{ "name": "CreaCaptcha", "display_name": "CreaCaptcha", "slug": "creationell-captcha", "version": "1.0.1", "download_url": "https://github.com/creationell-dev/creationell-captcha/releases/download/v1.0.1/creationell-captcha.zip", "checksum_sha256": "f7aaaadb327330eedc9225895175e1bb3cd7200d1aab86f4d7f817380aba961a", "requires": "6.9", "tested": "7.0", "requires_php": "8.3", "author": "creationell® – die Werbeagentur ", "author_profile": "https://www.creationell.de/", "contributors": { "creationell-dev": { "display_name": "creationell-dev", "profile": "https://profiles.wordpress.org/creationell-dev", "avatar": "https://wordpress.org/grav-redirect.php?user=creationell-dev&s=36" }, "JPKCom": { "display_name": "JPKCom", "profile": "https://profiles.wordpress.org/JPKCom", "avatar": "https://wordpress.org/grav-redirect.php?user=JPKCom&s=36" } }, "tags": [ "captcha", "spam", "anti-spam", "anti-bot", "proof of work" ], "license": "GPL-2.0-or-later", "license_uri": "https://www.gnu.org/licenses/gpl-2.0.html", "text_domain": "creationell-captcha", "domain_path": "/languages", "network": false, "requires_plugins": [], "homepage": "https://github.com/creationell-dev/creationell-captcha", "last_updated": "2026-06-02", "sections": { "description": "

CreaCaptcha ist ein vollständig selbst-gehostetes\nSchutz-Plugin für WordPress. Es kombiniert einen Proof-of-Work-Captcha\nauf Basis der MIT-Bibliothek altcha-org/altcha mit einer\nFirewall, einem per-IP-Rate-Limiter, einem Under-Attack-Modus,\nE-Mail-Obfuskation und einer optionalen Bild-Code-Challenge. Es gibt\nkeine externen API-Aufrufe, kein Lizenz-Gate, keine SaaS-Anbindung und\nkeine Telemetrie — alle Funktionen laufen lokal in WordPress.

\n

Das Plugin schützt die vier WordPress-Kernformulare (Kommentare,\nLogin, Registrierung, Passwort-Reset) sowie automatisch alle Formulare\ngängiger Form-Plugins (Contact Form 7,\nForminator, WPForms,\nWooCommerce mit Checkout / My-Account-Login /\nRegistrierung / Lost-Password). Eigene oder fremde Formulare lassen sich\nüber den Shortcode [creationell_captcha], das Template-Tag\ncreationell_captcha_widget() oder den generischen\nInterceptor (Pfad-Schutz) absichern.

\n

Key Features

\n\n
\n", "installation": "
    \n
  1. Den Plugin-Ordner creationell-captcha nach\n/wp-content/plugins/ hochladen — entweder als ZIP über\nPlugins → Installieren → Plugin hochladen oder per\nFTP/SSH/wp plugin install.
    2. \n
  2. Unter Plugins → Installierte Plugins das Plugin\nCreaCaptcha aktivieren.
    3. \n
  3. Den neuen Menüpunkt CreaCaptcha im\nWordPress-Adminbereich öffnen.
    4. \n
  4. Unter CreaCaptcha → Einstellungen im Tab\nCaptcha den Master-Toggle prüfen (Standard: aktiv) und\nden Tab Formulare durchgehen, um\nWordPress-Kernformulare und Form-Plugins zu aktivieren.
    5. \n
  5. Falls eigene Formular-Pfade abgesichert werden sollen: im Tab\nCaptcha → Interceptor die Liste Geschützte\nPfade pflegen.
    6. \n
  6. Empfohlen: einmal CreaCaptcha → Statistik öffnen,\ndamit der Event-Log aktiviert werden kann (optional — die\nAggregat-Statistik läuft auch ohne).
    7. \n
\n

Anforderungen

\n\n

Das Plugin prüft die Mindestversionen beim Aktivieren und zeigt im\nAdmin-Bereich eine deutliche Hinweisleiste, wenn die Umgebung zu alt\nist.

\n

Updates

\n

Updates kommen direkt aus dem GitHub-Repo. Der eingebaute\nSelf-Hosted-Updater (includes/class-plugin-updater.php)\nprüft regelmäßig das Manifest, vergleicht Versionen und installiert das\noffiziell signierte ZIP samt SHA-256-Checksum.

\n
\n", "changelog": "

1.0.1

\n\n

1.0.0

\n

Erstes stabiles Release. CreaCaptcha ist ein vollständig\nselbst-gehosteter Spamschutz für WordPress — ohne externe Dienste, ohne\nTracking, ohne Lizenz-Gate.

\n

Funktionsumfang:

\n\n

Neu in diesem Release:

\n\n

Das Update von v0.30.x erfolgt ohne Datenbank-Migration und ohne\nBreaking Changes — bestehende Einstellungen, Listen und Statistiken\nbleiben unverändert erhalten.

\n

0.30.1

\n

Wartungsrelease: Release-Infrastruktur umgestellt — keine\nfunktionalen Änderungen am Plugin.

\n\n

0.30.0

\n

Under-Attack Pass-Event & Statistik-Übersicht — das Backend\nunterscheidet jetzt, ob ein Besucher die Under-Attack-Prüfung bestanden\nhat oder hängen blieb, und die Statistik-Übersicht erklärt ihre Zahlen\nselbst.

\n\n

0.29.0

\n

Logo im Under-Attack-Interstitial — die 503-Seite kann jetzt ein Logo\noberhalb der Überschrift anzeigen.

\n\n

0.28.0

\n

Feature-Modul 21 — Under-Attack-Customization: Wording und\nErscheinungsbild der Interstitial-Seite sind ab sofort über das Backend\nkonfigurierbar, ohne Plugin-Code zu patchen.

\n\n

Sites nach Update sehen ohne Aktion keine visuelle\nVeränderung — alle sieben Felder sind initial leer und das Template\nfällt damit auf die bisherigen Default-Werte zurück.

\n

0.27.2

\n

Metadaten-Anpassung an WordPress 7.0 / 6.9.

\n\n

Keine funktionalen Code-Änderungen.

\n

0.27.1

\n

CSS-Fix: Widget-Abstand zum darauffolgenden Element im\nStandard-Modus.

\n\n

0.27.0

\n

Feature-Modul 20 — Widget-i18n: Die Sicherheitsabfrage erscheint\nendlich in der korrekten Sprache, ohne dass der Admin etwas\nkonfigurieren muss.

\n\n

0.26.2

\n

Bugfix-Release: schließt eine Verify-Regression aus v0.22.0 / Commit\nc322b96, die seit der Korrektur des\nconfiguration-JSON-Attributs das ALTCHA-Widget dazu\nbrachte, bei jedem gelösten PoW die /code-verify-Route\naufzurufen — und dort mit 400 invalid_request abgewiesen zu\nwerden, weil im Plain-Mode (ohne Code-Challenge im\n/challenge-Response) das code-Feld im Body\nfehlt.

\n\n

Die ALTCHA-verifyUrl-Mechanik schaltet das Widget\npauschal in den Server-Verify-Modus — auch ohne Code-Challenge im\nResponse. Beide Fixes zusammen: saubere Standard-Konfiguration ohne\nRoundtrip und Defense-in-Depth, falls\ncode_challenge_enabled aktiv ist aber kein Trigger\ngreift.

\n

0.26.1

\n

UX-Polish-Release: schließt die drei nicht-essenziellen UX-Befunde\naus dem Qualitäts-Audit (Modul 18) ab.

\n\n

0.26.0

\n

Performance-Release: drei aufgeschobene Optimierungen aus dem\nQualitäts-Audit (Modul 18) — Settings-Memoize, Analytics-Bump-Memoize\nund ein Composite-Index auf der Events-Tabelle.

\n\n

0.25.0

\n

Qualitäts-Audit-Release: Security-Härtung des Updaters,\nEvent-Log-Privacy, Body-Fingerprint-Maskierung sowie umfassende\nUX-Hilfetexte und Konsistenz- Fixes im Backend.

\n

Sicherheit: - Updater\n(includes/class-plugin-updater.php): Checksum-Vergleich\nnutzt jetzt hash_equals() (timing-safe). Slug-Heuristik in\nverify_download_checksum() durch Exakt-Match gegen\nmanifest.download_url ergänzt — verhindert Bypass über ein\nmanipuliertes Manifest mit Slug-freier Download-URL. Manifest-Fetch über\nwp_safe_remote_get() (Defense-in-Depth gegen SSRF). -\nEvent-Log: Analytics::current_path() reduziert\nREQUEST_URI auf den Pfad-Anteil. GET-Token,\nMagic-Login-Links und API-Keys landen damit nicht mehr im persistenten\nEvent-Log. - Request-Body-Fingerprint: Feldnamen mit sensitiven\nSubstrings (password, secret,\ntoken, iban, api_key,\ncvv, …) werden vor dem JSON-Encode durch\n[masked:<sha256-8>] ersetzt, um Custom-Form- Schemata\nnicht im Event-Log preiszugeben. Neuer Filter\ncreationell_captcha_request_body_sensitive_patterns für\nprojektspezifische Erweiterungen. -\nAnalytics::clear_events() nutzt jetzt\nwpdb::prepare( 'DELETE FROM %i', $table ) statt\nRoh-Interpolation (WP-6.2+-konform).

\n

Backend-UX: - DSGVO-First: Default\nanalytics_anonymize_ip von false auf\ntrue. Neue Installs anonymisieren IPs out-of-the-box;\nbestehende Installs behalten ihre Wahl. - Rate-Limit-Default\nratelimit_max von 10 auf 30 (besser für Login-Scope — ein\nNutzer mit Tippfehler-Marathon läuft nicht mehr ins 5-Minuten-Lockout).\n- Tab-Reihenfolge: „Analytics” steht nun vor „E-Mail-Schutz” (näher an\nden Schutzmodulen). - Firewall-Tab: Sektionen sortiert auf Proxy →\nFirewall → Bypass → Rate-Limit (Bypass folgt der Firewall, deren Regeln\nsie überstimmt). - widget_code_challenge_display in die\nCode-Challenge-Section verschoben und an\ncode_challenge_enabled gekoppelt. - 21 fehlende oder\nschwache Settings-Hilfetexte ergänzt (algorithm,\ndifficulty, challenge_expiry, alle\nwidget_*-Customization-Felder, Core-Forms-Toggles, alle\nForm-Plugin-Toggles, Rate-Limit-Felder,\nfirewall_proxy_header,\nfirewall_ip_block/ua_block,\nunderattack_enabled, analytics_event_log,\nbypass_cookies,\nfirewall_cloudflare_auto_refresh,\ninterceptor_skip_logged_in). Section-Renderer für Engine,\nCode-Challenge und Firewall mit erklärenden Texten ergänzt (PoW-Konzept,\nOR-Logik der Trigger, CIDR-Notation). -\ninterceptor_actions-Hilfetext nennt jetzt die\nedit_posts-Exemption (Autoren/Editoren weiterhin\nausgenommen). - Tools-Page: Reset-Karte + Confirm-Dialog erwähnen jetzt\nexplizit auch Interceptor- und Bypass-Listen.

\n

WP-CLI: - wp creacaptcha status zeigt\ndrei neue Zeilen: Proxy-Modus, CF-Trust / CF-Auto-Refresh und\nIP-Anonymisierung. - wp creacaptcha doctor prüft\next-sodium, wenn der Algorithmus auf Argon2id steht — Error\nmit Fix-Vorschlag, wenn die Extension fehlt.

\n

Code-Qualität: -\ndefined( constant_name: 'ABSPATH' ) →\ndefined( 'ABSPATH' ) in 48 Dateien. Named-Args auf\nPHP-Builtins sind nicht stabilitäts-garantiert und werden von\nStatic-Analyzern als Anti-Pattern geflaggt. - PHPDoc: über 20 eigene\ndo_action/apply_filters-Hooks vollständig\ndokumentiert (creationell_captcha_event,\nInterceptor-Filter-Familie, WPForms-/WC-Autoinject-Filter),\nRepeat-Dispatches mit WordPress-Core- style „This action is documented\nin …“-Verweisen. - REST-Callback-PHPDocs in\nincludes/rest.php und\nincludes/code-challenge.php ergänzt\n(@param/@return mit Status-Code-Tabelle).

\n

Tooling & Doku: - phpdoc.xml\nVersion-Drift 0.1.0 → 0.25.0. -\nPlugin-Header-Description nennt jetzt Firewall, Rate-Limit,\nUnder-Attack, E-Mail-Obfuskation und Code-Challenge (vorher: nur\nPoW-Spamschutz). - README-Description um WPForms-,\nWooCommerce-Integrationen und Code-Challenge-Absatz erweitert. -\nuninstall.php: Transient-Cleanup vom\n_used_-Prefix auf das gesamte\ncreationell_captcha_-Prefix erweitert; entfernt jetzt auch\n_cc_*, _rl_* und\n_git_update_*-Caches/Locks.

\n

Behebt: - Inkorrekt formulierter\nIPv6-Anonymisierungs-Hilfetext (includes/settings.php):\nstimmt jetzt mit der Code-Logik überein (erste 48 Bit bleiben, letzte 80\nBit auf 0). - Tippfehler „mehrmietigen” → „mehrmandantigen (Shared\nHosting)“. - Tested up to: 6.9 → 6.8\n(WordPress 6.9 ist Stand 2026-05-28 noch nicht released).

\n

0.24.0

\n\n

0.23.0

\n\n

0.22.0

\n\n

0.21.0

\n\n

0.20.0

\n\n

0.19.0

\n\n

0.18.0

\n\n

0.17.0

\n\n

0.16.0

\n\n

0.15.0

\n\n

0.14.0

\n\n

0.13.0

\n\n

0.12.0

\n\n

0.11.0

\n\n

0.10.0

\n\n

0.9.0

\n\n

0.8.0

\n\n

0.7.0

\n\n

0.6.0

\n\n

0.5.0

\n\n

0.4.0

\n\n

0.3.0

\n\n

0.2.0

\n\n

0.1.0

\n\n", "faq": "

Sendet CreaCaptcha\nDaten an externe Dienste?

\n

Nein. Das Plugin arbeitet vollständig selbst-gehostet — es gibt keine\nAPI-Aufrufe, kein Telemetrie-Backend, keinen Lizenz-Check und keine\nSaaS-Anbindung. Die einzige optionale externe Anfrage ist der\nCloudflare-IP-Refresh aus den offiziellen Cloudflare-Listen, der\nausschließlich auf expliziten Toggle läuft.

\n

Welcher\nCaptcha-Algorithmus läuft im Hintergrund?

\n

CreaCaptcha nutzt die offizielle MIT-Bibliothek\naltcha-org/altcha. Standardmäßig kommt PBKDF2/SHA-256 zum\nEinsatz (kein PHP-Extension-Bedarf). Optional lässt sich auf Argon2id\numschalten, dafür wird ext-sodium benötigt.

\n

Funktioniert das Plugin\nohne JavaScript?

\n

Nein — die Proof-of-Work-Sicherheitsabfrage muss vom Browser gelöst\nwerden. Ohne JavaScript erscheint das Widget als Hinweistext, und die\nServer-Verifikation wird die Submission abweisen. Für ein vollständig\nJS-loses Schutz-Setup ist die Firewall+Rate-Limit-Schicht der richtige\nAnsatz.

\n

Welche Form-Plugins\nwerden unterstützt?

\n

Mit dedizierten Integrationen: Contact Form 7,\nForminator, WPForms (Lite und Pro),\nWooCommerce (Checkout, My-Account-Login, Registrierung,\nLost-Password). Beliebige andere Formulare lassen sich über\n[creationell_captcha] und die Geschützte-Pfade-Liste\nabsichern. Für AJAX-/Admin-Post-Endpoints gibt es zusätzlich die\nGeschützte-Aktionen-Liste.

