Gerätesicherheit

Die Gerätesicherheit ist ein Core-Modul des Weinhold Frameworks – es ist immer geladen (lässt sich aber über eine eigene Einstellung ein-/ausschalten) und wirkt netzwerkweit auf allen Sites. Es erkennt unbekannte Geräte beim Login und verlangt eine Sicherheitsfrage, bevor der Zugang gewährt wird – eine zusätzliche Schutzschicht, die auch bei einem kompromittierten Passwort greift.

Allgemein

Wie es funktioniert

Beim Login prüft das Modul per Cookie, ob das aktuelle Gerät bereits als vertrauenswürdig hinterlegt ist. Ist das Gerät unbekannt und hat der Nutzer Sicherheitsfragen eingerichtet, wird der Login abgefangen und eine zufällig ausgewählte Frage gestellt. Erst nach korrekter Antwort wird der Nutzer eingeloggt; auf Wunsch merkt sich das Modul das Gerät danach für eine konfigurierbare Anzahl Tage.

Hat ein Nutzer noch keine Sicherheitsfragen hinterlegt, wird der Login trotzdem erlaubt – im Profil erscheint dann ein Hinweis, sie einzurichten. So wird niemand ausgesperrt, der die Funktion noch nicht konfiguriert hat.

Sicherheitsfragen (Profil)

Jeder Nutzer richtet im eigenen Profil bis zu drei Sicherheitsfragen ein (die erste ist Pflicht, sobald mindestens eine gespeichert werden soll). Zur Auswahl stehen sechs vorgeschlagene Fragen oder ein freier Text. Die Antworten werden nie im Klartext gespeichert, sondern nur als Hash – beim Bearbeiten muss deshalb jedes Feld neu ausgefüllt werden; ein leer gelassenes Antwortfeld behält die bestehende gespeicherte Antwort.

Vertrauenswürdige Geräte

Im Profil sieht jeder Nutzer eine Liste seiner vertrauenswürdigen Geräte (Browser-/Geräte-Kennung, IP, zuletzt genutzt) und kann einzelne Geräte entfernen. Der Button „Auf allen Geräten ausloggen“ beendet zusätzlich alle aktiven Sitzungen und löscht alle gespeicherten Geräte auf einen Schlag.

Admin-Einstellungen

Unter Weinhold Netzwerk → Gerätesicherheit lässt sich das Modul aktivieren/deaktivieren, die Benachrichtigungs-Mail bei neuem Gerät ein-/ausschalten und die Gültigkeitsdauer eines vertrauenswürdigen Geräts festlegen (1–3650 Tage). Da das Modul netzwerkweit wirkt, gibt es keine Einstellungen pro Site – ein Site-Admin wird beim Aufruf automatisch zum Netzwerk-Admin weitergeleitet.

Dateien

modules/device_security_core.php – einzige Datei des Moduls (Core-Modul, das _core.php-Suffix lädt es immer): Datenbank, Einstellungen, Cookie- und Token-Verwaltung, Sicherheitsfragen, Login-Hooks, Profil- und Admin-Oberfläche.

Für Entwickler

Datenbank

Spalte	Typ	Bedeutung
id	bigint,Auto-Increment	Primärschlüssel
user_id	bigint	Zugehöriger Nutzer
token_hash	varchar(64),unique	SHA-256-Hash des Geräte-Tokens
label	varchar(255)	Kurzbeschreibung, meist der User-Agent
ip	varchar(45)	IP-Adresse bei der Verifizierung
created_at	datetime	Erstellt (UTC)
last_used	datetime	Zuletzt genutzt (UTC)

Tabellenname über weinhold_device_table(), Installation via weinhold_device_maybe_install() (versioniert über die Option weinhold_device_security_db_version auf der Hauptseite).

