Security Manager

Der Security Manager ist ein Core-Modul des Weinhold Frameworks und schützt alle Sites im Netzwerk vor Brute-Force-Angriffen und unerwünschten IPs. Er arbeitet still im Hintergrund und greift so früh wie möglich ein, teils schon bevor WordPress selbst reagiert.

Allgemein

IP-Blacklist

Bestimmte IP-Adressen können dauerhaft auf eine Sperrliste gesetzt werden. Anfragen von diesen IPs werden sofort mit 403 blockiert – noch bevor der WordPress-Login-Prozess startet.

Login-Lockout

Nach einer konfigurierbaren Anzahl fehlgeschlagener Login-Versuche wird die betreffende IP automatisch für einen festgelegten Zeitraum gesperrt (429, Wartezeit in der Fehlermeldung genannt). Besonders geschützte Benutzerkonten (z. B. Administratoren) bekommen zusätzlich eine eigene, strengere Sperre nach Benutzername statt nach IP.

Vertrauenswürdige IPs & Notfall-Zugang

Fest hinterlegte vertrauenswürdige IPs umgehen alle Sperren komplett. Zusätzlich gibt es einen Notfall-Token: ein per URL-Parameter übergebenes Geheimnis, das bei Übereinstimmung sämtliche Sperren für die aktuelle IP sowie alle geschützten Konten aufhebt und eine zehnminütige Vertrauens-Session setzt – gedacht für den Fall, dass man sich selbst ausgesperrt hat.

Administration & Protokollierung

Im Dashboard unter Weinhold → Security Manager können gesperrte IPs eingesehen, entsperrt oder dauerhaft blockiert werden. Alle Lockout-Ereignisse werden automatisch im Audit-Log protokolliert, sodass verdächtige Aktivitäten nachvollziehbar bleiben.

Dateien

modules/security_manager_core.php – einzige Datei des Moduls (Core-Modul, das _core.php-Suffix lädt es immer): Einstellungen, IP-Sperren, Lockout-Logik, Login-Hooks, Admin-Oberfläche.

Für Entwickler

Einstellungen (Option weinhold_security_settings)

Schlüssel	Bedeutung
lockout_threshold	Fehlversuche bis zur IP-Sperre (Standard 5)
lockout_duration	Sperrdauer in Minuten (Standard 15)
blacklist	Dauerhaft gesperrte IP-Adressen
trusted_ips	IPs, die alle Sperren umgehen
emergency_token	Geheimnis für den Notfall-Zugang per URL-Parameter
protected_users	Zusätzlich geschützte Benutzernamen (Super-Admins sind bei Multisite automatisch geschützt)
protected_threshold,protected_lockout_duration	Strengere Schwelle/Dauer speziell für geschützte Konten
lockout_ip_on_protected_fail	Ob ein Fehlversuch bei einem geschützten Konto zusätzlich die IP sperrt
disable_xmlrpc	XML-RPC komplett deaktivieren (Standard an)

Login-Flow (Hooks)

Hook	Priorität	Zweck
init	0	weinhold_security_handle_emergency_token() – prüft den URL-Parameter wf_emergency und hebt bei Treffer alle Sperren auf
init	1	weinhold_security_check_ip() – blockiert blacklistete/gesperrte IPs auf JEDEM Request, nicht nur beim Login
login_init	1	weinhold_security_block_native_auth() – leitet wp-login.php-Aufrufe auf die eigenen Auth-Seiten des user_management-Moduls um
login_init	2	weinhold_security_block_locked_login() – blockiert Login-POSTs gesperrter IPs, bevor WordPress die Zugangsdaten prüft
login_init	3	weinhold_security_block_gateless_post() – blockiert Login-POSTs ohne gültiges Login-Gate-Cookie, falls das login_gate-Modul aktiv ist
authenticate	30	weinhold_security_authenticate() – liefert WP_Error bei gesperrter IP oder gesperrtem geschütztem Konto
wp_login_failed	10	weinhold_security_login_failed() – zählt Fehlversuche hoch, versendet Benachrichtigungs-Mails

IP-Ermittlung

weinhold_security_get_client_ip() prüft der Reihe nach CF-Connecting-IP, X-Real-IP, X-Forwarded-For und REMOTE_ADDR und nimmt die erste gültige IP-Adresse – wichtig hinter Reverse-Proxy/CDN, damit nicht die Proxy-IP statt der echten Besucher-IP gesperrt wird.

Besonderheiten

Läuft parallel zum user_management-Modul: Beide Module leiten wp-login.php-Aufrufe auf die eigenen Auth-Seiten um (security_manager auf login_init, user_management ebenfalls) – bewusst redundant abgesichert, nicht als Bug zu verstehen.

Blacklist- und Lockout-Prüfung laufen bereits auf init mit Priorität 1, also auf JEDEM Seitenaufruf der ganzen Website, nicht nur beim Login – eine geblacklistete IP kommt gar nicht erst auf normale Seiten.

Der Notfall-Token gibt nie einen Hinweis, ob er falsch war (stiller Fehlschlag) – verhindert, dass jemand per Trial-and-Error herausfindet, ob überhaupt ein Token konfiguriert ist.