\nWie\nschütze ich ein eigenes Formular auf einer beliebigen Seite?\n

Drei Schritte: (1) Den Shortcode [creationell_captcha]\noder das Template-Tag creationell_captcha_widget() ins\nFormular einbauen. (2) Den Pfad der Seite oder den Submit-Pfad in\nCaptcha → Interceptor → Geschützte Pfade eintragen. (3)\nBei AJAX-/Admin-Post-Submissions zusätzlich den\naction-Namen in Geschützte Aktionen. Der\nInterceptor verifiziert dann automatisch jede Submission.

\n

Was passiert mit\nungelösten Bot-Submissions?

\n

Der Server lehnt die Submission ab. Bei klassischen Formularen erhält\nder Browser die normale Validierungs-Fehlermeldung des jeweiligen\nPlugins. Bei AJAX wird 403 Forbidden mit JSON-Body\ngeliefert. Der Bot bekommt keine Hilfe in Form von Hinweisen, woran das\nCaptcha gescheitert ist — der reason landet nur im\nEvent-Log.

\nWie\nkann ich mich selbst aussperren — und wie komme ich wieder rein?\n

Wer durch eigene Firewall-Regeln, Rate-Limit oder einen kaputten\nUnder-Attack-Modus ausgesperrt wird, kann zu jeder Zeit per\nwp-config.php den Kill-Switch setzen:

\n
define( 'CREATIONELL_CAPTCHA_DISABLE', true );
\n

Sofort sind alle Module aus — Firewall, Rate-Limit,\nCaptcha, Under-Attack, Interceptor. Anschließend lassen sich die\nproblematischen Einstellungen im Backend korrigieren. Ohne\nSSH/FTP-Zugriff bleibt der direkte Datenbank-Eingriff:\nwp option update creationell_captcha_settings … oder per\nwp creacaptcha settings load-defaults.

\nFunktioniert\ndas Plugin hinter Cloudflare oder einem Reverse-Proxy?\n

Ja. Im Tab Firewall unter „Proxy &\nIP-Ermittlung” den Proxy-Modus aktivieren und den passenden\nForwarded-Header wählen. Für Cloudflare zusätzlich „Cloudflare-IPs\nvertrauen” und optional den Auto-Refresh einschalten — die offiziellen\nCloudflare-v4/v6-Ranges werden dann täglich neu geladen. Ohne\nTrust-Konfiguration wird der Header ignoriert, damit Angreifer nicht\nbeliebige IPs spoofen können.

\n

Wie viel Performance\nkostet das Plugin?

\n

Sehr wenig. Die Captcha-Berechnung läuft im Browser, nicht auf dem\nServer. Die Firewall-Auswertung ist eine reine IP-/Pattern-Prüfung\n(keine externen Lookups). Analytics-Counter werden seit v0.26.0 pro\nRequest gesammelt und in einem einzigen DB-Roundtrip auf\nshutdown geschrieben. Das Event-Log nutzt seit derselben\nVersion einen Composite-Index, der typgefilterte Dashboard-Queries ohne\nFilesort beantwortet.

\n

Wie DSGVO-konform ist das\nPlugin?

\n

Out-of-the-box ist die IP-Anonymisierung im Event-Log aktiv (IPv4 auf\nletztes Oktett, IPv6 auf letzte 80 Bit trunkiert). Aggregat-Zähler\nenthalten keinerlei personenbezogene Daten. Im Event-Log werden keine\nQuery-String-Werte (GET-Token, Magic-Links, API-Keys) gespeichert — der\nPfad wird vor dem Schreiben auf den reinen Pfadanteil reduziert.\nRequest-Body-Fingerprints enthalten nur Feldnamen und Wertlängen;\nsensitive Feldnamen werden zusätzlich gehasht.

\n

Wie deaktiviere ich das\nPlugin sauber?

\n

Über Plugins → Installierte Plugins deaktivieren\nreicht für den Betrieb. Wer auch die Daten loswerden will, kann das\nPlugin anschließend löschen — der uninstall.php-Cleanup\nentfernt alle Options, Transients (inklusive _cc_*-Caches\nund _git_update_*-Locks) sowie die Event-Tabelle.

\n

Funktioniert das Plugin\nmit Multisite?

\n

Ja, allerdings pro Site einzeln aktivierbar. Es gibt aktuell keine\nNetwork-Activate-Logik mit zentralen Settings — jede Site hat ihre\neigene Konfiguration. Network-weite Aktivierung ist möglich, hat aber\ndenselben Effekt wie eine Aktivierung pro Site.

\nKann\nich CreaCaptcha parallel zu einem anderen Captcha-Plugin betreiben?\n

Technisch ja — die Code-Pfade kollidieren nicht.\nwp creacaptcha doctor prüft auf bekannte Captcha-Plugins\n(reCAPTCHA, hCaptcha, Turnstile, ALTCHA-WordPress) und warnt, weil zwei\nCaptcha-Layer auf demselben Formular für den Nutzer unzumutbar werden.\nEmpfehlung: nur eines aktiv lassen.

\n

Wo finde ich\nLogs, wenn etwas nicht funktioniert?

\n

Mit define( 'CREATIONELL_CAPTCHA_DEBUG', true ); (oder\nglobal WP_DEBUG) schreibt das Plugin Debug-Hinweise nach\nwp-content/debug.log. Zusätzlich liefert\nwp creacaptcha doctor einen kompletten Diagnose-Lauf, und\ndas Event-Log zeigt alle abgewiesenen Requests samt Grund.

\n

Wie aktualisiere ich\nauf eine neue Version?

\n

Drei Wege: (1) Der eingebaute Self-Hosted-Updater zeigt neue\nVersionen automatisch im Plugins-Bildschirm — wie ein\nnormales wp.org-Update. (2) ZIP von der GitHub-Release-Seite\nherunterladen und manuell über Plugins → Installieren → Plugin\nhochladen einspielen. (3) Per WP-CLI:\nwp plugin install --activate <release-url> mit der\nURL aus den GitHub-Releases.

\n
\n" }, "readme_html": "

CreaCaptcha

\n

Plugin Name: CreaCaptcha
\nPlugin URI:\nhttps://github.com/creationell-dev/creationell-captcha
\nDescription: Datenschutzfreundlicher\nProof-of-Work-Captcha, Firewall, Rate-Limiter, Under-Attack-Modus,\nE-Mail-Obfuskation und Bild-Code-Challenge — vollständig selbst-gehostet\nohne externe Dienste.
\nVersion: 1.0.1
\nAuthor: creationell® – die Werbeagentur marketing@creationell.de
\nAuthor URI: https://www.creationell.de/
\nContributors: creationell-dev, JPKCom
\nTags: captcha, spam, anti-spam, anti-bot, proof of\nwork
\nRequires at least: 6.9
\nTested up to: 7.0
\nRequires PHP: 8.3
\nStable tag: 1.0.1
\nLicense: GPL-2.0-or-later
\nLicense URI:\nhttps://www.gnu.org/licenses/gpl-2.0.html
\nText Domain: creationell-captcha
\nDomain Path: /languages

\n

Schützt WordPress-Formulare und ganze Sites mit einem\nselbst-gehosteten Proof-of-Work-Captcha, Firewall, Rate-Limiter,\nUnder-Attack-Interstitial, E-Mail-Obfuskation und optionaler\nBild-Code-Challenge — ohne externe Dienste.

\n
\n

Description

\n

CreaCaptcha ist ein vollständig selbst-gehostetes\nSchutz-Plugin für WordPress. Es kombiniert einen Proof-of-Work-Captcha\nauf Basis der MIT-Bibliothek altcha-org/altcha mit einer\nFirewall, einem per-IP-Rate-Limiter, einem Under-Attack-Modus,\nE-Mail-Obfuskation und einer optionalen Bild-Code-Challenge. Es gibt\nkeine externen API-Aufrufe, kein Lizenz-Gate, keine SaaS-Anbindung und\nkeine Telemetrie — alle Funktionen laufen lokal in WordPress.

\n

Das Plugin schützt die vier WordPress-Kernformulare (Kommentare,\nLogin, Registrierung, Passwort-Reset) sowie automatisch alle Formulare\ngängiger Form-Plugins (Contact Form 7,\nForminator, WPForms,\nWooCommerce mit Checkout / My-Account-Login /\nRegistrierung / Lost-Password). Eigene oder fremde Formulare lassen sich\nüber den Shortcode [creationell_captcha], das Template-Tag\ncreationell_captcha_widget() oder den generischen\nInterceptor (Pfad-Schutz) absichern.

\n

Key Features

\n
    \n
  • Proof-of-Work-Captcha — Server stellt eine\nChallenge aus, Browser löst sie mit PBKDF2/SHA-256 oder Argon2id; kein\nKlick-Puzzle, keine Bilderkennung, keine Tracking-Cookies
    • \n
  • Vollständig selbst-gehostet — Keine externen\nDienste, kein API-Key, kein Lizenz-Server. Datenfluss bleibt zu 100 %\nauf dem WordPress-Host
    • \n
  • Schutz der WordPress-Kernformulare — Kommentare,\nLogin, Registrierung und Passwort-Reset einzeln zuschaltbar
    • \n
  • Vier Form-Plugin-Integrationen — Contact Form 7,\nForminator, WPForms, WooCommerce (Checkout + My-Account-Login +\nRegistrierung + Lost-Password) mit Auto-Inject und\nServer-Verifikation
    • \n
  • Generischer Interceptor — Eigene Form-Pfade per\nURL-Muster (mit *-Wildcards und !-Ausschluss)\nschützen, fail-closed
    • \n
  • Action-Schutz — admin-post.php /\nadmin-ajax.php-Aktionen über die action-Liste\nabsichern, mit *-Wildcards und\n!-Ausschluss
    • \n
  • Inject-Pfade — Auf konfigurierten Pfaden wird die\nSicherheitsabfrage automatisch in jedes </form>\ninjiziert (idempotent — bereits geschützte Formulare werden\nübersprungen)
    • \n
  • Shortcode & Template-Tag —\n[creationell_captcha] oder\ncreationell_captcha_widget() für freihändigen Einbau in\nbeliebige Formulare; CF7-Form-Tag mit identischem Namen
    • \n
  • Bild-Code-Challenge — Optionale zweite Stufe nach\nPoW: serverseitig gerendertes PNG (PHP-GD, mitgelieferte DejaVu-TTF),\n4–8-stelliger Code mit Anti-OCR-Verzerrung; Trigger wahlweise Immer,\nUnder-Attack, Rate-Limit-Schwelle oder Watch-Liste (OR-verknüpft)
    • \n
  • Under-Attack-Modus — HTTP-503-Interstitial mit\ninvisiblem PoW-Widget für anonyme Besucher; HMAC-signiertes Pass-Cookie\nfür die konfigurierte Dauer
    • \n
  • Firewall — IP-Blocklist & -Allowlist (exakt +\nCIDR, v4 & v6), User-Agent-Blocklist (Wildcard), Proxy-Modus mit\nkonfigurierbarem Forwarded-Header
    • \n
  • Vertrauenswürdige Proxies — Eigene IP-/CIDR-Liste,\nCloudflare-IP-Auto-Refresh aus den offiziellen Listen, optionaler Trust\nvon Private-Netzen; nur dann wird X-Forwarded-For\nausgewertet
    • \n
  • Rate-Limit — Per-IP Fixed-Window-Counter mit drei\nScopes (Core-Formulare / alle Formulare / global); konfigurierbarer\nMax-Wert, Fenster und Retry-After
    • \n
  • Drei Bypass-Mechaniken — IP-Allowlist (CIDR),\nUser-Agent-Wildcard-Liste und Cookie-Bypass (name=wert);\nTreffer umgehen Firewall, Rate-Limit, Captcha und Under-Attack
    • \n
  • Analytics & Event-Log — Aggregierte Tages- und\nStundenzähler je Ereignistyp (verified /\nfailed / firewall / ratelimit /\nunderattack / challenge); optional\ndetaillierte Event-Tabelle mit IP, Pfad, Plugin, Aktion, Form-ID, Grund,\nUser-Agent, Referrer, User-ID und Request-Body-Fingerprint
    • \n
  • DSGVO-konforme IP-Anonymisierung — Standard: IPv4\nauf das letzte Oktett, IPv6 auf die letzten 80 Bit trunkiert
    • \n
  • Statistik-Dashboard — Drei Tabs (Übersicht /\nVerlauf / Ereignisse), vier Zeitfenster (24 h / 7 Tage / 30 Tage / 90\nTage), Filterleiste, seitenweises Blättern und CSV-Export
    • \n
  • E-Mail-Obfuskation — Verschleiert\nmailto:-Links und Klartextadressen per XOR-Hex; zwei Modi\n(Content-Filter oder Ganzseiten-Buffer für theme-hartkodierte\nAdressen)
    • \n
  • Widget-Customization — Anzeigemodus (Standard /\nschwebend / Overlay / Bar / Invisible), Interaktionstyp, Auto-Trigger,\nTheme, Branding-Toggle, Akzentfarbe, eigenes CSS und Strings-Override\nfür alle Übersetzungstexte
    • \n
  • Backend-UI mit sechs Tabs — Captcha, Formulare,\nFirewall, Under-Attack, Analytics, E-Mail-Schutz —\nalles unter einem gemeinsamen „Änderungen speichern”
    • \n
  • Werkzeuge-Seite — Export / Import der Einstellungen\nals JSON, vollständiger Werksreset und ein gesonderter „Standardwerte\nladen”-Schritt (Listen bleiben erhalten)
    • \n
  • WP-CLI-Integration — Befehlsgruppe\nwp creacaptcha für Status, Diagnose, Modul-Aktivierung,\nListen, Event-Log, Cloudflare-Refresh und Bypass-Tests
    • \n
  • Self-Hosted-Updater — Updates direkt aus\nGitHub-Releases mit SHA-256-Manifest-Verifikation (timing-safe\nhash_equals)
    • \n
  • Kein Lizenz-Gate — Alle Funktionen sind dauerhaft\naktiv. GPL-2.0-or-later
    • \n
\n
\n

Installation

\n
    \n
  1. Den Plugin-Ordner creationell-captcha nach\n/wp-content/plugins/ hochladen — entweder als ZIP über\nPlugins → Installieren → Plugin hochladen oder per\nFTP/SSH/wp plugin install.
    2. \n
  2. Unter Plugins → Installierte Plugins das Plugin\nCreaCaptcha aktivieren.
    3. \n
  3. Den neuen Menüpunkt CreaCaptcha im\nWordPress-Adminbereich öffnen.
    4. \n
  4. Unter CreaCaptcha → Einstellungen im Tab\nCaptcha den Master-Toggle prüfen (Standard: aktiv) und\nden Tab Formulare durchgehen, um\nWordPress-Kernformulare und Form-Plugins zu aktivieren.
    5. \n
  5. Falls eigene Formular-Pfade abgesichert werden sollen: im Tab\nCaptcha → Interceptor die Liste Geschützte\nPfade pflegen.
    6. \n
  6. Empfohlen: einmal CreaCaptcha → Statistik öffnen,\ndamit der Event-Log aktiviert werden kann (optional — die\nAggregat-Statistik läuft auch ohne).
    7. \n
\n

Anforderungen

\n
    \n
  • WordPress 6.9 oder höher
    • \n
  • PHP 8.3 oder höher
    • \n
  • Für die Bild-Code-Challenge: PHP-Erweiterung\nGD
    • \n
  • Für den optionalen Argon2id-Algorithmus: PHP-Erweiterung\nSodium
    • \n
\n

Das Plugin prüft die Mindestversionen beim Aktivieren und zeigt im\nAdmin-Bereich eine deutliche Hinweisleiste, wenn die Umgebung zu alt\nist.