Login-Flow (Hooks)

Hook	Priorität	Zweck
authenticate	35	weinhold_device_authenticate() – nach erfolgreicher WP-Authentifizierung: bekanntes Gerät durchlassen, unbekanntes Gerät mit vorhandenen Fragen liefert WP_Error(‚weinhold_device_challenge‘, …, $chal_token) statt des Logins
wp_login_failed	5	weinhold_device_handle_login_failed() – fängt den Error-Code weinhold_device_challenge ab und leitet zur Challenge-Seite um
wp_login	10	weinhold_device_on_login_success() – aktualisiert last_used bei bekanntem Gerät

Die Challenge selbst liegt 5 Minuten als Transient (weinhold_dev_chal_{32-Zeichen-Hex-Token}) und enthält Nutzer-ID, „Angemeldet bleiben“-Flag, Redirect-Ziel und den Index der gestellten Frage.

Wichtige Funktionen

Funktion	Beschreibung
weinhold_device_is_trusted($user_id,$raw_token):bool	Prüft ob ein Geräte-Token zu diesem Nutzer gehört
weinhold_device_save_token($user_id,$raw_token,$label,$ip)	Speichert ein neues vertrauenswürdiges Gerät
weinhold_device_revoke_token($device_id,$user_id)	Entfernt ein einzelnes Gerät
weinhold_device_revoke_all($user_id)	Entfernt alle Geräte eines Nutzers
weinhold_device_logout_everywhere($user_id)	Zerstört alle Sessions (WP_Session_Tokens) und alle Geräte-Tokens
weinhold_device_has_questions($user_id):bool	Ob der Nutzer Sicherheitsfragen eingerichtet hat
weinhold_device_verify_answer($user_id,$question_index,$raw_answer):bool	Prüft eine Antwort per hash_equals() gegen den gespeicherten SHA-256-Hash

Integrationspunkte

Filter weinhold_auth_login_override – rendert das Challenge-Formular anstelle des normalen Login-Formulars, wenn der GET-Parameter device_challenge gesetzt ist (genutzt vom user_management-Modul).

Filter weinhold_auth_profile_extra – hängt die Profil-Sektion (Sicherheitsfragen, Geräteliste) an die Profilseite an.

Filter weinhold_email_templates – registriert die zwei modul-eigenen Vorlagen device_new und device_challenge_failed beim E-Mail-Versand-Modul.

Filter weinhold_audit_modules – meldet sich beim Audit-Log mit den Aktionen device_verified, device_revoked, challenge_failed, logout_everywhere an.

Besonderheiten

Netzwerkweit statt pro Site – es gibt bewusst keine Site-Einstellungen; ein Site-Admin, der die Modulseite aufruft, wird automatisch zum Netzwerk-Admin weitergeleitet.

Sicherheitsfragen werden nur als hash(’sha256′, …) der kleingeschriebenen, getrimmten Antwort gespeichert, nie im Klartext – der Abgleich läuft über hash_equals(), um Timing-Angriffe zu vermeiden.

Kein Zwang zur Einrichtung: Ohne gespeicherte Sicherheitsfragen wird der Login trotzdem erlaubt, nur ein Hinweis-Transient (10 Minuten) sorgt für einen Einrichtungs-Hinweis im Profil.

Geräte-Cookie weinhold_device_trust_{COOKIEHASH} ist HttpOnly und SameSite=Strict, bei SSL zusätzlich Secure – auf PHP-Versionen unterhalb von 7.3 übernimmt ein Fallback mit manuell zusammengesetztem Pfad-String dieselbe SameSite-Einstellung.

Eine fehlgeschlagene Sicherheitsfrage löst eine separate Warn-Mail aus (device_challenge_failed) – anders als eine neue erfolgreiche Verifizierung, die nur informiert.

Versionshistorie

Version	Datum	Änderung
1.0.0	22.09.2026	Einführung der Versionierung.

Device Security

Device Security is a core module of the Weinhold Framework – it is always loaded (though it can be switched on/off via its own setting) and works network-wide across all sites. It detects unknown devices at login and requires a security question before granting access — an additional layer of protection that works even with a compromised password.

General

How It Works

At login, the module checks via cookie whether the current device is already marked as trusted. If the device is unknown and the user has set up security questions, the login is intercepted and a randomly chosen question is asked. Only after answering correctly is the user logged in; on request, the module then remembers the device for a configurable number of days.

If a user hasn’t set up any security questions yet, login is still allowed — a hint to set them up then appears on the profile page. This way nobody gets locked out just because they haven’t configured the feature yet.

