Suchmuster und schneidet den Übeltäter ab, sodass die Seite aufhört, Ressourcen für die Beantwortung von Scannern zu verschwenden. Auf kleineren Kundenseiten mit bescheidenem Hosting ist die Reduzierung des Junk-Traffics in den Protokollen wirklich spürbar, und es hält die Firewall und den Malware-Scanner auf das echte Signal fokussiert, anstatt auf Hintergrundgeräusche.
Der Malware-Scanner hat offensichtlich Aufmerksamkeit erhalten, und es ist einer der Bereiche, in denen das Produkt vorangekommen ist, anstatt stillzustehen. Er führt tiefe Inspektionen der Plugins, Themes, Uploads und anderer wichtiger Verzeichnisse durch, überprüft Dateien auf bekannte Malware-Muster und sucht nach Code, der nicht dazugehört. Er ist heuristisch und nicht nur ein reiner Versionscheck, sodass er darauf achtet, was der Code tatsächlich tut, und nicht nur, ob ein Plugin behauptet, eine bestimmte Version zu sein. Wenn er etwas markiert, können Sie die Datei sicher überprüfen, sie auf die Whitelist setzen, wenn es sich um einen Fehlalarm handelt, oder sie entfernen. Das Whitelist-Stück ist wichtiger, als es klingt, denn auf echten Kundenseiten wird man irgendwann auf Fehlalarme stoßen, und ein Scanner, der es Ihnen ermöglicht, sie anzuerkennen und zu ignorieren, hält den nächsten Scan sauber, anstatt Sie immer wieder auf dieselbe Datei hinzuweisen.
Geplantes Scannen ist das, was all diese Überprüfungen tatsächlich geschehen lässt, anstatt darauf zu vertrauen, dass sich jemand daran erinnert, es auszuführen. Sie legen einen Rhythmus fest, das Plugin führt den Malware-Scan, die Kernprüfung und die Tests im Hintergrund durch und sendet eine E-Mail, wenn sich etwas geändert hat, anstatt wenn alles in Ordnung ist. Dieses letzte Detail ist das, was es nützlich hält, denn ein Tool, das Ihnen jeden Tag einen sauberen Gesundheitsbericht sendet, wird schnell zu einem Tool, das Sie in einen Ordner filtern und nicht mehr lesen. Die Warnungen von Security Ninja kommen an, wenn es einen Grund gibt, hinzusehen, sodass sie ihr Gewicht behalten. Auf der Agenturseite bedeutet ein geplanter Scan, der leise auf jeder Kundenseite läuft, dass die Basisüberwachung automatisch ist und die manuellen Durchgänge, die wir immer noch durchführen, zu einem Bestätigungsschritt werden, anstatt die einzige Verteidigungslinie zu sein.
Zwei Prüfungen decken die Dateiintegrität ab, und zwischen ihnen beantworten sie den größten Teil der Frage, ob eine Seite manipuliert wurde:
- Der Kernscanner vergleicht die WordPress-Kerndateien auf der Seite, weit über tausend davon, mit den offiziellen Versionen von WordPress.org und markiert alles, was verändert, fehlt oder unerwartet hinzugefügt wurde. Wenn eine Seite zu uns kommt, die bereits Fehlverhalten zeigt, sagt es mir innerhalb von ein paar Minuten, ob der Kern selbst verändert wurde, und ich kann die sauberen Dateien aus der offiziellen Quelle wiederherstellen, anstatt zu raten.
- Die Plugin-Integritätsprüfung validiert Plugins, die von WordPress.org stammen, gegen ihre offiziell veröffentlichten Versionen und lässt Sie die Unterschiede überprüfen, wenn Dateien nicht übereinstimmen. Eine modifizierte Plugin-Datei ist eine der häufigsten Möglichkeiten, wie sich ein Kompromiss versteckt, weil sie in etwas Legitimes eingebettet ist, anstatt sich selbst anzukündigen.
Beide geben mir etwas Konkretes, auf das ich reagieren kann, eine benannte Datei mit einem echten Unterschied, anstatt einer Vermutung, die ich dann einen Nachmittag lang bestätigen muss. Der Kernscanner ist auch in der kostenlosen Version verfügbar, was ihn zu einem vernünftigen Erstreaktionswerkzeug macht, selbst auf einer Seite, die wir noch nicht vollständig integriert haben.