\n

Updates

\n

Updates kommen direkt aus dem GitHub-Repo. Der eingebaute\nSelf-Hosted-Updater (includes/class-plugin-updater.php)\nprüft regelmäßig das Manifest, vergleicht Versionen und installiert das\noffiziell signierte ZIP samt SHA-256-Checksum.

\n
\n

Dokumentation

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
RessourceURL
Plugin-Dokumentation (Web)https://creationell-dev.github.io/creationell-captcha/
Update-Manifest (JSON)https://creationell-dev.github.io/creationell-captcha/plugin_creationell-captcha.json
API-Referenz (PHPDoc)https://creationell-dev.github.io/creationell-captcha/docs/api/
\n

Das Plugin aktualisiert sich über das Update-Manifest selbst — es ist\nkein Eintrag im WordPress.org-Plugin-Verzeichnis erforderlich.

\n
\n

Konfiguration

\n

Sämtliche Einstellungen liegen unter CreaCaptcha →\nEinstellungen und sind in sechs Tabs gegliedert. Alle Tabs\nteilen ein gemeinsames „Änderungen speichern”.

\n

Tab: Captcha

\n

Steuert die Proof-of-Work-Engine, das Widget-Aussehen und die\nBild-Code-Challenge.

\n

Section „Engine”

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Captcha aktivierenMaster-Toggle. Aus = keinerlei PoW-Verifikation; alle anderen Module\nbleiben unbeeinflusst
Algorithmuspbkdf2 (Standard, kein PHP-Extension-Bedarf) oder\nargon2id (benötigt ext-sodium)
SchwierigkeitAnzahl PoW-Iterationen; Standard 50.000 (≈ 1 s auf\nMittelklasse-Hardware)
Challenge-GültigkeitSekunden, in denen eine ausgestellte Challenge eingelöst werden kann\n(Replay-Schutz)
\n

Section\n„WordPress-Kernformulare”

\n

Vier unabhängige Toggles für Kommentare, Login, Registrierung und\nPasswort-Reset.

\n

Section\n„Widget-Erscheinungsbild”

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Anzeigemodusstandard / floating (schwebend über\nSubmit-Button) / overlay / bar /\ninvisible
Interaktionstypcheckbox / switch /\nnative
Auto-Triggernone / onload / onsubmit
ThemeEines der acht ALTCHA-v3-Themes
ALTCHA-Branding ausblendenVersteckt Footer und Logo
AkzentfarbeColor-Picker; wird als CSS-Variable\n--creationell-captcha-primary ausgespielt
Eigenes CSSWird inline nach dem Theme-CSS ausgegeben — beliebige\nÜberschreibungen möglich
Übersetzungstexte überschreibenJSON-Map zum Überschreiben einzelner Widget-Strings
Floating-AnchorCSS-Selektor für den Anker des schwebenden Modus (leer = erster\nSubmit-Button)
Floating-Positionauto / top / bottom
Floating-OffsetAbstand in Pixel (0–200)
\n

Die Floating-Felder sind nur aktiv, wenn der Anzeigemodus auf\nschwebend steht — sonst werden sie ausgegraut.

\n

Sprache: CreaCaptcha erkennt die Widget-Sprache\nautomatisch aus der WordPress-Locale (get_locale()) und\nenqueued die passende von 20 vendorierten ALTCHA-Locale-Dateien (DE, EN,\nFR-FR/CA, ES-ES/419, IT, NL, PT-PT/BR, PL, CS, SK, DA, SV, FI, NB, HU,\nRO, EL). Eine nicht abgedeckte WP-Locale lässt das Widget auf seine\neigene <html lang>/Browser-Sprach-Detection bzw.\nEnglisch zurückfallen. Einzelne Begriffe lassen sich weiterhin über das\nSetting Übersetzungstexte überschreiben anpassen —\nAuto-Locale und Override greifen kombiniert, der Override gewinnt pro\nSchlüssel.

\n

Section „Bild-Code-Challenge”

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Code-Challenge aktivierenMaster-Toggle. Benötigt PHP-GD
Trigger: ImmerSpielt die Code-Challenge bei jedem Captcha-Request aus (Test /\npauschal erhöhte Sicherheit)
Trigger: Under-Attack-ModusGreift nur bei aktivem Under-Attack-Modus (außer auf dem\nInterstitial selbst — dort ist sie unterdrückt)
Trigger: Rate-Limit-SchwelleGreift, sobald die IP die Rate-Limit-Auslastung von 50–95 %\nüberschreitet
Trigger: Watch-ListeIPs/CIDRs, die immer eine Code-Challenge bekommen
Code-Länge4–8 Zeichen
ZeichensatzNur Ziffern / alphanumerisch / alphanumerisch ohne Verwechsler (0-O,\n1-I-l)
Token-Gültigkeit60–900 Sekunden
Anzeige-Modusstandard / overlay /\nbottomsheet (im Modal des Widgets)
\n

Mehrere Trigger sind OR-verknüpft. Wenn die Code-Challenge\neingerichtet, aber GD nicht verfügbar ist, deaktiviert sich das Feature\nstillschweigend und zeigt eine Warn-Notice.

\n

Section „Interceptor”

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Geschützte PfadeURL-Pfade mit *-Wildcard. !-Präfix kehrt\ndas Muster um (Ausschluss). Eine Zeile pro Muster
Geschützte AktionenWordPress-Action-Namen für\nadmin-post.php/admin-ajax.php\n($_POST[action] / $_GET[action]).\n* und ! werden unterstützt. Überschreibt den\nis_admin-Bypass
Inject-PfadePfade, auf denen die Sicherheitsabfrage automatisch vor jedem\n</form> eingefügt wird (idempotent)
Bei eingeloggten Usern überspringenBypass für angemeldete User mit\nedit_posts-Capability
\n

Der Interceptor läuft als früher Request-Guard auf init\nund arbeitet fail-closed: Fehlt eine Verifikation, wird\ndie Anfrage abgelehnt (HTTP 403, AJAX-Requests bekommen JSON-403).

\n

Tab: Formulare

\n

Vier Toggles für die WordPress-Kernformulare (siehe Captcha-Tab —\nwerden hier als Komfort-Kopie gespiegelt) sowie sechs Toggles für die\nForm-Plugin-Integrationen.

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Contact Form 7 schützenAktiv, wenn CF7 installiert ist. Auto-Inject vor Submit, Verify über\nwpcf7_spam
Forminator schützenAktiv, wenn Forminator installiert ist. Auto-Inject + Verify über\nforminator_custom_form_submit_errors
WPForms schützenAktiv, wenn WPForms installiert ist. Auto-Inject vor Submit, Verify\nüber wpforms_process
WooCommerce schützenMaster-Toggle. Aktiv, wenn WooCommerce installiert ist
→ Checkout schützenAuto-Inject auf woocommerce_review_order_before_submit,\nVerify auf woocommerce_after_checkout_validation
→ My-Account-Login schützenAuto-Inject auf woocommerce_login_form_end, Verify auf\nwoocommerce_process_login_errors
→ Registrierung schützenAuto-Inject auf woocommerce_register_form, Verify auf\nwoocommerce_registration_errors
→ Lost-Password schützenRender-only — Server-Verify läuft über das Kern-Modul\nprotect_password_reset
\n

CF7 bietet zusätzlich einen Form-Tag\n[creationell_captcha], mit dem die Position der\nSicherheitsabfrage frei wählbar ist. Forminator/WPForms nutzen\nAuto-Inject standardmäßig vor dem Submit-Button — der Filter\ncreationell_captcha_forminator_autoinject (bzw.\ncreationell_captcha_wpforms_autoinject) erlaubt das\nDeaktivieren je Formular.

\n
\n

Hinweis: WooCommerce-Produktbewertungen sind\nWordPress-Kommentare und werden bereits durch\nWordPress-Kommentare schützen abgedeckt. Es gibt\nabsichtlich keinen separaten Sub-Toggle.

\n
\n

Tab: Firewall

\n

Vier Sections in dieser Reihenfolge: Proxy → Firewall → Bypass →\nRate-Limit.

\n

Section „Proxy &\nIP-Ermittlung”

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Proxy-ModusAktivieren, wenn die Site hinter einem Reverse-Proxy / CDN\nliegt
Forwarded-HeaderX-Forwarded-For (Standard) / X-Real-IP /\nCF-Connecting-IP / True-Client-IP
Vertrauenswürdige ProxiesIP-/CIDR-Liste, eine pro Zeile. Nur diese Hops dürfen den\nForwarded-Header setzen
Cloudflare-IPs vertrauenCloudflare-v4 + v6-Ranges automatisch laden
Cloudflare-Auto-RefreshTäglicher Cron-Refresh aus den offiziellen Cloudflare-Listen
Private Netze vertrauenRFC1918 + ULA als trusted Hops behandeln
\n

Zusätzlich kann die wp-config-Konstante\nCREATIONELL_CAPTCHA_TRUSTED_PROXIES (Array von CIDRs) die\nTrust-Liste ergänzen.

\n

Section „Firewall”

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Firewall aktivierenMaster-Toggle
IP-BlocklisteEine pro Zeile, exakt oder CIDR (v4 + v6)
IP-ErlaubnislisteGlobal wirksam: umgeht Firewall, Rate-Limiter, Captcha und\nUnder-Attack
User-Agent-BlocklisteWildcard-Muster (z. B. *bot*,\n*scanner*)
\n

Section „Bypass”

\n

Drei Eintragsarten, die jeweils Firewall, Rate-Limit, Captcha und\nUnder-Attack-Modus umgehen.

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
User-Agent-ErlaubnislisteWildcard-Muster für Allow-listing (z. B. eigene\nMonitoring-Bots)
Cookie-BypassListe im Format name=wert, eine pro Zeile
\n

Treffer auf Formular-Ebene erscheinen im Event-Log als\nverified-Eintrag mit passendem Grund (IP-Allowlist /\nUA-Bypass / Cookie-Bypass).

\n

Section „Rate-Limit”

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Rate-Limit aktivierenMaster-Toggle
Maximale AnfragenFixed-Window-Limit pro IP, Standard 30
ZeitfensterSekunden des Fensters, Standard 300
Wirkungsbereichcore (nur Kernformulare) / forms (alle\nFormulare) / all (global, alle Anfragen)
edit_posts-ExemptionEingeloggte User mit Schreibrechten ausnehmen
\n

Bei Überschreitung sendet der Plugin-Stack HTTP 429 mit\nRetry-After-Header.

\n

Tab: Under-Attack

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Under-Attack aktivierenMaster-Toggle. Bei an muss jeder anonyme Besucher eine\nPoW-Sicherheitsabfrage bestehen, bevor er die Site erreicht
Pass-DauerLebenszeit des HMAC-signierten Pass-Cookies in Sekunden
Eingeloggte Besucher ausnehmenStandard: aktiv
\n

wp-admin, REST-API und Cron sind automatisch\nausgenommen. Der Kill-Switch CREATIONELL_CAPTCHA_DISABLE\n(wp-config-Konstante) hebt den Modus global auf.

\n

Section „Erscheinungsbild”

\n

Optional — leere Felder verwenden die Standardwerte. Sichtbar, sobald\nder Under-Attack-Modus aktiv ist (sonst ausgegraut).

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Logo-URLBild über der Überschrift, zentriert, Höhe ≤ 128 px. Default: kein\nLogo. Alt-Text = Website-Name. Über .crea-ua-logo im\nEigenes-CSS-Feld feinjustierbar
Browser-Tab-Titel<title>-Tag der Interstitial-Seite. Default:\n„Sicherheitsprüfung”
ÜberschriftGroße H1 mittig auf der Seite. Default: „Die Website wird gerade\nbesonders geschützt”
HinweistextErläuternder Text unter der Überschrift. Default: „Ihr Browser wird\nkurz geprüft — einen Moment bitte.”
NoScript-HinweisNur sichtbar bei deaktiviertem JS. Default: „Für die\nSicherheitsprüfung muss JavaScript aktiviert sein.”
HintergrundfarbeHex, z. B. #0a0a0a. Default: #f0f0f1
TextfarbeHex, z. B. #ffffff. Default: #1d2327
Eigenes CSSBeliebige CSS-Regeln. Werden nach dem Default-Stylesheet ausgegeben\nund überschreiben alles. Verfügbare CSS-Variablen:\n--creationell-captcha-ua-bg,\n--creationell-captcha-ua-text. Verfügbare Selektoren:\nbody, .crea-ua, .crea-ua h1,\n.crea-ua p, .crea-ua noscript,\n.crea-ua-logo
\n

Tab: Analytics

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
Event-Log aktivierenSchreibt jede Aktion in die Tabelle\n<prefix>creationell_captcha_events. Aggregierte\nTageszähler laufen immer
AufbewahrungsdauerTage, nach denen Event-Log-Einträge gelöscht werden (Default\n30)
IP-Adressen anonymisierenDSGVO-First: trunkiert IPv4 auf das letzte Oktett, IPv6 auf die\nletzten 80 Bit (Default: an)
Request-Body-Fingerprint speichernJSON-Map aus Feldnamen und Wertlängen — ohne die Werte selbst.\nSensitive Feldnamen (password, secret,\ntoken, iban, api_key,\ncvv, …) werden zusätzlich gehasht
Erfolgreiche Verifikationen loggenPer-Event-Typ-Schalter, Default: an
Fehlgeschlagene Verifikationen loggenDefault: an
Firewall-Blocks loggenDefault: an
Rate-Limit-Blocks loggenDefault: an
Under-Attack-Abfragen loggenDefault: an
Bestandene Under-Attack-Prüfungen loggenDefault: an
Ausgestellte Challenges loggenDefault: aus (hochvolumig)
\n

Tab: E-Mail-Schutz

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
OptionBeschreibung
E-Mail-Adressen verschleiernMaster-Toggle
Verschleierungsmoduscontent (Filter auf the_content /\nthe_excerpt / widget_text /\nwidget_block_content / comment_text) oder\nbuffer (Vollseiten-Ausgabepuffer)
\n

Im Buffer-Modus werden auch theme-hartkodierte\nmailto:-Links und Klartextadressen im Footer/Header\nerfasst. <head>, <script> und\n<style> bleiben unberührt. Feed-Requests und der\nAdmin-Bereich umgehen die Obfuskation immer.

\n
\n

Shortcode & Template-Tag

\n

[creationell_captcha]

\n

Bettet das ALTCHA-Widget an beliebiger Stelle ein.

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
AttributWerteDefault
classCSS-Klassen—
\n

Bei aktiviertem CF7-Plugin ist [creationell_captcha]\nzusätzlich als CF7-Form-Tag verfügbar und kann direkt im CF7-Form-Editor\nplatziert werden.

\ncreationell_captcha_widget()\n

Template-Tag mit identischer Wirkung. Nützlich, wenn ein Shortcode\nnicht in Frage kommt (z. B. in Theme-PHP-Templates):

\n
<form method="post">\n <!-- … Felder … -->\n <?php creationell_captcha_widget(); ?>\n <button type="submit">Senden</button>\n</form>
\n

Bei serverseitiger Verifikation immer auch den Pfad in\nGeschützte Pfade eintragen (siehe nächster Abschnitt) —\nsonst läuft eine manipulierte Submission ungeprüft durch.

\n
\n

Geschützte Pfade &\nInterceptor

\n

Der Interceptor läuft auf init und ist die generische\nSchutzschicht für eigene Formulare. Konfiguriert wird\ner im Captcha-Tab.

\n

Pfad-Muster

\n

[creationell_captcha]-Shortcode und Template-Tag rendern\nnur das Widget. Die Server-Verifikation übernimmt der Interceptor anhand\nder Pfad-Liste.