Security Questions (Profile)

Every user sets up up to three security questions in their own profile (the first is required as soon as at least one should be saved). Six suggested questions are offered, or free text. Answers are never stored in plain text, only as a hash — editing therefore requires filling in every field again; leaving an answer field empty keeps the existing stored answer.

Trusted Devices

On their profile, every user sees a list of their trusted devices (browser/device label, IP, last used) and can remove individual devices. The „Log out everywhere“ button additionally ends all active sessions and clears all stored devices in one go.

Admin Settings

Under Weinhold Network → Device Security, the module can be enabled/disabled, the new-device notification email toggled, and the trusted-device validity period set (1–3650 days). Since the module works network-wide, there are no per-site settings — a site admin who opens the page is automatically redirected to the network admin.

Files

modules/device_security_core.php – the module’s only file (core module, the _core.php suffix always loads it): database, settings, cookie and token management, security questions, login hooks, profile and admin UI.

For Developers

Database

Column	Type	Meaning
id	bigint,auto-increment	Primary key
user_id	bigint	The associated user
token_hash	varchar(64),unique	SHA-256 hash of the device token
label	varchar(255)	Short description, usually the user agent
ip	varchar(45)	IP address at verification time
created_at	datetime	Created (UTC)
last_used	datetime	Last used (UTC)

Table name via weinhold_device_table(), installed via weinhold_device_maybe_install() (versioned through the weinhold_device_security_db_version option on the main site).

Login Flow (Hooks)

Hook	Priority	Purpose
authenticate	35	weinhold_device_authenticate() – after successful WP authentication: lets known devices through, an unknown device with existing questions returns WP_Error(‚weinhold_device_challenge‘, …, $chal_token) instead of the login
wp_login_failed	5	weinhold_device_handle_login_failed() – catches the weinhold_device_challenge error code and redirects to the challenge page
wp_login	10	weinhold_device_on_login_success() – updates last_used for a known device

The challenge itself lives for 5 minutes as a transient (weinhold_dev_chal_{32-char hex token}) and holds the user ID, the „remember me“ flag, the redirect target and the index of the question asked.

Key Functions

Function	Description
weinhold_device_is_trusted($user_id,$raw_token):bool	Checks whether a device token belongs to this user
weinhold_device_save_token($user_id,$raw_token,$label,$ip)	Stores a new trusted device
weinhold_device_revoke_token($device_id,$user_id)	Removes a single device
weinhold_device_revoke_all($user_id)	Removes all devices of a user
weinhold_device_logout_everywhere($user_id)	Destroys all sessions (WP_Session_Tokens) and all device tokens
weinhold_device_has_questions($user_id):bool	Whether the user has set up security questions
weinhold_device_verify_answer($user_id,$question_index,$raw_answer):bool	Checks an answer via hash_equals() against the stored SHA-256 hash

Integration Points

Filter weinhold_auth_login_override – renders the challenge form instead of the normal login form when the device_challenge GET parameter is set (used by the user_management module).

Filter weinhold_auth_profile_extra – appends the profile section (security questions, device list) to the profile page.

Filter weinhold_email_templates – registers the module’s two own templates, device_new and device_challenge_failed, with the Email Delivery module.

Filter weinhold_audit_modules – registers with the Audit Log, reporting the actions device_verified, device_revoked, challenge_failed, logout_everywhere.

Special Cases

Network-wide instead of per site — there are deliberately no site-level settings; a site admin who opens the module page is automatically redirected to the network admin.

Security question answers are only ever stored as hash(’sha256′, …) of the lowercased, trimmed answer, never in plain text — comparison uses hash_equals() to avoid timing attacks.

No requirement to set them up: without saved security questions, login is still allowed, only a hint transient (10 minutes) triggers a setup reminder on the profile page.

The device cookie weinhold_device_trust_{COOKIEHASH} is HttpOnly and SameSite=Strict, plus Secure over SSL — on PHP versions below 7.3 a fallback with a manually assembled path string applies the same SameSite setting.

A failed security question triggers a separate warning email (device_challenge_failed) — unlike a new successful verification, which only informs.

Version History

Version	Date	Change
1.0.0	22.09.2026	Introduction of versioning.

geraetesicherheit