Die Schwachstellenüberwachung wird gut gehandhabt, und die Tatsache, dass es eine kostenlose Funktion ist und nicht hinter einer Bezahlschranke sitzt, sagt etwas darüber aus, wie das Produkt positioniert ist. Das Plugin führt eine Liste bekannter Schwachstellen, die aus kuratierten öffentlichen Quellen einschließlich der National Vulnerability Database stammen, mit CVE-Identifikatoren und Informationen zur behobenen Version, und es vergleicht diese Liste mit den tatsächlich auf der Seite installierten Plugins, Themes und der WordPress-Version. Das Detail, das ich als jemand, der für die Seiten anderer Leute verantwortlich ist, schätze, ist, dass der Vergleich lokal erfolgt. Die Schwachstellenliste wird auf die Seite heruntergeladen und der Abgleich erfolgt dort, sodass das Plugin kein Inventar der Software jeder Seite an einen Drittanbieter-Server sendet. Für Kundenarbeit, bei der ich lieber keine entfernte Datenbank darüber aufbaue, was jeder Kunde betreibt, ist dieses lokal-zuerst-Design die richtige Entscheidung. Der praktische Nutzen ist einfach: Wenn ein Plugin, auf das ein Kunde angewiesen ist, eine offengelegte Schwachstelle erhält, informiert mich das Plugin, und es informiert mich, bevor jemand anderes es auf die harte Tour herausfindet.
Die über 50 Sicherheitstests sind der Teil des Produkts, den ich vor Jahren zuerst verwendet habe, und sie verdienen immer noch ihren Platz. Das Plugin führt eine lange Checkliste häufiger WordPress-Fehler und riskanter Einstellungen durch, einschließlich:
- Datei- und Ordnerberechtigungen, die lockerer sind, als sie sein sollten
- Versionsoffenlegung, die Angreifern kostenlose Aufklärung bietet
- Gefährliche PHP-Konfiguration und Debug- oder Auto-Update-Einstellungen, die im falschen Zustand belassen wurden
- Ein unsicheres Standard-Datenbanktabellenpräfix
- Exponierte APIs und Anwendungspassworteinstellungen
- Übrig gebliebene deaktivierte Plugins und veraltete Software
Die kostenlose Version erklärt jeden Fund und sagt Ihnen, wie Sie ihn manuell beheben können. Die Pro-Version fügt Ein-Klick-Lösungen für viele dieser Funde hinzu und erstellt ein Backup, bevor sie etwas Sensibles anfasst. Dieses Backup-vor-Fix-Verhalten ist der Grund, warum ich es bequem finde, es Änderungen auf einer Kundenseite vornehmen zu lassen, anstatt darauf zu bestehen, jede Korrektur von Hand zu machen. Es verwandelt ein Sicherheitsaudit, die Art von Sache, die früher eine langsame manuelle Checkliste oder einen teuren Berater bedeutete, in einen Durchgang, der nur wenige Minuten pro Seite dauert.
Das automatische Beheben von Routineproblemen verdient eine eigene Erwähnung, weil es eine lange Liste von Härtungsschritten abdeckt, die mühsam von Hand zu erledigen und nahezu unmöglich konsistent über viele Seiten hinweg zu tun sind. Mit einem Backup, das vor jeder sensiblen Änderung gemacht wird, wird es:
- Ein unsicheres Datenbankpräfix in etwas ändern, das Angreifer nicht annehmen können
- Verzeichnisdurchsuchen deaktivieren, damit die Dateistruktur nicht angezeigt wird
- Unbenutzte Themes und inaktive Plugins entfernen, die nur die Angriffsfläche vergrößern
- Dateiberechtigungen auf sicherere Werte anpassen
- Eine Reihe bekannter Angriffsvektoren schließen
Auf einer einzelnen Seite ist das Durcharbeiten dieser Liste manuell eine halbe Stunde fummeliger Arbeit, die leicht falsch gemacht werden kann, und eine leicht falsche Dateiberechtigung kann eine Seite genauso effektiv lahmlegen wie ein Angreifer. Über eine Kundenbasis hinweg ist es die Art von Aufgabe, die einfach nicht zweimal auf die gleiche Weise erledigt wird. Das Plugin die Routinekorrekturen anwenden zu lassen, während es mir genau zeigt, was es geändert hat und ein Backup behält, falls ich es zurücksetzen muss, bedeutet, dass der langweilige Teil der Härtung tatsächlich abgeschlossen wird.
Der Login-Schutz ist solide und deckt den Bereich ab, den Angreifer am härtesten angreifen. Die Teile, die in unserer täglichen Arbeit am wichtigsten sind:
- Ratenbegrenzung bei fehlgeschlagenen Logins mit konfigurierbaren Schwellenwerten und automatischem Sperren von Adressen, die weiter raten
- Reduzierte Benutzernamenerfassung, sodass Bots nicht leicht gültige Benutzernamen zum Angriff ernten können
- Schutz des Passwort-Wiederherstellungsprozesses, ein weiterer Weg, der oft ignoriert wird
- Zwei-Faktor-Authentifizierung mit einer Authenticator-App oder E-Mail-Codes
- Die Option, die Login-URL vom Standard zu ändern, sodass automatisierter Verkehr die Tür meist nie findet
Für Kundenseiten, bei denen der Kunde trotz unserer Beratung auf einem schwachen Passwort besteht, ist die Kombination aus 2FA und einer umbenannten Login-URL das, was mich ruhig schlafen lässt, weil die Brute-Force-Versuche meist enden, bevor sie beginnen.