\n
/kontakt              ← exakt\n/forms/*              ← Wildcard\n!/forms/whitelisted   ← Ausschluss (mit ! kombinierbar)
\n

!-Muster greifen vor positiven Mustern. So lässt sich\n/forms/* schützen, ein einzelner Sub-Pfad aber gezielt\nfreistellen.

\n

Action-Schutz

\n

Für AJAX-/Admin-Post-Endpoints reicht die Pfad-Liste nicht — Requests\ngehen alle an admin-ajax.php oder\nadmin-post.php. Die Liste Geschützte\nAktionen wertet stattdessen das action-Feld (POST\noder GET) aus:

\n
my-custom-action\nform/*\n!form/internal
\n

Action-Treffer überschreiben den is_admin()-Bypass — die\nVerifikation läuft auch dann, wenn der Aufruf aus dem Admin-Backend\nkäme.

\n

Auto-Inject auf Pfaden

\n

Die Inject-Pfade-Liste fügt die Sicherheitsabfrage\nautomatisch vor jedem </form> der passenden Seite\nein, ohne dass das Theme oder ein Plugin angepasst werden muss.\nIdempotent: Formulare mit bereits eingebautem Widget bleiben\nunangetastet.

\n

Bypass-Kette

\n

Vor jeder Verifikation läuft die Bypass-Kette in dieser\nReihenfolge:

\n
    \n
  1. Kill-Switch CREATIONELL_CAPTCHA_DISABLE\n(wp-config-Konstante)
    2. \n
  2. Master-Toggle aus
    3. \n
  3. Request-Methode GET (Renderpfad — Verify nur auf\nPOST/PUT/DELETE/PATCH)
    4. \n
  4. CLI / Cron / XML-RPC (nicht-Browser-Kontexte)
    5. \n
  5. is_admin() — wird durch Action-Schutz\nüberschrieben, sobald die action auf einer\ngeschützten Liste steht
    6. \n
  6. REST-API-Eigen-Endpoints (Challenge-/Code-Routes)
    7. \n
  7. WordPress-Kernformulare (siehe Tab Formulare)
    8. \n
  8. edit_posts-Capability (eingeloggte User)
    9. \n
  9. Bei aktiviertem Toggle: alle eingeloggten User
    10. \n
  10. Globale Bypass-Quellen: IP-Allowlist, UA-Allowlist,\nCookie-Bypass
    11. \n
\n

Greift einer der Schritte, wird die Anfrage durchgelassen. Auf\nFormular-Ebene wird der erfolgreiche Bypass als\nverified-Event mit Grund-Annotation geloggt.

\n

Entwickler-Filter

\n
// Pfad/Action-Listen runtime ergänzen\nadd_filter( 'creationell_captcha_interceptor_paths', function ( array $paths ): array {\n $paths[] = '/api/mein-form/*';\n return $paths;\n} );\n\nadd_filter( 'creationell_captcha_interceptor_actions', function ( array $actions ): array {\n $actions[] = 'mein_plugin_form';\n return $actions;\n} );\n\n// Eigenen Bypass anhängen (true = durchlassen)\nadd_filter( 'creationell_captcha_interceptor_bypass', function ( bool $bypass ): bool {\n return $bypass || ( defined( 'MY_DEV_BYPASS' ) && MY_DEV_BYPASS );\n} );\n\n// Custom geschützten Pfad zur Laufzeit registrieren\ncreationell_captcha_protect_path( '/checkout/step2' );
\n
\n

Bild-Code-Challenge

\n

Die Bild-Code-Challenge ist eine zweite Stufe nach\nder PoW-Verifikation — kein Ersatz. Der Browser löst zuerst die PoW, der\nServer schickt dann optional ein PNG mit einem 4–8-stelligen Code, den\nder Nutzer abtippt.

\n

Trigger-Bedingungen

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
TriggerWirkung
ImmerPauschal aktiv bei jedem Captcha-Request
Under-Attack-ModusGreift nur, wenn UA-Modus aktiv ist (außer auf dem Interstitial —\ndort unterdrückt)
Rate-Limit-SchwelleGreift ab konfigurierter Auslastung (50–95 %) der IP-Bucket
Watch-ListeIPs/CIDRs, die immer eine Code-Challenge bekommen
\n

Mehrere Trigger sind OR-verknüpft.

\n

REST-Endpoints

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
MethodeRouteZweck
GET/wp-json/creationell-captcha/v1/code-image?t=<token>PNG-Bild ausliefern (Cache-Header no-store)
POST/wp-json/creationell-captcha/v1/code-verifyCode prüfen, signierte ALTCHA-Payload zurückgeben
\n

Tokens sind opake 32-Hex-Server-Identifier; der erwartete Code lebt\nnur in einem WP-Transient und verlässt den Server nie. Die\nzurückgegebene Payload geht durch den bestehenden Verify-Pfad.

\n

Rendering

\n

PHP-GD mit vendorierter DejaVuSans-Bold-TTF\n(assets/fonts/captcha.ttf) und naiver Anti-OCR-Verzerrung\n(rotierte Zeichen, Querlinien, Rauschen). Fehlt die TTF, fällt der\nRenderer auf den GD-Bitmap-Font 5 zurück.

\n

Fehlt GD selbst, deaktiviert sich das Feature\nstillschweigend und der Section-Renderer zeigt eine Warn-Notice.

\n

Bypass-Schutz

\n

Engine::verify() lehnt jeden Payload ab, in dem\nparameters.data.ccode clientseitig gesetzt ist — ein\nAngreifer kann den originalen Payload nicht recyclen, um die Code-Stufe\nzu überspringen.

\n
\n

Under-Attack-Modus

\n

Der Under-Attack-Modus ist ein Notfall-Schalter für\naktive Bot-Wellen. Bei aktivem Modus liefert WordPress für jeden\nanonymen Besucher ein HTTP-503-Interstitial mit einem invisiblen\nALTCHA-Widget aus. Erst nach bestandener PoW-Sicherheitsabfrage setzt\nder Server ein HMAC-signiertes Pass-Cookie und lässt den Browser auf die\neigentliche Seite.

\n

Ablauf

\n
    \n
  1. Anonymer Besucher öffnet beliebige Seite
    2. \n
  2. template_redirect fängt den Request ab, zeigt das\nInterstitial
    3. \n
  3. Browser löst die PoW-Sicherheitsabfrage im Hintergrund
    4. \n
  4. Server prüft, signiert das Pass-Cookie\ncreationell_captcha_ua_pass (HMAC, gültig für die\nkonfigurierte Pass-Dauer)
    5. \n
  5. Browser wird mit Location-Header auf die ursprüngliche\nURL umgeleitet
    6. \n
  6. Folgende Requests passieren den Modus, bis das Cookie abläuft
    7. \n
\n

wp-admin, REST-API und Cron sind automatisch ausgenommen\n— die Site bleibt von innen administrierbar. Eingeloggte User sind per\nDefault ebenfalls ausgenommen.

\n

Kill-Switch

\n

Definiert man\ndefine( 'CREATIONELL_CAPTCHA_DISABLE', true ); in\nwp-config.php, sind alle CreaCaptcha-Funktionen — inklusive\nUnder-Attack — global deaktiviert. Praktisch für den Fall, dass die Site\nsich selbst aussperrt.

\n
\n

Statistik & Event-Log

\n

Aggregat-Statistiken

\n

Immer aktiv, datenschutzfreundlich, keine personenbezogenen Daten.\nZwei Counter-Tabellen in wp_options:

\n
    \n
  • creationell_captcha_analytics — Tageszähler je\nEreignistyp
    • \n
  • creationell_captcha_analytics_hourly — Stundenzähler je\nEreignistyp (für die 24-h-Sicht)
    • \n
\n

Detail-Event-Log

\n

Optional, schaltbar im Analytics-Tab. Schreibt in die eigene Tabelle\n<prefix>creationell_captcha_events mit 15\nSpalten:

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
SpalteInhalt
idAuto-Increment
event_typeverified / failed / firewall\n/ ratelimit / underattack /\nunderattack_passed / challenge
created_atUTC-Zeitstempel
ipClient-IP (anonymisiert, wenn konfiguriert)
pathRequest-Pfad (REQUEST_URI ohne Query-Args — keine GET-Token im\nLog)
user_idWordPress-User-ID (falls eingeloggt)
user_agentUA-String
referrerHTTP-Referer
pluginAuslösendes Modul (cf7 / forminator /\nwpforms / wc-checkout / …)
actionAction-Name (bei admin-post/admin-ajax)
form_idPlugin-spezifische Form-ID (z. B. WPForms-/Forminator-ID)
interceptorInterceptor-Pfadmuster, das gegriffen hat
reasonKlartext-Grund (z. B. „IP-Allowlist”, „Replay-Schutz”, „PoW-Hash\nfalsch”)
verification_dataEingereichter Captcha-Payload (gekürzt)
request_bodyBody-Fingerprint (JSON-Map Feldname → Wertlänge; sensitive Felder\ngehasht)
\n

Statistik-Dashboard

\n

CreaCaptcha → Statistik liefert drei Tabs:

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
TabInhalt
ÜbersichtVier KPI-Kacheln für die letzten 24 h (Captcha gelöst, Abgewehrt =\nFirewall + Rate-Limit, Under-Attack Abfragen/bestanden, Captcha\nfehlgeschlagen) plus thematisch gruppierte Vergleichstabellen\n(Formular-Captchas / Abgewehrte Zugriffe / Under-Attack-Modus /\nTechnisch) über vier Zeitfenster (24 h / 7 Tage / 30 Tage / 90\nTage)
VerlaufZeitreihen-Plot je Ereignistyp über das gewählte Fenster
EreignisseFilterbare Tabelle der Detail-Events, seitenweise (50/Seite), mit\nDetail-Modal je Eintrag und CSV-Export der gefilterten Menge
\n

Die Filter-Leiste im Ereignisse-Tab kombiniert Freitextsuche (IP +\nPfad), Ereignistyp-Filter und Von/Bis-Datumsbereich.

\n

Performance

\n

Seit v0.26.0:

\n
    \n
  • Analytics::record() sammelt Counter-Deltas in\nClass-Statics und flusht sie auf shutdown in einem einzigen\nget_option/update_option-Paar je\nCounter-Tabelle — statt zwei Roundtrips pro Event
    • \n
  • Composite-Index\nevent_type_created (event_type, created_at) auf der\nEvents-Tabelle: typgefilterte Range-Queries laufen als reiner\nIndex-Range-Scan ohne Filesort
    • \n
  • creationell_captcha_get_settings() cacht das\nDefault-Merge-Ergebnis pro Request
    • \n
\n
\n

E-Mail-Schutz (Obfuskation)

\n

Zwei Modi

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
ModusWirkung
Contentthe_content, the_excerpt,\nwidget_text, widget_block_content,\ncomment_text durchlaufen\nEmailObfuscator::process()
BufferGanzseiten-ob_start() auf\ntemplate_redirect —\nEmailObfuscator::process_page() verarbeitet den gesamten\n<body>
\n

Verschleierung

\n

mailto:-Hrefs werden zu\nhref=\"#\" data-cce=\"<hex>\", Klartext-Adressen zu\n<span data-cce=\"<hex>\">[E-Mail-Adresse — bitte JavaScript aktivieren]</span>.\nDer Hex-String ist eine XOR-Verschlüsselung der Adresse mit einem\neinmaligen Per-Page-Key.

\n

Decoder

\n

assets/js/email-obfuscation.js läuft auf\nDOMContentLoaded, bindet sich auf alle\n[data-cce]-Elemente und stellt die Original-Adresse im\nBrowser wieder her.

\n

Ausnahmen

\n

<head>, <script>,\n<style> werden im Buffer-Modus übersprungen.\nFeed-Requests, wp-admin und der Kill-Switch umgehen die\nObfuskation immer.

\n
\n

WP-CLI

\n

Alle Plugin-Funktionen sind per wp creacaptcha\nautomatisierbar. Eine Übersicht aller Befehle:

\n
wp help creacaptcha
\n

Betriebsbefehle

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
BefehlZweck
wp creacaptcha statusÜbersicht: Kill-Switch, Module, Listengrößen, Proxy/CF-Trust,\nCode-Challenge, Watchlist, Form-Plugin-Toggles
wp creacaptcha infoDiagnose: Plugin-Version, Lib-Version, Algorithmus, HMAC-Secrets\nvorhanden, Event-Log-Tabelle
wp creacaptcha stats [--window=24h\\|7d\\|30d\\|90d\\|all]Analytics-Kennzahlen für das gewählte Fenster
wp creacaptcha enable <feature>Modul/Feature aktivieren (siehe unten)
wp creacaptcha disable <feature>Modul/Feature deaktivieren
wp creacaptcha repairSelbstheilung: fehlende Secrets generieren, Event-Log-Tabelle\nanlegen, Default-Keys ergänzen
wp creacaptcha doctorPflicht-Checks: Lib, Secrets, Tabelle, Cron, Konflikte,\nPHP-/GD-/Sodium-Versionen, Settings-Defaults
wp creacaptcha test-bypass [--ip=…] [--ua=…] [--cookie=…]Simuliert die Bypass-Auswertung; Exit 0 bei Bypass, Exit 1\nsonst
\n

Die <feature>-Schlüssel für\nenable/disable: captcha,\ncomments, login, registration,\npassword-reset, cf7, forminator,\nwpforms, woocommerce,\nwc-checkout, wc-login,\nwc-registration, wc-lost-password,\nfirewall, ratelimit,\nunder-attack, analytics,\nevent-log, email-obfuscation,\ncode-challenge.

\n

Einstellungen

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
BefehlZweck
wp creacaptcha settings listAlle Settings mit aktuellen Werten ausgeben
wp creacaptcha settings get <key>Einen Wert lesen
wp creacaptcha settings set <key> <value>Einen Wert setzen (bool / int / text / color / textblock / list /\njson)
wp creacaptcha settings export [--file=…]JSON-Export aller Settings
wp creacaptcha settings import --file=…JSON-Import
wp creacaptcha settings resetVoller Werksreset inklusive aller Listen
wp creacaptcha settings load-defaultsNur Konfigwerte zurücksetzen, Listen bleiben
\n

Listen-Pflege

\n

Jede Liste hat denselben Subcommand-Baukasten:\nadd <eintrag>, remove <eintrag>,\nlist, clear.

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
BefehlListe
wp creacaptcha blocklist …IP-Blockliste
wp creacaptcha allowlist …IP-Erlaubnisliste (global wirksam)
wp creacaptcha ua-blocklist …User-Agent-Blockliste
wp creacaptcha paths …Geschützte Pfade
wp creacaptcha actions …Geschützte Aktionen
wp creacaptcha inject-paths …Inject-Pfade
wp creacaptcha trusted-proxies …Vertrauenswürdige Proxies
wp creacaptcha bypass-ua …UA-Bypass-Liste
wp creacaptcha bypass-cookies …Cookie-Bypass (name=wert)
wp creacaptcha watchlist …Code-Challenge-Watchlist
\n

Cloudflare-Cache

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
BefehlZweck
wp creacaptcha cloudflare refreshCF-v4/v6-Ranges aktualisieren
wp creacaptcha cloudflare statusStatus des CF-Caches (Anzahl Ranges, letzter Refresh, nächster Cron,\nQuelle)
wp creacaptcha cloudflare clearCF-Cache leeren
\n

Der frühere Alias wp creacaptcha refresh-cloudflare-ips\nwurde mit v1.0.1 entfernt — bitte\nwp creacaptcha cloudflare refresh verwenden.