E-Mail-Adressen im Login-Feld werden vor der Sperrprüfung auf den echten Benutzernamen aufgelöst, damit Lockout-Zähler für „admin“ und „admin@example.com“ nicht getrennt gezählt werden.

XML-RPC wird standardmäßig komplett deaktiviert (xmlrpc_enabled-Filter auf false) – ein häufiges Ziel für Brute-Force-Bots, das WordPress sonst parallel zum normalen Login offen lässt.

Versionshistorie

Version	Datum	Änderung
1.0.0	22.09.2026	Einführung der Versionierung.

Security Manager

Security Manager is a core module of the Weinhold Framework and protects all sites in the network from brute-force attacks and unwanted IPs. It works silently in the background and intervenes as early as possible, in some cases before WordPress itself even responds.

General

IP Blacklist

Specific IP addresses can be permanently added to a blocklist. Requests from these IPs are blocked immediately with a 403 — before the WordPress login process even starts.

Login Lockout

After a configurable number of failed login attempts, the IP in question is automatically blocked for a set period (429, wait time stated in the error message). Specially protected user accounts (e.g. administrators) additionally get their own, stricter lockout by username instead of by IP.

Trusted IPs & Emergency Access

Permanently configured trusted IPs bypass all locks entirely. There’s also an emergency token: a secret passed via a URL parameter that, when it matches, clears all locks for the current IP and all protected accounts and sets a ten-minute trust session — meant for the case where you’ve locked yourself out.

Administration & Logging

In the dashboard under Weinhold → Security Manager, blocked IPs can be viewed, unblocked, or permanently banned. All lockout events are automatically logged in the Audit Log, keeping suspicious activity traceable.

Files

modules/security_manager_core.php – the module’s only file (core module, the _core.php suffix always loads it): settings, IP blocking, lockout logic, login hooks, admin UI.

For Developers

Settings (Option weinhold_security_settings)

Key	Meaning
lockout_threshold	Failed attempts before an IP lock (default 5)
lockout_duration	Lock duration in minutes (default 15)
blacklist	Permanently blocked IP addresses
trusted_ips	IPs that bypass all locks
emergency_token	Secret for emergency access via URL parameter
protected_users	Additionally protected usernames (super admins are automatically protected on Multisite)
protected_threshold,protected_lockout_duration	Stricter threshold/duration specifically for protected accounts
lockout_ip_on_protected_fail	Whether a failed attempt on a protected account also locks the IP
disable_xmlrpc	Disable XML-RPC entirely (default on)

Login Flow (Hooks)

Hook	Priority	Purpose
init	0	weinhold_security_handle_emergency_token() – checks the wf_emergency URL parameter and clears all locks on a match
init	1	weinhold_security_check_ip() – blocks blacklisted/locked IPs on EVERY request, not just login
login_init	1	weinhold_security_block_native_auth() – redirects wp-login.php calls to the user_management module’s own auth pages
login_init	2	weinhold_security_block_locked_login() – blocks login POSTs from locked IPs before WordPress checks the credentials
login_init	3	weinhold_security_block_gateless_post() – blocks login POSTs without a valid login-gate cookie if the login_gate module is active
authenticate	30	weinhold_security_authenticate() – returns a WP_Error for a locked IP or a locked protected account
wp_login_failed	10	weinhold_security_login_failed() – increments failure counters, sends notification emails

IP Detection

weinhold_security_get_client_ip() checks, in order, CF-Connecting-IP, X-Real-IP, X-Forwarded-For and REMOTE_ADDR and takes the first valid IP address — important behind a reverse proxy/CDN, so the proxy’s IP doesn’t get locked instead of the real visitor’s IP.

Special Cases

Runs in parallel with the user_management module: both modules redirect wp-login.php calls to the custom auth pages (security_manager on login_init, user_management as well) — deliberately redundant, not a bug.

Blacklist and lockout checks already run on init at priority 1, i.e. on EVERY page load of the whole site, not just at login — a blacklisted IP never even reaches normal pages.

The emergency token never reveals whether it was wrong (a silent failure) — prevents someone from figuring out by trial and error whether a token is even configured.

Email addresses entered in the login field are resolved to the real username before the lock check, so lockout counters for „admin“ and „admin@example.com“ aren’t counted separately.

XML-RPC is disabled entirely by default (xmlrpc_enabled filter returns false) — a common target for brute-force bots that WordPress otherwise leaves open alongside the normal login.

Version History

Version	Date	Change
1.0.0	22.09.2026	Introduction of versioning.

security-manager

Security Manager

IP-Blacklist

Login-Lockout

Vertrauenswürdige IPs & Notfall-Zugang

Administration & Protokollierung

Einstellungen (Option weinhold_security_settings)

Login-Flow (Hooks)

IP-Ermittlung

Security Manager

IP Blacklist

Login Lockout

Trusted IPs & Emergency Access

Administration & Logging

Settings (Option weinhold_security_settings)

Login Flow (Hooks)

IP Detection

Weitere Beiträge

jeopardy-auth

ppnp-game-auth

mcp-server-manager

rudelroots