Das Onboarding einer neuen Kundenseite ist schneller, als ich erwartet habe, und das liegt an drei Dingen, die zusammenarbeiten:
1. Der Einrichtungsassistent führt eine frische Installation durch das Ausführen der Tests, das Aktivieren der empfohlenen Korrekturen und das Einschalten der wichtigsten Schutzmaßnahmen, sodass man nicht durch jeden Einstellungsbildschirm auf einer Seite, die man gerade übernommen hat, suchen muss.
2. Der Import und Export von Einstellungen bedeutet, dass wir, sobald wir eine Sicherheitskonfiguration haben, die uns gefällt, dieselbe Richtlinie auf die nächste Seite anwenden, anstatt sie aus dem Gedächtnis neu zu erstellen.
3. Für größere Rollouts ermöglicht das Einfügen einer license_key.txt-Datei in das Plugin-Paket, dass die Lizenz sich bei der Installation selbst aktiviert und dann die Datei löscht, sodass die Copy-Paste-Lizenzroutine vollständig verschwindet.
Für eine Agentur ist Konsistenz über Seiten hinweg eine Sicherheitseigenschaft an sich, und diese drei Dinge zusammen sind es, die Konsistenz billig machen.
Der Ereignislogger ist das Werkzeug, zu dem ich greife, wenn bereits etwas passiert ist und ich es rekonstruieren muss. Er zeichnet Logins, sowohl erfolgreiche als auch fehlgeschlagene, Firewall-Ereignisse, Scan-Aktivitäten, Updates, Dateiaktionen und mehr in einem filterbaren Protokoll auf. Wenn ein Kunde fragt, wer eine Einstellung geändert hat, oder wenn ich versuche, die Ereignisfolge um einen verdächtigen Login herum herauszufinden, ist das Protokoll der Ort, an dem die Antwort liegt. Gefiltert durch die kombinierte Ansicht von MainWP wird es zu einer Prüfspur über die gesamte Kundenbasis hinweg, anstatt zu einer per-Site-Neugier, was die Version davon ist, die tatsächlich Zeit spart.
Wenn wir möchten, dass Sicherheitsereignisse das Plugin verlassen und an einem Ort landen, den das Team bereits überwacht, übernimmt die Webhook-Unterstützung dies. Security Ninja kann Webhook-Ereignisse für Dinge wie blockierte Besucher und Login-Aktivitäten auslösen, und da es sich um Standard-Webhooks handelt, landen sie direkt in Zapier oder jedem System, das einen eingehenden Hook akzeptiert. Wir leiten bestimmte Ereignisse in den Kanal, den das Team bereits den ganzen Tag über überwacht, sodass ein bemerkenswerter Login oder eine plötzliche Welle blockierten Verkehrs dort auftaucht, wo eine Person es tatsächlich sieht, anstatt in einem Protokoll zu sitzen, das darauf wartet, überprüft zu werden. Es ist nicht ein Feature, das jede Kundenseite benötigt, und bei den einfacheren Konten lassen wir es aus, aber für die anspruchsvolleren Kunden schließt es die Lücke zwischen dem Plugin, das etwas bemerkt, und einem Menschen, der davon erfährt.
Für die Kunden, die einen Shop betreiben, ist der WooCommerce-Schutz ein kleiner, aber willkommener Teil. Er fügt Schutz um die Bereiche hinzu, die Bots in einem Geschäft missbrauchen, die Login- und Registrierungsabläufe, missbräuchliche Checkout- und Warenkorbaktivitäten und das Brute-Forcing von Gutscheinen. Es ist nicht der Hauptgrund, das Plugin zu wählen, aber für eine Agentur mit einer Handvoll E-Commerce-Kunden bedeutet es ein spezialisiertes Plugin weniger, das beschafft und gewartet werden muss. Und weil es im selben Plugin wie die Firewall und der Scanner lebt, werden der Schutz im Geschäft und der Schutz auf dem Rest der Seite an einem Ort konfiguriert und überwacht, anstatt über zwei separate Tools.
Eine neuere Ergänzung ist der KI-Sicherheitsberater, der die Ergebnisse des Plugins in einen einzigen lesbaren Sicherheitsbericht zusammenfasst. Was ich an der Art und Weise, wie er gebaut wurde, schätze, ist die Zurückhaltung in Bezug auf Daten. Er ist als datenschutzbewusster Bericht konzipiert, der keine persönlichen Informationen von der Seite sendet, und er kann über Standard-AI-Connectoren oder die eigene Option des Plugins laufen, sodass man nicht in eine Pipeline gezwungen wird. Für die Kundenkommunikation gibt er mir eine Zusammenfassung in einfacher Sprache, die ich in ein Wartungsupdate umwandeln kann, anstatt einem Kunden eine Wand aus rohen Testergebnissen zu übergeben, die er überfliegen und vergessen wird. Es ist ein gutes Beispiel dafür, wie ein neueres Feature auf eine durchdachte Weise hinzugefügt wird, um ein echtes Kommunikationsproblem zu lösen.