\n

Event-Log

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
BefehlZweck
wp creacaptcha log list [--fields=…] [--format=…] [--limit=…]Event-Log-Einträge auflisten; ohne --fields\n4-Spalten-Default, mit --fields= alle 15 Spalten\nverfügbar
wp creacaptcha log show <id>Einen Event mit allen 15 Spalten anzeigen
wp creacaptcha log clearEvent-Log komplett leeren
wp creacaptcha log pruneAlte Einträge gemäß Aufbewahrungsdauer löschen
\n

Die Werkzeuge-Seite im Backend (siehe nächster Abschnitt) bietet\ndieselben Export-/Import-/Reset-/Load-Defaults-Aktionen.

\n
\n

Werkzeuge

\n

CreaCaptcha → Werkzeuge ist die Backend-Entsprechung\nder wichtigsten CLI-Aktionen. Fünf Karten:

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
KarteAktion
Einstellungen exportierenLädt alle Settings als JSON-Datei herunter
Einstellungen importierenJSON-Upload, Validierung gegen das Settings-Schema
Standardwerte ladenKonfigwerte auf Default zurücksetzen; Listen bleiben\nunverändert
Auf Werkseinstellungen zurücksetzenVoller Werksreset inklusive aller Listen (mit Warn-Box und\nConfirm-Dialog)
Cloudflare-IP-CacheStatus + Buttons „Jetzt aktualisieren” und „Cache leeren”
\n
\n

Developer Reference

\n

Die wichtigsten Konstanten, Hooks und Filter im Überblick:

\n

Konstanten\n(wp-config.php überschreibbar)

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
KonstanteDefaultZweck
CREATIONELL_CAPTCHA_VERSION'1.0.1'Plugin-Version
CREATIONELL_CAPTCHA_FILE__FILE__Plugin-Hauptdatei
CREATIONELL_CAPTCHA_PLUGIN_PATHplugin_dir_path(...)Plugin-Ordner
CREATIONELL_CAPTCHA_PLUGIN_URLplugin_dir_url(...)Plugin-URL
CREATIONELL_CAPTCHA_MIN_PHP'8.3'PHP-Mindestversion
CREATIONELL_CAPTCHA_MIN_WP'6.9'WordPress-Mindestversion
CREATIONELL_CAPTCHA_DEBUGWP_DEBUGAktiviert Debug-Logging
CREATIONELL_CAPTCHA_DISABLEungesetztWenn true: globaler Kill-Switch — alle Module aus
CREATIONELL_CAPTCHA_HMAC_SECRETautogeneriertOverride für das Challenge-HMAC-Secret
CREATIONELL_CAPTCHA_HMAC_KEY_SECRETautogeneriertOverride für das HMAC-Key-Secret
CREATIONELL_CAPTCHA_TRUSTED_PROXIESungesetztArray von zusätzlich vertrauenswürdigen Proxy-CIDRs
\n

Hooks (Actions)

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
HookWann
creationell_captcha_loadedNach dem Plugin-Bootstrap, alle Module geladen
creationell_captcha_deactivatedBeim Deaktivieren des Plugins
creationell_captcha_eventBei jedem Aggregat-Event-Bump ($type,\n$context)
creationell_captcha_firewall_blockedFirewall hat eine IP/UA geblockt
creationell_captcha_ratelimit_exceededRate-Limit für eine IP überschritten
creationell_captcha_interceptor_blockedInterceptor hat eine Submission abgewiesen
creationell_captcha_interceptor_passedInterceptor hat eine Submission durchgelassen
\n

Hooks (Filter)

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
FilterZweck
creationell_captcha_interceptor_pathsPfad-Liste runtime modifizieren
creationell_captcha_interceptor_actionsAction-Liste runtime modifizieren
creationell_captcha_interceptor_bypassEigene Bypass-Logik anhängen (true = durchlassen)
creationell_captcha_interceptor_guardedModifiziert die Liste der „immer geschützten” Anker-Pfade
creationell_captcha_firewall_blockEigene Block-Logik anhängen (true = blocken)
creationell_captcha_forminator_autoinjectForminator-Autoinject je Formular toggeln (bool,\nint $form_id)
creationell_captcha_wpforms_autoinjectWPForms-Autoinject je Formular toggeln
creationell_captcha_wc_checkout_autoinjectWooCommerce-Checkout-Autoinject toggeln
creationell_captcha_wc_login_autoinjectWooCommerce-Login-Autoinject toggeln
creationell_captcha_wc_registration_autoinjectWooCommerce-Registrierungs-Autoinject toggeln
creationell_captcha_wc_lost_password_autoinjectWooCommerce-Lost-Password-Autoinject toggeln
creationell_captcha_request_body_sensitive_patternsSensitive Feldnamen-Patterns für die Body-Fingerprint-Maskierung\nerweitern
creationell_captcha_doctor_checksEigene Doctor-Checks zur WP-CLI-Diagnose ergänzen
\n

REST-Endpoints

\n

Alle Routes unter dem Namespace\ncreationell-captcha/v1:

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
MethodeRouteZweck
GET/challengeNeue PoW-Challenge ausstellen
GET/code-image?t=<token>PNG der Bild-Code-Challenge ausliefern
POST/code-verifyEingegebenen Code prüfen, signierte ALTCHA-Payload zurückgeben
\n

Wichtige PHP-Helper

\n
// Schutz für eigene Pfade registrieren\ncreationell_captcha_protect_path( '/checkout/step2' );\n\n// Widget rendern (Template-Tag-Variante)\ncreationell_captcha_widget();\n\n// Settings memoiziert laden\n$settings = creationell_captcha_get_settings();\n\n// Bypass-Auswertung manuell aufrufen\n$bypass_active = creationell_captcha_request_bypassed();
\n

Architektur

\n

Das Plugin folgt einer require-basierten\nClassic-WordPress-Architektur. Die Klassen liegen unter\nCreationell\\Captcha\\… in includes/class-*.php;\nprozedurale Bootstrap-Helper in includes/<modul>.php.\nDie geprefixte ALTCHA-Library landet via Strauss in\nlib/Creationell\\Captcha\\Vendor\\…. Es gibt\nkeinen Composer-Autoloader im Release-ZIP — alle\nRequires sind explizit.

\n
\n

FAQ

\n

Sendet CreaCaptcha\nDaten an externe Dienste?

\n

Nein. Das Plugin arbeitet vollständig selbst-gehostet — es gibt keine\nAPI-Aufrufe, kein Telemetrie-Backend, keinen Lizenz-Check und keine\nSaaS-Anbindung. Die einzige optionale externe Anfrage ist der\nCloudflare-IP-Refresh aus den offiziellen Cloudflare-Listen, der\nausschließlich auf expliziten Toggle läuft.

\n

Welcher\nCaptcha-Algorithmus läuft im Hintergrund?

\n

CreaCaptcha nutzt die offizielle MIT-Bibliothek\naltcha-org/altcha. Standardmäßig kommt PBKDF2/SHA-256 zum\nEinsatz (kein PHP-Extension-Bedarf). Optional lässt sich auf Argon2id\numschalten, dafür wird ext-sodium benötigt.

\n

Funktioniert das Plugin\nohne JavaScript?

\n

Nein — die Proof-of-Work-Sicherheitsabfrage muss vom Browser gelöst\nwerden. Ohne JavaScript erscheint das Widget als Hinweistext, und die\nServer-Verifikation wird die Submission abweisen. Für ein vollständig\nJS-loses Schutz-Setup ist die Firewall+Rate-Limit-Schicht der richtige\nAnsatz.

\n

Welche Form-Plugins\nwerden unterstützt?

\n

Mit dedizierten Integrationen: Contact Form 7,\nForminator, WPForms (Lite und Pro),\nWooCommerce (Checkout, My-Account-Login, Registrierung,\nLost-Password). Beliebige andere Formulare lassen sich über\n[creationell_captcha] und die Geschützte-Pfade-Liste\nabsichern. Für AJAX-/Admin-Post-Endpoints gibt es zusätzlich die\nGeschützte-Aktionen-Liste.

\nWie\nschütze ich ein eigenes Formular auf einer beliebigen Seite?\n

Drei Schritte: (1) Den Shortcode [creationell_captcha]\noder das Template-Tag creationell_captcha_widget() ins\nFormular einbauen. (2) Den Pfad der Seite oder den Submit-Pfad in\nCaptcha → Interceptor → Geschützte Pfade eintragen. (3)\nBei AJAX-/Admin-Post-Submissions zusätzlich den\naction-Namen in Geschützte Aktionen. Der\nInterceptor verifiziert dann automatisch jede Submission.

\n

Was passiert mit\nungelösten Bot-Submissions?

\n

Der Server lehnt die Submission ab. Bei klassischen Formularen erhält\nder Browser die normale Validierungs-Fehlermeldung des jeweiligen\nPlugins. Bei AJAX wird 403 Forbidden mit JSON-Body\ngeliefert. Der Bot bekommt keine Hilfe in Form von Hinweisen, woran das\nCaptcha gescheitert ist — der reason landet nur im\nEvent-Log.

\nWie\nkann ich mich selbst aussperren — und wie komme ich wieder rein?\n

Wer durch eigene Firewall-Regeln, Rate-Limit oder einen kaputten\nUnder-Attack-Modus ausgesperrt wird, kann zu jeder Zeit per\nwp-config.php den Kill-Switch setzen:

\n
define( 'CREATIONELL_CAPTCHA_DISABLE', true );
\n

Sofort sind alle Module aus — Firewall, Rate-Limit,\nCaptcha, Under-Attack, Interceptor. Anschließend lassen sich die\nproblematischen Einstellungen im Backend korrigieren. Ohne\nSSH/FTP-Zugriff bleibt der direkte Datenbank-Eingriff:\nwp option update creationell_captcha_settings … oder per\nwp creacaptcha settings load-defaults.

\nFunktioniert\ndas Plugin hinter Cloudflare oder einem Reverse-Proxy?\n

Ja. Im Tab Firewall unter „Proxy &\nIP-Ermittlung” den Proxy-Modus aktivieren und den passenden\nForwarded-Header wählen. Für Cloudflare zusätzlich „Cloudflare-IPs\nvertrauen” und optional den Auto-Refresh einschalten — die offiziellen\nCloudflare-v4/v6-Ranges werden dann täglich neu geladen. Ohne\nTrust-Konfiguration wird der Header ignoriert, damit Angreifer nicht\nbeliebige IPs spoofen können.

\n

Wie viel Performance\nkostet das Plugin?

\n

Sehr wenig. Die Captcha-Berechnung läuft im Browser, nicht auf dem\nServer. Die Firewall-Auswertung ist eine reine IP-/Pattern-Prüfung\n(keine externen Lookups). Analytics-Counter werden seit v0.26.0 pro\nRequest gesammelt und in einem einzigen DB-Roundtrip auf\nshutdown geschrieben. Das Event-Log nutzt seit derselben\nVersion einen Composite-Index, der typgefilterte Dashboard-Queries ohne\nFilesort beantwortet.

\n

Wie DSGVO-konform ist das\nPlugin?

\n

Out-of-the-box ist die IP-Anonymisierung im Event-Log aktiv (IPv4 auf\nletztes Oktett, IPv6 auf letzte 80 Bit trunkiert). Aggregat-Zähler\nenthalten keinerlei personenbezogene Daten. Im Event-Log werden keine\nQuery-String-Werte (GET-Token, Magic-Links, API-Keys) gespeichert — der\nPfad wird vor dem Schreiben auf den reinen Pfadanteil reduziert.\nRequest-Body-Fingerprints enthalten nur Feldnamen und Wertlängen;\nsensitive Feldnamen werden zusätzlich gehasht.

\n

Wie deaktiviere ich das\nPlugin sauber?

\n

Über Plugins → Installierte Plugins deaktivieren\nreicht für den Betrieb. Wer auch die Daten loswerden will, kann das\nPlugin anschließend löschen — der uninstall.php-Cleanup\nentfernt alle Options, Transients (inklusive _cc_*-Caches\nund _git_update_*-Locks) sowie die Event-Tabelle.

\n

Funktioniert das Plugin\nmit Multisite?

\n

Ja, allerdings pro Site einzeln aktivierbar. Es gibt aktuell keine\nNetwork-Activate-Logik mit zentralen Settings — jede Site hat ihre\neigene Konfiguration. Network-weite Aktivierung ist möglich, hat aber\ndenselben Effekt wie eine Aktivierung pro Site.

\nKann\nich CreaCaptcha parallel zu einem anderen Captcha-Plugin betreiben?\n

Technisch ja — die Code-Pfade kollidieren nicht.\nwp creacaptcha doctor prüft auf bekannte Captcha-Plugins\n(reCAPTCHA, hCaptcha, Turnstile, ALTCHA-WordPress) und warnt, weil zwei\nCaptcha-Layer auf demselben Formular für den Nutzer unzumutbar werden.\nEmpfehlung: nur eines aktiv lassen.

\n

Wo finde ich\nLogs, wenn etwas nicht funktioniert?

\n

Mit define( 'CREATIONELL_CAPTCHA_DEBUG', true ); (oder\nglobal WP_DEBUG) schreibt das Plugin Debug-Hinweise nach\nwp-content/debug.log. Zusätzlich liefert\nwp creacaptcha doctor einen kompletten Diagnose-Lauf, und\ndas Event-Log zeigt alle abgewiesenen Requests samt Grund.

\n

Wie aktualisiere ich\nauf eine neue Version?

\n

Drei Wege: (1) Der eingebaute Self-Hosted-Updater zeigt neue\nVersionen automatisch im Plugins-Bildschirm — wie ein\nnormales wp.org-Update. (2) ZIP von der GitHub-Release-Seite\nherunterladen und manuell über Plugins → Installieren → Plugin\nhochladen einspielen. (3) Per WP-CLI:\nwp plugin install --activate <release-url> mit der\nURL aus den GitHub-Releases.

\n
\n

Changelog

\n

1.0.1

\n
    \n
  • Fix: Contributor-Einträge im Plugin-Detail-Popup erhalten jetzt\neinen display_name — zuvor loggte WordPress-Core eine\nPHP-Warning und zeigte die Contributor-Namen nicht an. Das\nUpdate-Manifest liefert das Feld nun mit; der Updater ergänzt es als\nFallback auch für ältere Manifeste.
    • \n
  • Fix: Der no_update-Eintrag des Updaters enthält jetzt\nnew_version, package, tested und\nrequires_php — zuvor loggte WP-CLI bei\nwp plugin list eine PHP-Warning, wenn das Plugin aktuell\nwar.
    • \n
  • Entfernt: Der seit v0.19.0 veraltete WP-CLI-Alias\nwp creacaptcha refresh-cloudflare-ips. Bitte\nwp creacaptcha cloudflare refresh verwenden.
    • \n
  • Verbessert: Die Plugin-Banner werden jetzt verlustfrei als AVIF\nkodiert.
    • \n
\n

1.0.0

\n

Erstes stabiles Release. CreaCaptcha ist ein vollständig\nselbst-gehosteter Spamschutz für WordPress — ohne externe Dienste, ohne\nTracking, ohne Lizenz-Gate.

\n

Funktionsumfang:

\n
    \n
  • Proof-of-Work-Captcha (ALTCHA-kompatibel, PBKDF2/Argon2id) für\nKommentare, Login, Registrierung und Passwort-Reset
    • \n
  • Formular-Integrationen: Contact Form 7, Forminator, WPForms,\nWooCommerce (Checkout, Login, Registrierung, Lost-Password)
    • \n
  • Generischer Interceptor für beliebige URL-Pfade und\nWordPress-Actions
    • \n
  • Firewall (IP-/CIDR-/User-Agent-Listen), per-IP-Rate-Limiter,\nProxy-Support inkl. Cloudflare
    • \n
  • Under-Attack-Modus mit anpassbarer 503-Interstitial-Seite (Texte,\nFarben, Logo, Custom-CSS)
    • \n
  • Bild-Code-Challenge als optionale zweite Captcha-Stufe
    • \n
  • E-Mail-Obfuskation (Content-Filter oder Ganzseiten-Buffer)
    • \n
  • Statistik-Dashboard, Event-Log mit Suche/Filter/CSV-Export
    • \n
  • Umfassende WP-CLI-Integration (wp creacaptcha …)
    • \n
  • Widget-Anpassung (Themes, Farben, Custom-CSS, 20 Sprachen)
    • \n
\n

Neu in diesem Release:

\n
    \n
  • Plugin-Banner für den WordPress-Update-Screen
    • \n
  • Dokumentations-Sektion in der README (Web-Doku, Update-Manifest,\nAPI-Referenz)
    • \n
  • Contributors-Angabe im Update-Manifest erweitert
    • \n
\n

Das Update von v0.30.x erfolgt ohne Datenbank-Migration und ohne\nBreaking Changes — bestehende Einstellungen, Listen und Statistiken\nbleiben unverändert erhalten.

\n

0.30.1

\n

Wartungsrelease: Release-Infrastruktur umgestellt — keine\nfunktionalen Änderungen am Plugin.

\n
    \n
  • Die Plugin-Releases werden ab dieser Version aus dem dedizierten,\nöffentlichen Release-Repository\ngithub.com/creationell-dev/creationell-captcha\nveröffentlicht. Download-, Update- und Dokumentations-URLs bleiben\nunverändert.
    • \n
  • Build-Pipeline gehärtet: GitHub-Actions und phpDocumentor auf feste\nVersionen gepinnt, Build-Staging vom Paketinhalt ausgeschlossen.
    • \n
\n

0.30.0

\n

Under-Attack Pass-Event & Statistik-Übersicht — das Backend\nunterscheidet jetzt, ob ein Besucher die Under-Attack-Prüfung bestanden\nhat oder hängen blieb, und die Statistik-Übersicht erklärt ihre Zahlen\nselbst.

\n
    \n
  • Neuer Event-Typ underattack_passed: feuert, wenn ein\nBesucher die Under-Attack-PoW-Prüfung löst und das Pass-Cookie\nausgestellt wird. Erscheint in Übersicht, Verlauf, Ereignis-Filter,\nCSV-Export und WP-CLI (wp creacaptcha stats,\nlog list --type=underattack_passed).
    • \n
  • Neues Log-Gate „Bestandene Under-Attack-Prüfungen loggen” (Default:\nan); Aggregat-Zähler laufen unabhängig davon.
    • \n
  • Statistik-Übersicht: vier KPI-Kacheln statt drei — „Abgewehrt (24\nh)” zählt nur noch echte Blocks (Firewall + Rate-Limit), Under-Attack\nhat eine eigene Kachel „Abfragen / bestanden”.
    • \n
  • Statistik-Übersicht: die flache Ereignis-Tabelle ist in vier\nthematische Gruppen mit Erklärungstext gegliedert (Formular-Captchas /\nAbgewehrte Zugriffe / Under-Attack-Modus / Technisch); nicht zugeordnete\nTypen landen automatisch in einer Auffanggruppe „Weitere\nEreignisse”.
    • \n
  • Keine DB-Migration nötig; bestehende Events und Zähler bleiben\nunverändert gültig.
    • \n
\n

0.29.0

\n

Logo im Under-Attack-Interstitial — die 503-Seite kann jetzt ein Logo\noberhalb der Überschrift anzeigen.

\n
    \n
  • Neues optionales Feld „Logo-URL” in der Under-Attack-Section\n„Erscheinungsbild”. Leer = kein Logo (Default); bestehende Sites sehen\nohne Aktion keine Änderung.
    • \n
  • UnderAttack::serve_interstitial() reicht die URL als\n$logo_url ans Template; das Template rendert ein\nzentriertes <img class=\"crea-ua-logo\"> vor dem\n<h1>, gedeckelt auf max-height: 128px.\nAlt-Text = Website-Name (get_bloginfo('name')).
    • \n
  • Sanitization via esc_url_raw() beim Speichern\nentschärft gefährliche Schemata (javascript: o. Ä.);\nAusgabe zusätzlich mit esc_url().
    • \n
  • Größe per .crea-ua-logo über das vorhandene „Eigenes\nCSS”-Feld überschreibbar. Setzbar über\nwp creacaptcha settings set underattack_logo_url <url>.
    • \n
\n

0.28.0

\n

Feature-Modul 21 — Under-Attack-Customization: Wording und\nErscheinungsbild der Interstitial-Seite sind ab sofort über das Backend\nkonfigurierbar, ohne Plugin-Code zu patchen.

\n
    \n
  • Neue Section „Erscheinungsbild” im Under-Attack-Tab mit sieben\noptionalen Feldern: vier Texte (Browser-Tab-Titel, Überschrift,\nHinweistext, NoScript-Hinweis), zwei Farben (Hintergrund, Textfarbe) und\nein freies Custom-CSS-Feld.
    • \n
  • Renderer in UnderAttack::serve_interstitial() baut die\ndrei Variablen $texts / $colors /\n$user_css und reicht sie ans Template weiter; leere Felder\nfallen auf die existierenden Hartcode-Defaults zurück.
    • \n
  • Template (includes/under-attack-interstitial.php) nutzt\nzwei neue CSS-Variablen --creationell-captcha-ua-bg und\n--creationell-captcha-ua-text für die Farben. Ein zweiter\n<style>-Block direkt nach dem Default-Stylesheet\nnimmt das Custom-CSS auf — alle Regeln des Defaults sind dort\nüberschreibbar.
    • \n
  • Sanitization analog zu widget_custom_css:\nwp_strip_all_tags() neutralisiert\n</style><script>-Injection bevor der Wert die\nTemplate-Ausgabe erreicht.
    • \n
  • Alle sieben Felder sind über das bestehende\nwp creacaptcha settings set <key> <value>-CLI\nsetzbar — neue Field-Typen waren nicht nötig, alle Typen\n(text, color, textblock) gibt es\nseit Modul 14.
    • \n
\n

Sites nach Update sehen ohne Aktion keine visuelle\nVeränderung — alle sieben Felder sind initial leer und das Template\nfällt damit auf die bisherigen Default-Werte zurück.

\n

0.27.2

\n

Metadaten-Anpassung an WordPress 7.0 / 6.9.

\n
    \n
  • Plugin-Header & README:\nRequires at least von 6.8 auf 6.9 angehoben,\nTested up to von 6.8 auf 7.0 nachgezogen. WordPress 7.0 ist\nseit kurzem produktiv; der Plugin-Test-Lauf der bisherigen Module 1–20\nist gegen 7.0 sauber.
    • \n
  • Konstante: CREATIONELL_CAPTCHA_MIN_WP\nvon '6.8' auf '6.9' angehoben. Sites auf\nWordPress 6.8 oder älter erhalten beim Aktivieren jetzt die bestehende\nHinweisleiste „Erfordert WordPress 6.9 oder neuer.” statt das Plugin zu\nladen.
    • \n
  • Inline-Kommentar im Plugin-Bootstrap (WordPress 6.8+ →\nWordPress 6.9+) und die interne Entwickler-Dokumentation\nkonsistent nachgezogen.
    • \n
\n

Keine funktionalen Code-Änderungen.

\n

0.27.1

\n

CSS-Fix: Widget-Abstand zum darauffolgenden Element im\nStandard-Modus.

\n
    \n
  • assets/css/widget.css: Die Block-Flow-Abstandsregel auf\n<altcha-widget> ist von margin-block-end\nauf padding-block-end umgestellt und auf den\ndisplay=\"standard\"-Modus eingeschränkt. Hintergrund: das\nWidget ist auf den geschützten Formularen typischerweise das letzte Kind\nim <form> — der bisherige\nmargin-block-end kollabierte deshalb mit der Bottom-Kante\ndes Form-Elements (kein\npadding-bottom/border-bottom/eigene BFC),\nsodass visuell überhaupt kein Abstand zum nachfolgenden Inhalt blieb.\nPadding kollabiert nicht — der konfigurierbare Abstand (Default jetzt\n1rem statt 1.5em) ist daher zuverlässig\nsichtbar. Der CSS-Variablenname\n(--creationell-captcha-widget-margin-block-end) bleibt aus\nKompatibilitätsgründen gleich.
    • \n
  • Floating/Overlay/Bar/Invisible-Modi bekommen den Abstand nicht mehr\nspurious mitgegeben — ihre eigentliche Widget-Darstellung ist\nposition-fixed bzw. display:none, ein Inline-Spacer wäre dort nur ein\ntoter 1.5em-Gap.
    • \n
\n

0.27.0

\n

Feature-Modul 20 — Widget-i18n: Die Sicherheitsabfrage erscheint\nendlich in der korrekten Sprache, ohne dass der Admin etwas\nkonfigurieren muss.

\n
    \n
  • Neue 20 vendorierte ALTCHA-Locale-Dateien unter\nassets/js/altcha-i18n/ (DE, EN, FR-FR/CA, ES-ES/419, IT,\nNL, PT-PT/BR, PL, CS, SK, DA, SV, FI, NB, HU, RO, EL) — je ~3 KB,\nPage-Load lädt weiterhin nur eine Datei.
    • \n
  • Neuer Helper\ncreationell_captcha_resolve_widget_locale() mit\nLookup-Tabelle (48 WP-Locale-Strings, inkl. formal/informal- Varianten)\nauf 20 ALTCHA-Codes.
    • \n
  • creationell_captcha_build_widget_markup() enqueued die\npassende Locale-Datei lazy (analog zum Theme-CSS-Pattern) und setzt\nlanguage=\"<code>\" am\n<altcha-widget>. Locales ohne Mapping überspringen\nbeide Schritte — das Widget nutzt dann seine eigene\n<html lang>/Browser-Detection.
    • \n
  • Zwei neue Filter creationell_captcha_widget_locale_map\nund creationell_captcha_widget_locale für Projekt-Overrides\nohne Plugin-Patch.
    • \n
  • wp creacaptcha status zeigt eine neue Zeile\n„Widget-Sprache” mit dem effektiven ALTCHA-Code plus dem\nWP-Locale-Ursprung.
    • \n
  • widget_strings_override bleibt unverändert und greift\nweiterhin als Pro-Schlüssel-Override on top der\nAuto-Locale.
    • \n
\n

0.26.2

\n

Bugfix-Release: schließt eine Verify-Regression aus v0.22.0 / Commit\nc322b96, die seit der Korrektur des\nconfiguration-JSON-Attributs das ALTCHA-Widget dazu\nbrachte, bei jedem gelösten PoW die /code-verify-Route\naufzurufen — und dort mit 400 invalid_request abgewiesen zu\nwerden, weil im Plain-Mode (ohne Code-Challenge im\n/challenge-Response) das code-Feld im Body\nfehlt.

\n
    \n
  • includes/widget.php: verifyUrl wird im\nconfiguration-JSON nur noch dann emittiert, wenn das\nMaster-Setting code_challenge_enabled aktiv ist. Im\nStandardfall (Code-Challenge aus) verifiziert das Widget wieder rein\nclient-seitig, ohne den überflüssigen Server-Roundtrip.
    • \n
  • includes/code-challenge.php: /code-verify\nakzeptiert das code-Feld jetzt als optional. Plain-Mode\n({ payload } ohne code) durchläuft\nEngine::verify_structural(), prüft die Original-Signatur\nüber den gleichen Single-Use-Transient-Schlüssel wie\nEngine::verify() (verhindert, dass eine einzelne gelöste\nPoW in N frische Payloads multipliziert wird) und gibt eine frische\nsignierte Payload zurück. Code-Challenge-Modus bleibt funktional\nunverändert.
    • \n
\n

Die ALTCHA-verifyUrl-Mechanik schaltet das Widget\npauschal in den Server-Verify-Modus — auch ohne Code-Challenge im\nResponse. Beide Fixes zusammen: saubere Standard-Konfiguration ohne\nRoundtrip und Defense-in-Depth, falls\ncode_challenge_enabled aktiv ist aber kein Trigger\ngreift.

\n

0.26.1

\n

UX-Polish-Release: schließt die drei nicht-essenziellen UX-Befunde\naus dem Qualitäts-Audit (Modul 18) ab.

\n
    \n
  • Neue requires_select-Semantik im Settings-Schema:\nFelder können jetzt nicht nur an einen booleschen Vorbedingungs-Toggle\ngekoppelt werden (requires => 'foo_enabled'), sondern\nauch an einen konkreten Wert eines anderen Select-Feldes\n(requires_select => ['widget_display' => 'floating']).\nRender-Layer setzt disabled, Sanitizer-Cascade bewahrt den\ngespeicherten Wert. Anwendung: die drei Floating-Felder\nwidget_floating_anchor/widget_floating_placement/\nwidget_floating_offset werden jetzt nur aktiv geschaltet,\nwenn der Widget-Anzeige-Modus auf „Schwebend” steht — in jedem anderen\nModus bleiben sie ausgegraut.
    • \n
  • Tools-Page „Auf Werkseinstellungen zurücksetzen”: deutliche\nnotice-warning-Box oberhalb der Karte mit Hinweis auf die\nListen-Leerung und Verweis auf die ungefährliche „Standardwerte\nladen”-Karte.
    • \n
  • Wortwahl „Sicherheitsabfrage” (user-facing Help-Texte) vs. „Captcha”\n(technische/Admin-Kontexte wie Tab-Label, Section-Titel, Engine-\nBegriffe) bleibt bestehen — das Audit hat die aktuelle Trennung als\nakzeptabel eingestuft.
    • \n
\n

0.26.0

\n

Performance-Release: drei aufgeschobene Optimierungen aus dem\nQualitäts-Audit (Modul 18) — Settings-Memoize, Analytics-Bump-Memoize\nund ein Composite-Index auf der Events-Tabelle.

\n
    \n
  • creationell_captcha_get_settings() cacht das Ergebnis\npro Request in einer statischen Variable. Bisher rief jede\nModul-Komponente (Interceptor, Firewall, Rate-Limiter, Under-Attack,\njede Form- Integration) die Funktion mehrfach pro Request, jedes Mal mit\narray_merge über ~70 Default-Keys. Invalidierung läuft über\ndie\nupdate_option/add_option/delete_option-Hooks\nfür creationell_captcha_settings, sodass Caller direkt nach\neinem Speichervorgang den frischen Wert sehen.
    • \n
  • Analytics::record() sammelt die Daily- und\nHourly-Counter-Deltas in request-lokalen Static-Caches und flusht sie\nvia add_action('shutdown', …) in genau einem\nget_option/update_option-Paar pro\nCounter-Tabelle. Vorher: zwei Roundtrips pro Event — eine\n/challenge-Route mit aktivem\nlog_challenge-Toggle und nachgelagerter Verifikation kommt\ndamit bei 4–6 Roundtrips an. Jetzt: maximal 2 Roundtrips, unabhängig von\nder Anzahl der Events. Die Cutoff-Pruning-Logik wandert in\napply_deltas() und läuft jetzt einmal je Counter statt\neinmal je Event. Konkurrente Updates aus parallelen Requests bleiben\nerhalten (Flush liest frischen Stand und addiert nur die eigenen\nDeltas).
    • \n
  • Composite-Index\nevent_type_created (event_type, created_at) auf der\nEvents-Tabelle. Dashboard-Queries mit event_type-Filter\n(Statistik-Tab, CSV-Export, Detail-Modal-Source) erzwangen bisher einen\nFilesort über den per-day-gesliceten Range. Mit dem Composite-Index\nläuft die typgefilterte Range-Abfrage als reiner Index-Range-Scan.\nMigration via Analytics::ensure_table() — dbDelta für\nFrischinstalls, SHOW INDEX-Guard plus\nALTER TABLE als Fallback für bestehende Tabellen (dbDelta\nist für Index-Adds historisch unzuverlässig).\n%i-Identifier-Platzhalter konsistent mit\nclear_events().
    • \n
\n

0.25.0

\n

Qualitäts-Audit-Release: Security-Härtung des Updaters,\nEvent-Log-Privacy, Body-Fingerprint-Maskierung sowie umfassende\nUX-Hilfetexte und Konsistenz- Fixes im Backend.