Das Entwicklungstempo ist etwas, das ich stark gewichte, wenn ich entscheide, ob ich auf ein Tool standardisieren soll, und WP Security Ninja besteht diesen Test. Das Änderungsprotokoll bewegt sich in einem realen Tempo, es gibt eine öffentliche Roadmap und ein Feedback-Portal, in dem ich sehen kann, woran gearbeitet wird und Anfragen hinzufügen kann, und das Plugin wird seit weit über einem Jahrzehnt kontinuierlich gewartet. Der Support kommt von dem kleinen Team, das das Produkt tatsächlich entwickelt, sodass, wenn ich etwas Spezifisches angesprochen habe, es von jemandem beantwortet wurde, der das Plugin versteht, anstatt von einem ersten Skript. Mehr als ein Punkt auf der Roadmap, einschließlich tieferer MainWP-Integration und der Möglichkeit, Sicherheitsberichte an Kunden zu senden, zielt direkt auf den Agentur-Anwendungsfall ab.
Die Lizenzierung ist so aufgebaut, wie Agenturen tatsächlich kaufen. Anstatt pro Seite Käufe zu erzwingen, gibt es Bulk-Pakete in drei Größen:
- 25 Seiten, was zu einem kleineren Studio oder einem Freelancer mit einer stabilen Kundenbasis passt
- 100 Seiten, die Stufe, auf der die meisten etablierten Agenturen landen werden
- 500 Seiten, für größere Operationen, die eine ernsthafte Flotte verwalten
Jedes Bündel enthält das MainWP-Add-on und das White-Label-Modul, anstatt separat dafür zu berechnen, und ein Lizenzschlüssel deckt Staging, Produktion und zukünftige Migrationen ab, sodass das Hochfahren einer Staging-Kopie eines Kunden nicht in eine separate Zuteilung fällt. Für die Budgetierung einer Wartungspraxis ist ein vorhersehbarer Pro-Seiten-Kosten bei Volumen genau das, was ich möchte, und die Bündelpreise machen die Mathematik leicht zu verteidigen gegenüber demjenigen, der die Tools genehmigt.
Eine letzte Sache, die es wert ist, gesagt zu werden, ist, dass nichts davon in einer Schnittstelle verpackt ist, die gegen Sie arbeitet. Das Dashboard zeigt den Firewall-Status, ausstehende Updates, die Sicherheitsbewertung und Schwachstellenfunde, ohne dass man graben muss, und das Plugin bleibt leicht genug, dass es auf keiner Kundenseite, auf der wir es betreiben, eine Leistungsbeschwerde war. Ich habe es weniger technischen Kollegen und Kunden, die ihre eigenen Inhalte verwalten, übergeben, und sie finden sich ohne Schulungssitzung zurecht. Für ein Produkt, das so viele Module enthält, ist es nicht selbstverständlich, zugänglich zu bleiben, und Security Ninja schafft das.
Die kostenlose Version ist erheblich mehr als ein Teaser, und das prägt unsere Arbeit mehr, als ich erwartet habe. Die Sicherheitstests, der Schwachstellenscanner und der Kernscanner laufen alle, ohne dass man etwas bezahlen muss, was bedeutet, dass, wenn ein potenzieller Kunde uns bittet, sich eine Seite anzusehen, die wir noch nicht verwalten, wir das kostenlose Plugin installieren können, eine echte Bewertung in wenigen Minuten erhalten und unsere Empfehlung auf Beweisen basieren können, anstatt auf einer höflichen Vermutung. Wenn diese Seite auf eine Pro-Lizenz wechselt, wissen wir bereits, womit wir es zu tun haben, und wir haben die Arbeit entsprechend bepreist. Ein Sicherheits-Plugin, das Ihnen eine echte Einschätzung einer Seite gibt, bevor Geld den Besitzer wechselt, ist ungewöhnlich, und es ist stillschweigend zu einem legitimen Teil geworden, wie wir die Aufnahme betreiben, anstatt zu einer gesperrten Demo, um die wir herumreden müssen. Bewertung gesammelt von und auf G2.com gehostet.
Bisher bin ich auf keine Probleme gestoßen, alles funktioniert gut. Die Roadmap ist umfangreich, und das Team behebt den gelegentlichen seltenen Fehler schnell. Bewertung gesammelt von und auf G2.com gehostet.