\n

Sicherheit: - Updater\n(includes/class-plugin-updater.php): Checksum-Vergleich\nnutzt jetzt hash_equals() (timing-safe). Slug-Heuristik in\nverify_download_checksum() durch Exakt-Match gegen\nmanifest.download_url ergänzt — verhindert Bypass über ein\nmanipuliertes Manifest mit Slug-freier Download-URL. Manifest-Fetch über\nwp_safe_remote_get() (Defense-in-Depth gegen SSRF). -\nEvent-Log: Analytics::current_path() reduziert\nREQUEST_URI auf den Pfad-Anteil. GET-Token,\nMagic-Login-Links und API-Keys landen damit nicht mehr im persistenten\nEvent-Log. - Request-Body-Fingerprint: Feldnamen mit sensitiven\nSubstrings (password, secret,\ntoken, iban, api_key,\ncvv, …) werden vor dem JSON-Encode durch\n[masked:<sha256-8>] ersetzt, um Custom-Form- Schemata\nnicht im Event-Log preiszugeben. Neuer Filter\ncreationell_captcha_request_body_sensitive_patterns für\nprojektspezifische Erweiterungen. -\nAnalytics::clear_events() nutzt jetzt\nwpdb::prepare( 'DELETE FROM %i', $table ) statt\nRoh-Interpolation (WP-6.2+-konform).

\n

Backend-UX: - DSGVO-First: Default\nanalytics_anonymize_ip von false auf\ntrue. Neue Installs anonymisieren IPs out-of-the-box;\nbestehende Installs behalten ihre Wahl. - Rate-Limit-Default\nratelimit_max von 10 auf 30 (besser für Login-Scope — ein\nNutzer mit Tippfehler-Marathon läuft nicht mehr ins 5-Minuten-Lockout).\n- Tab-Reihenfolge: „Analytics” steht nun vor „E-Mail-Schutz” (näher an\nden Schutzmodulen). - Firewall-Tab: Sektionen sortiert auf Proxy →\nFirewall → Bypass → Rate-Limit (Bypass folgt der Firewall, deren Regeln\nsie überstimmt). - widget_code_challenge_display in die\nCode-Challenge-Section verschoben und an\ncode_challenge_enabled gekoppelt. - 21 fehlende oder\nschwache Settings-Hilfetexte ergänzt (algorithm,\ndifficulty, challenge_expiry, alle\nwidget_*-Customization-Felder, Core-Forms-Toggles, alle\nForm-Plugin-Toggles, Rate-Limit-Felder,\nfirewall_proxy_header,\nfirewall_ip_block/ua_block,\nunderattack_enabled, analytics_event_log,\nbypass_cookies,\nfirewall_cloudflare_auto_refresh,\ninterceptor_skip_logged_in). Section-Renderer für Engine,\nCode-Challenge und Firewall mit erklärenden Texten ergänzt (PoW-Konzept,\nOR-Logik der Trigger, CIDR-Notation). -\ninterceptor_actions-Hilfetext nennt jetzt die\nedit_posts-Exemption (Autoren/Editoren weiterhin\nausgenommen). - Tools-Page: Reset-Karte + Confirm-Dialog erwähnen jetzt\nexplizit auch Interceptor- und Bypass-Listen.

\n

WP-CLI: - wp creacaptcha status zeigt\ndrei neue Zeilen: Proxy-Modus, CF-Trust / CF-Auto-Refresh und\nIP-Anonymisierung. - wp creacaptcha doctor prüft\next-sodium, wenn der Algorithmus auf Argon2id steht — Error\nmit Fix-Vorschlag, wenn die Extension fehlt.

\n

Code-Qualität: -\ndefined( constant_name: 'ABSPATH' ) →\ndefined( 'ABSPATH' ) in 48 Dateien. Named-Args auf\nPHP-Builtins sind nicht stabilitäts-garantiert und werden von\nStatic-Analyzern als Anti-Pattern geflaggt. - PHPDoc: über 20 eigene\ndo_action/apply_filters-Hooks vollständig\ndokumentiert (creationell_captcha_event,\nInterceptor-Filter-Familie, WPForms-/WC-Autoinject-Filter),\nRepeat-Dispatches mit WordPress-Core- style „This action is documented\nin …“-Verweisen. - REST-Callback-PHPDocs in\nincludes/rest.php und\nincludes/code-challenge.php ergänzt\n(@param/@return mit Status-Code-Tabelle).

\n

Tooling & Doku: - phpdoc.xml\nVersion-Drift 0.1.0 → 0.25.0. -\nPlugin-Header-Description nennt jetzt Firewall, Rate-Limit,\nUnder-Attack, E-Mail-Obfuskation und Code-Challenge (vorher: nur\nPoW-Spamschutz). - README-Description um WPForms-,\nWooCommerce-Integrationen und Code-Challenge-Absatz erweitert. -\nuninstall.php: Transient-Cleanup vom\n_used_-Prefix auf das gesamte\ncreationell_captcha_-Prefix erweitert; entfernt jetzt auch\n_cc_*, _rl_* und\n_git_update_*-Caches/Locks.

\n

Behebt: - Inkorrekt formulierter\nIPv6-Anonymisierungs-Hilfetext (includes/settings.php):\nstimmt jetzt mit der Code-Logik überein (erste 48 Bit bleiben, letzte 80\nBit auf 0). - Tippfehler „mehrmietigen” → „mehrmandantigen (Shared\nHosting)“. - Tested up to: 6.9 → 6.8\n(WordPress 6.9 ist Stand 2026-05-28 noch nicht released).

\n

0.24.0

\n
    \n
  • WP-CLI-Nachzug Phase 2: schließt sieben CLI-Coverage-Lücken nach den\nModulen 14–16.
    • \n
  • Neuer Listen-Befehl\nwp creacaptcha watchlist add|remove|list|clear für die\nCode-Challenge-Watchlist (code_challenge_watchlist).
    • \n
  • wp creacaptcha status zeigt sechs zusätzliche Zeilen:\nForm-Plugin- Toggles (CF7, Forminator, WPForms, WooCommerce + gruppierte\nZeile für die vier Woo-Sub-Toggles) und den\nWatchlist-Eintragszähler.
    • \n
  • wp creacaptcha enable code-challenge /\ndisable code-challenge togglet\ncode_challenge_enabled über feature_map().\nDoc-Strings von enable/disable listen jetzt\nalle 19 Features (vorher 12, fehlten WPForms, WooCommerce und die vier\nwc-* Mappings).
    • \n
  • wp creacaptcha settings set unterstützt jetzt\nzusätzlich die Feldtypen text, color und\ntextblock — damit werden die Widget-Customization-Felder\n(widget_floating_anchor, widget_primary_color,\nwidget_custom_css, widget_strings_override)\nüber die CLI setzbar. Verworfene JSON-/Hex-Werte werden via\nWP_CLI::warning() gemeldet.
    • \n
  • wp creacaptcha doctor ergänzt einen GD-Extension-Check:\nwenn code_challenge_enabled aktiv ist, muss die\nPHP-GD-Extension geladen sein (sonst error mit Exit-Code\n1).
    • \n
  • wp creacaptcha log list unterstützt jetzt\n--fields= (WP-CLI- Standard); Default-Output bleibt die\nbisherige 4-Spalten-Übersicht, verfügbar werden alle 15 Spalten der\nEvent-Log-Tabelle.
    • \n
  • Neuer Befehl wp creacaptcha log show <id> zeigt\neinen einzelnen Event mit allen 15 Spalten als Key-Value-Tabelle (oder\nJSON/YAML/CSV via --format).
    • \n
\n

0.23.0

\n
    \n
  • WPForms-Integration: Neues Setting „WPForms schützen” im\nFormulare-Tab. Aktiv, sobald das WPForms-Plugin installiert ist.\nAuto-Inject des Widgets vor dem Submit-Button\n(wpforms_display_submit_before); Verify über\nwpforms_process-Action, Fehlerausgabe via\nwpforms()->process->errors[$form_id]['header'].
    • \n
  • WooCommerce-Integration: Master-Toggle „WooCommerce schützen” plus\nvier Sub-Toggles für Checkout, My-Account-Login,\nMy-Account-Registrierung und Lost-Password. Auto-Inject auf den nativen\nWoo-Hooks (woocommerce_review_order_before_submit,\nwoocommerce_login_form_end,\nwoocommerce_register_form,\nwoocommerce_lostpassword_form); Verify auf\nwoocommerce_after_checkout_validation,\nwoocommerce_process_login_errors,\nwoocommerce_registration_errors.
    • \n
  • Lost-Password ist Render-only: Server-Verifikation läuft über\nprotect_password_reset (WordPress-Kernformular), weil\nWoo-Lost-Password über WP-Core retrieve_password()\nzurückläuft und damit lostpassword_post feuert.
    • \n
  • Produkt-Bewertungen werden bewusst nicht über einen eigenen\nSub-Toggle abgebildet — Reviews sind WordPress-Kommentare und durch\nprotect_comments abgedeckt; der Hilfetext am Master-Toggle\nweist darauf hin.
    • \n
  • Render-Override-Filter (alle fünf, einheitliche\n(bool, int $form_id)- Signatur):\ncreationell_captcha_wpforms_autoinject,\ncreationell_captcha_wc_checkout_autoinject,\ncreationell_captcha_wc_login_autoinject,\ncreationell_captcha_wc_registration_autoinject,\ncreationell_captcha_wc_lost_password_autoinject. Bei\nfalse wird das Auto-Inject übersprungen; die Verifikation\nbleibt aktiv.
    • \n
  • WP-CLI: sechs neue Feature-Schlüssel für\nwp creacaptcha enable|disable — wpforms,\nwoocommerce, wc-checkout,\nwc-login, wc-registration und\nwc-lost-password.
    • \n
  • Bypass-Kette und Kill-Switch wirken wie bei den bestehenden\nIntegrationen: jeder Verify-Pfad ruft\ncreationell_captcha_request_bypassed() und respektiert\nCREATIONELL_CAPTCHA_DISABLE.
    • \n
\n

0.22.0

\n
    \n
  • Widget-Bugfix: Der\nALTCHA-<altcha-widget>-Custom-Element-Tag erkennt nur\n9 spezifische HTML-Attribute (auto, challenge,\nconfiguration, display, language,\nname, theme, type,\nworkers) — alle anderen Props (Verify-URL,\nFloating-Anchor/Placement/Offset, Code-Challenge- Display,\nHide-Footer/Logo, Strings-Override) müssen als JSON-Blob über das\nconfiguration-Attribut übergeben werden. Bisher hat das\nPlugin diese Settings als Einzelattribute emittiert, die das Widget\nstillschweigend ignoriert hat. Sichtbare Folgen: Floating-Anchor griff\nnicht, ALTCHA-Footer/Logo blieben sichtbar, Code-Challenge-Modal-Modi\n(overlay/bottomsheet) wurden ignoriert, eigene Übersetzungen waren\nwirkungslos. Mit v0.22.0 wirken alle Modul-14-Settings korrekt — das ist\neine Verhaltensänderung, falls jemand diese Felder auf Nicht- Default\ngesetzt hatte.
    • \n
  • Bild-Code-Challenge: Zweite Captcha-Stufe nach der\nProof-of-Work-Verifikation — ein vom Server ausgestelltes PNG mit einem\n4–8-stelligen Code, den der User abtippen muss. Self-hosted, kein\nexterner Dienst, kein ALTCHA Sentinel.
    • \n
  • Neue Section „Bild-Code-Challenge” im Captcha-Tab mit Master-Toggle\nund drei unabhängigen Trigger-Bedingungen: Under-Attack-Modus,\nRate-Limit- Schwellwert (konfigurierbar 50–95 %) sowie eine eigene\nWatch-Liste von IPs/CIDRs. Mehrere Trigger gleichzeitig sind\nOR-verknüpft.
    • \n
  • Code-Optionen: Länge 4–8, Zeichensatz (nur Ziffern / alphanumerisch\n/ alphanumerisch ohne Verwechsler), Token-Gültigkeit 60–900\nSekunden.
    • \n
  • Zwei neue REST-Endpoints:\nGET /wp-json/creationell-captcha/v1/code-image (PNG-Bild)\nund POST /wp-json/creationell-captcha/v1/code-verify\n(Code-Prüfung, liefert eine serverseitig gelöste ALTCHA-Payload, die\ndurch den bestehenden Verifizierungspfad geht). Tokens sind opake\nServer- Identifier (32 Hex), Code lebt nur in einem WP-Transient — kein\nClient-side-Leak des erwarteten Codes.
    • \n
  • Trigger „Immer”: Vierter Trigger-Toggle in der\nCode-Challenge-Section, damit die Code-Challenge unabhängig von\nUnder-Attack / Rate-Limit- Schwelle / Watch-Liste bei jedem\nCaptcha-Request ausgespielt wird — sinnvoll fürs lokale Testen oder\npauschal erhöhte Sicherheit. Default aus.
    • \n
  • Under-Attack-Schutz: Code-Challenge wird auf dem Under-Attack-Inter-\nstitial unterdrückt (das Interstitial-Widget ist invisible — ein Code-\nModal könnte nicht angezeigt werden). Das Interstitial hängt einen\nHMAC-signierten Kontext-Token an die challenge-URL, der nur server-\nseitig signierbar ist; ein Angreifer kann die Suppression nicht selbst\ntriggern.
    • \n
  • Das <altcha-widget> bekommt verifyUrl (sowie alle\nanderen Modul-14- Settings) via das\nconfiguration-JSON-Attribut, damit es vom Widget überhaupt\ngelesen wird.
    • \n
  • Bild-Rendering via PHP-GD mit vendorierter DejaVuSans-Bold-TTF unter\nassets/fonts/captcha.ttf und naiver Anti-OCR-Verzerrung\n(rotierte Zeichen, Querlinien, Rauschen). Wenn die TTF-Datei fehlt,\nfällt der Renderer auf den GD-Bitmap-Font 5 zurück.
    • \n
  • WP-CLI: wp creacaptcha status zeigt eine neue Zeile\n„Code-Challenge” mit dem effektiven Zustand (an /\naus / inaktiv (kein GD)).
    • \n
  • Bypass-Schutz: Engine::verify() lehnt jeden Payload ab,\nin dem parameters.data.ccode gesetzt ist — verhindert, dass\nein Angreifer den ursprünglichen Code-Challenge-Payload direkt am\nForm-Submit vorbei einreicht. Frische Payloads aus\nEngine::issue_signed_payload() haben kein\ndata.ccode und passieren den Filter.
    • \n
  • Wenn die PHP-GD-Extension fehlt, deaktiviert sich das Feature\nstillschweigend, der bestehende PoW-Flow bleibt unangetastet, und in der\nSettings-Section erscheint eine Warn-Notice.
    • \n
\n

0.21.0

\n
    \n
  • Widget: Vendoriert jetzt das ALTCHA-Basis-Stylesheet\n(dist/external/altcha.css) und die sieben Theme-CSS-Files\n(dist/themes/*.min.css). Ohne diese fehlten alle\nDisplay-Modus-Positionierungen (floating/overlay/bar) komplett, und das\nTheme-Attribut hatte keinen sichtbaren Effekt.
    • \n
  • Widget: widget_display-Option bottomsheet\nentfernt — der Wert war kein gültiger ALTCHA-display-Modus\n(nur Inline-Fallback auf standard). Stattdessen neues Setting\nwidget_code_challenge_display\n(standard/overlay/bottomsheet) für die ALTCHA-Code-Challenge-Modal, wo\nbottomsheet tatsächlich hingehört.
    • \n
  • Widget: Drei neue Settings für den schwebenden Modus:\nwidget_floating_anchor (CSS-Selektor, leer = erster\nSubmit-Button), widget_floating_placement\n(auto/top/bottom), widget_floating_offset (px, 0-200). Ohne\nAnchor bleibt das schwebende Widget off-screen — Help-Text macht das\njetzt klar.
    • \n
  • Update-Procedure für das Widget-Asset auf einen abgesicherten\nnpm-Bezug umgestellt (Schutz vor kompromittierten npm-Paketen).
    • \n
  • Architektur: Neuer Field-Type text (single-line input)\nfür CSS-Selektor- und ähnliche String-Settings.
    • \n
\n

0.20.0

\n
    \n
  • Widget: Acht neue Customization-Settings unter „Captcha →\nWidget-Erscheinungsbild”. Display-Modus (standard, floating, overlay,\nbar, invisible, bottomsheet), Interaktions-Typ (checkbox/switch/native),\nautomatische Auslösung (none/onload/onsubmit), eines der acht\nALTCHA-v3-Themes, optionales Ausblenden des ALTCHA-Brandings,\nAkzentfarbe per Color-Picker, eigenes CSS und JSON-Override für die\nWidget-Texte.
    • \n
  • Widget: Das alte zusammengesetzte widget_mode-Setting\n(visible/auto/overlay) entfällt; ein Upgrade-Hook migriert beim ersten\nAdmin-Aufruf automatisch auf die neuen Keys (visible →\nstandard+none, auto → invisible+onload,\noverlay → floating+onsubmit).
    • \n
  • Widget: Der overlay-Modus aus Modul 11a wird jetzt korrekt mit der\nv3- Syntax display=\"floating\" ausgespielt (vorher\nveraltetes floating=\"auto\").
    • \n
  • Widget: Inline-CSS-Variable\n--creationell-captcha-primary überschreibt die\nALTCHA-Standard-Akzentfarbe, wenn widget_primary_color\ngesetzt ist. Eigenes CSS wird direkt danach ausgegeben und kann beliebig\nüberschreiben.
    • \n
  • WP-CLI: wp creacaptcha status zeigt eine neue Zeile\n„Widget-Anzeige” mit dem aktiven Display-Modus.
    • \n
  • Architektur: Zwei neue Field-Typen color und\ntextblock ergänzen das Settings-Framework.\ntextblock speichert mehrzeiligen Text ohne die\nLine-Listen-Semantik des bisherigen textarea-Typs.
    • \n
\n

0.19.0

\n
    \n
  • WP-CLI: Fünf neue Listen-Subbefehle für die seit v0.13.0\nhinzugekommenen Listen-Settings —\nwp creacaptcha trusted-proxies|bypass-ua|bypass-cookies|actions|inject-paths,\njeweils mit add|remove|list|clear. Damit sind alle Listen\nüber dedizierte Befehle pflegbar, ohne den Umweg über\nsettings set.
    • \n
  • WP-CLI: Neue Subcommand-Gruppe\nwp creacaptcha cloudflare mit\nrefresh/clear/status. Der alte\nTop-Level-Befehl wp creacaptcha refresh-cloudflare-ips\nbleibt als Deprecation-Alias erhalten (Entfernung frühestens\nv1.0.0).
    • \n
  • WP-CLI: Neuer Diagnose-Befehl\nwp creacaptcha test-bypass, simuliert die Bypass-Auswertung\nmit --ip/--ua/--cookie-Flags.\nExit 0 bei Bypass, Exit 1 sonst.
    • \n
  • WP-CLI: Neuer Diagnose-Befehl wp creacaptcha doctor mit\n9 Pflicht-Checks (Vendored Library, HMAC-Secrets, Event-Log-Tabelle,\nCloudflare-Refresh-Cron, Kill-Switch, Captcha-Plugin-Konflikte,\nPHP-Version, Cloudflare-Cache-Alter, Settings-Defaults). Erweiterbar\nüber den Filter creationell_captcha_doctor_checks.
    • \n
  • WP-CLI: wp creacaptcha status listet jetzt auch die\nfünf neuen Listen mit Eintragszählern.
    • \n
  • Werkzeuge-Seite: Neuer fünfter Block „Cloudflare-IP-Cache” mit\nStatus (gecachte v4/v6-Ranges, letzter Refresh, nächster Cron-Run,\nQuelle) und zwei Buttons („Jetzt aktualisieren”, „Cache leeren”). Beide\nButtons rufen exakt die gleichen Helfer wie die CLI.
    • \n
  • Refactor: Die feldspezifische Validierung für Action-Patterns und\nBypass-Cookies wurde aus\ncreationell_captcha_sanitize_settings() in zwei\nwiederverwendbare Helfer extrahiert — Charset-Änderungen sind jetzt an\neiner Stelle gepflegt. Außerdem wurde request_bypassed() in\neine reine evaluate_bypass(?ip, ?ua, cookies) plus dünnen\nGlobals-Wrapper aufgeteilt; alle bestehenden Aufrufer bleiben\nunverändert.
    • \n
\n

0.18.0

\n
    \n
  • Interceptor: Drei neue Mechaniken. Die Pfad-Liste\n(Geschützte Pfade) unterstützt jetzt !-Präfix\nfür Ausschluss-Muster (Allow-Liste mit Ausnahmen), z. B.\n/forms/* zusammen mit !/forms/whitelisted.\nEine neue Liste Geschützte Aktionen schützt\nWordPress-Action-Endpoints (das $_POST[action]- oder\n$_GET[action]-Feld auf admin-post.php / admin-ajax.php) —\nselbst wenn diese sonst durch den is_admin()-Bypass\nausgenommen wären. Eine neue Liste Inject-Pfade injiziert\ndie Sicherheitsabfrage automatisch vor jedem </form>\nder passenden Seiten — nützlich für Theme- oder Drittanbieter-Formulare,\ndie sich nicht direkt modifizieren lassen (idempotent: Formulare mit\nbereits eingebautem Widget werden übersprungen).
    • \n
\n

0.17.0

\n
    \n
  • Logging-Granularität: Sechs neue Backend-Checkboxes\n(Erfolgreiche Verifikationen loggen,\nFehlgeschlagene Verifikationen loggen,\nFirewall-Blocks loggen,\nRate-Limit-Blocks loggen,\nUnder-Attack-Abfragen loggen,\nAusgestellte Challenges loggen) steuern, welche\nEreignistypen in den Detail-Event-Log geschrieben werden. Aggregierte\nTages- und Stundenzähler erfassen alle Typen unabhängig davon.\nPer-Default sind die ersten fünf an,\nAusgestellte Challenges loggen ist aus\n(hochvolumig).
    • \n
  • Neuer Ereignistyp challenge — wird bei jedem\nREST-Aufruf der Challenge-Route gefeuert. Im Statistik-Dashboard\nerscheint die neue Kachel/Spalte „Challenges ausgestellt”\nautomatisch.
    • \n
  • Request-Body-Fingerabdruck: Optionaler neuer Schalter\nRequest-Body-Fingerabdruck speichern. Wenn aktiv, wird pro\nEvent-Log-Zeile eine JSON-Map aus Feldnamen und Wertlängen mit abgelegt\n— ohne die Werte selbst. Hilft bei der Angriffsmuster-Analyse, ohne PII\nzu speichern.
    • \n
  • IP-Anonymisierung: Optionaler neuer Schalter\nIP-Adressen anonymisieren trunkiert IPv4-Adressen auf das\nletzte Oktett und IPv6 auf die letzten 80 Bit, bevor sie in den\nEvent-Log geschrieben werden — DSGVO-konform.
    • \n
\n

0.16.0

\n
    \n
  • Bypass: Neue Backend-Sektion „Bypass” im Firewall-Tab mit drei\nEintragsarten, die jeweils Firewall, Rate-Limiter, Captcha und\nUnder-Attack-Modus gleichermaßen umgehen — die bisherige\nIP-Erlaubnisliste (jetzt global), eine User-Agent-Wildcard-Liste und\neine Cookie-Bypass-Liste im Format „name=wert”. Bypass-Treffer auf\nFormular-Ebene erscheinen im Event-Log als verified-Eintrag\nmit passendem Grund (IP-Allowlist / UA-Bypass / Cookie-Bypass).
    • \n
  • Widget: Dritter Anzeigemodus „Schwebendes Overlay” — die\nSicherheits- abfrage erscheint als kleines Pop-up über dem Submit-Button\nund löst beim Submit automatisch.
    • \n
\n

0.15.0

\n
    \n
  • Firewall/IP-Erkennung: Der weitergeleitete Header (X-Forwarded-For,\nX-Real-IP, CF-Connecting-IP, True-Client-IP) wird nur noch dann\nbeachtet, wenn die direkte Verbindung aus einem vertrauenswürdigen Hop\nkommt. Neue Sektion „Proxy & IP-Ermittlung” im Firewall-Tab mit\nTextarea für vertrauenswürdige Proxies, Toggles für Private-Netze und\nCloudflare und optionalem täglichem Cron-Refresh der CF-Ranges.\nCloudflare-Snapshot wird mitgeliefert. Die Trust-Liste lässt sich\nzusätzlich über die wp-config-Konstante\nCREATIONELL_CAPTCHA_TRUSTED_PROXIES ergänzen. Bei aktivem\nProxy-Modus ohne konfigurierte Trust-Quelle erscheint im Backend ein\nHinweis. Neuer WP-CLI-Befehl\nwp creacaptcha refresh-cloudflare-ips.
    • \n
\n

0.14.0

\n
    \n
  • Statistik: Die Statistik-Seite hat einen „↻ Aktualisieren”-Button.\nDer „Ereignisse”-Tab erfasst je Ereignis zusätzlich Plugin/Integration,\nAktion, Formular-ID, Auslöser-Grund, User-Agent, Referrer, Benutzer-ID\nund die eingereichten Verifizierungsdaten, zeigt eine erweiterte\nSpaltenauswahl und öffnet pro Zeile ein Detail-Fenster mit allen\nerfassten Feldern. Der CSV-Export enthält die neuen Felder.
    • \n
\n

0.13.0

\n
    \n
  • WP-CLI: neue Befehlsgruppe wp creacaptcha … für Status,\nDiagnose, Statistik, Einstellungen\n(lesen/setzen/exportieren/importieren/zurücksetzen), Modul-Aktivierung,\nPflege der IP- und User-Agent-Listen, Verwaltung des Event-Logs und eine\nReparatur-Routine.
    • \n
  • Backend: neue Seite CreaCaptcha → Werkzeuge zum\nExportieren und Importieren der Einstellungen, für einen vollständigen\nReset auf Werkseinstellungen sowie zum Laden der Standardwerte unter\nBeibehaltung der gepflegten Listen.
    • \n
\n

0.12.0

\n
    \n
  • Statistik: Der „Ereignisse”-Tab hat jetzt eine Filter-Leiste —\nFreitextsuche über IP-Adresse und Pfad, Filter nach Ereignistyp und ein\nVon/Bis-Datumsbereich —, blättert seitenweise durch alle aufgezeichneten\nEreignisse und bietet einen CSV-Export der jeweils gefilterten\nEreignismenge zur weiteren Analyse.
    • \n
\n

0.11.0

\n
    \n
  • Statistik: Die Statistik-Seite ist jetzt ein Dashboard mit drei Tabs\n(Übersicht, Verlauf, Ereignisse). Der „Übersicht”-Tab zeigt KPI-Kacheln\nfür den 24-Stunden-Blick und eine Vergleichstabelle über vier\nZeitfenster (24 Stunden, 7 Tage, 30 Tage, 90 Tage); ein neuer\nstündlicher Zähler liefert die Daten für das 24-Stunden-Fenster.
    • \n
\n

0.10.0

\n
    \n
  • Backend: Die Einstellungsseite ist jetzt in sechs thematische Tabs\ngegliedert (Captcha, Formulare, Firewall, Under-Attack, E-Mail-Schutz,\nAnalytics) statt einer langen Liste — übersichtlicher, mit weiterhin\neinem gemeinsamen „Änderungen speichern” für alle Tabs.
    • \n
\n

0.9.0

\n
    \n
  • E-Mail-Schutz: zusätzlicher Ganzseiten-Buffer-Modus, der das gesamte\nSeiten-HTML verarbeitet und damit auch theme-hart-kodierte\nmailto:-Links und Adressen (z. B. in Footer-Templates)\nverschleiert; der Modus ist unter „Einstellungen → CreaCaptcha →\nE-Mail-Schutz” wählbar.
    • \n
\n

0.8.0

\n
    \n
  • E-Mail-Obfuskation: mailto:-Links und\nKlartext-E-Mail-Adressen in Inhalten, Auszügen, Text-Widgets und\nKommentaren werden im Seitenquelltext verschleiert und per JavaScript\nerst im Browser wiederhergestellt; ohne JavaScript erscheint ein\nneutraler Platzhalter.
    • \n
\n

0.7.0

\n
    \n
  • Analytics & Event-Logging: datenschutzfreundliche aggregierte\nTageszähler je Ereignistyp und ein Statistik-Dashboard; optional ein\ndetaillierter Event-Log (eigene Tabelle, IP-Adressen) mit\nkonfigurierbarer Aufbewahrung.
    • \n
\n

0.6.0

\n
    \n
  • Under-Attack-Modus: ein einschaltbarer Notfall-Modus, der jeden\nanonymen Besucher per Interstitial-Proof-of-Work-Abfrage prüft, bevor er\ndie Website erreicht; ein zeitlich begrenzter, signierter Pass-Cookie\nlässt geprüfte Besucher danach frei surfen.
    • \n
\n

0.5.0

\n
    \n
  • Firewall & Rate-Limiting: IP-Blockliste/-Erlaubnisliste (inkl.\nCIDR-Bereiche), User-Agent-Blockliste und ein per-IP-Rate-Limiter mit\nwählbarem Wirkungsbereich. Beide laufen als frühe Request-Guards, mit\nProxy-Modus für die Client-IP-Ermittlung.
    • \n
\n

0.4.0

\n
    \n
  • Integrationen für Contact Form 7 und Forminator: automatischer\nProof-of-Work-Schutz für die Formulare beider Plugins, mit\n[creationell_captcha]-Platzhalter zur Positionierung und je\neinem Einstellungs-Schalter.
    • \n
\n

0.3.0

\n
    \n
  • Interceptor-Modul: generischer serverseitiger Request-Schutz für\neigene Formular-Pfade (*-Wildcards, fail-closed), Shortcode\n[creationell_captcha] und Template-Tag\ncreationell_captcha_widget() zum Einbau des Widgets in\nbeliebige Formulare.
    • \n
\n

0.2.0

\n
    \n
  • Captcha-Mechanik: Proof-of-Work-Sicherheitsabfrage (PBKDF2/SHA-256\noder Argon2id), Challenge-REST-Endpoint, gebündelte\nALTCHA-Widget-Web-Component, Replay-Schutz und Schutz der vier\nWordPress-Kernformulare.
    • \n
\n

0.1.0

\n
    \n
  • Erstes Grundgerüst: Plugin-Bootstrap, Settings-API-Seite, gebündelte\nALTCHA-Bibliothek (Composer + Strauss) und\nSelf-Hosted-GitHub-Updater.
    • \n
\n", "banners": { "low": "https://creationell-dev.github.io/creationell-captcha/assets/banner-772x250.avif", "high": "https://creationell-dev.github.io/creationell-captcha/assets/banner-1544x500.avif" }, "icons": { "default": "https://s.w.org/plugins/geopattern-icon/creationell-captcha.svg" } }