Datenverarbeitung und externe Verbindungen

FG Static Export verarbeitet hauptsächlich Website-Dateien, WordPress-Konfiguration und technische Deployment-Daten. Zusätzlich enthält der eingebettete FG Core einen standardmäßig aktivierten technischen Installationsstatus-Bericht.

Diese Seite beschreibt das nachweisbare technische Verhalten und enthält keine rechtliche Bewertung.

Inhalte der exportierten Website

FG Static Export rendert veröffentlichte WordPress-Seiten und kopiert den ermittelten Upload-Root. Enthalten die veröffentlichten Seiten oder Dateien personenbezogene oder sonstige nicht für die statische Veröffentlichung bestimmte Informationen, werden diese durch den Export nicht automatisch erkannt oder entfernt.

Gespeicherte Exportdaten

FG Static Export speichert unter anderem folgende WordPress-Optionen:

interne Basis-URL
Ziel-URL
Export-Verzeichnis
ausgeschlossene Post Types
ZIP-, .htaccess- und Löschoption
Zusammenfassung und Log des letzten Exports
Deployment-Einstellungen
Zusammenfassung und Log des letzten Deployments

Die konkreten Optionsnamen stehen unter Entwicklerschnittstellen.

Deployment-Zugangsdaten

Wenn Passwörter über das WordPress-Backend eingegeben werden, werden sie im Array fg_static_export_deployment_settings gespeichert. Die Deployment-Klasse verschlüsselt diese Werte vor update_option() nicht selbst.

Zur Laufzeit können Passwörter über Konstanten in wp-config.php überschrieben werden. Das verhindert jedoch nicht automatisch, dass ein früher über das Backend gespeicherter Wert weiterhin in der Datenbank vorhanden ist.

HTTP-Requests beim Export

Für jede exportierte URL sendet FG Static Export einen HTTP-GET-Request an die konfigurierte interne Basis-URL.

Diese Requests dienen dem Rendering der WordPress-Seiten. Der aktuelle Code deaktiviert dabei sslverify.

Die Ziel-URL wird zum Umschreiben von URLs verwendet und nicht automatisch als Rendering-Ziel angefragt.

Dateiübertragungen beim Deployment

Bei einem aktiv gestarteten Deployment werden die Dateien des Export-Verzeichnisses an den konfigurierten Zielserver übertragen.

Abhängig von der Methode geschieht dies über:

Rsync über SSH
SFTP
FTP oder FTPS

Welche Dateien übertragen werden, entspricht dem Inhalt des lokalen Export-Verzeichnisses.

WordPress-Upload-Verzeichnis

FG Static Export kopiert den ermittelten Upload-Root rekursiv in den Export. Dabei findet keine Filterung nach personenbezogenen oder öffentlichen Inhalten statt.

Wenn sich im Upload-Verzeichnis nicht öffentliche Dateien befinden, sollte vor dem Export geprüft werden, ob diese Dateien auf den statischen Zielserver gelangen dürfen.

FG-Core-Statusbericht

Der eingebettete FG Core 1.1.3 aktiviert standardmäßig einen täglichen Statusbericht. Der Report wird per wp_remote_post() an folgenden Standard-Endpunkt gesendet:

https://lizenz.funckgroup-server.com/wp-json/fg-lizenz/v1/status

Der Payload enthält nach aktuellem Code unter anderem:

zufällig erzeugte Installations-ID
Domain, site_url() und home_url()
WordPress-Umgebungstyp
Multisite-, Netzwerk- und Blog-ID
WordPress-Version, Locale und Zeitzone
PHP-Version
aktive FG-Core-Version und Provider
erkannte FUNCKGROUP-Plugins mit Name, Version, Plugin-Datei, Aktivstatus und eingebetteter Core-Version
Zeitpunkt des Reports

Der Code enthält keine Beiträge, Benutzerkonten, Formularinhalte oder Deployment-Passwörter im standardmäßig erzeugten Status-Payload.

FG Core speichert für diesen Mechanismus außerdem eine Installations-ID, ein Installationstoken, die zugehörige Home-URL sowie Statusinformationen zum letzten Versand bzw. Fehler.

Statusbericht deaktivieren

Der Statusbericht kann über eine Konstante deaktiviert werden:

define('FG_CORE_STATUS_REPORTING', false);

Alternativ existiert der Filter:

add_filter('fg_core_status_reporting_enabled', '__return_false');

FG Static Export selbst stellt dafür keine separate Einstellung in seiner Admin-Oberfläche bereit.

IP-Adressen

Der analysierte PHP-Code liest, speichert oder übermittelt keine IP-Adresse als eigenes Datenfeld. Bei ausgehenden HTTP- oder Deployment-Verbindungen ist die jeweilige Netzwerk-Gegenstelle technisch in der Lage, die Verbindungs-IP zu sehen; FG Static Export fügt sie jedoch nicht als eigenen Payload-Wert hinzu.

Logging

Export- und Deployment-Logs werden als WordPress-Optionen gespeichert. Sie enthalten technische Angaben wie Zeitpunkte, Dateipfade, Ziel-URLs, Remote-Host, Remote-Benutzer, Remote-Pfad, Statusmeldungen und bei Rsync Ausgaben des ausgeführten Kommandos. Zusätzlich schreibt der Code bestimmte Warnungen und Rendering-Fehler über error_log() in das PHP-/Server-Log.

Administration und Schutzmechanismen

Die Plugin-Oberfläche wird über FG Core mit der Capability manage_options registriert. Export-, Deployment- und Speichervorgänge aus der Admin-Oberfläche verwenden WordPress-Nonces. Ausgaben der Admin-Ansicht werden überwiegend über WordPress-Escaping-Funktionen ausgegeben. Für zusätzliche Exportdateien existieren eigene Pfad- und Dateitypprüfungen.

Cookies und Browser-Speicher

Im analysierten Plugin-Code werden keine Cookies gesetzt und weder localStorage noch sessionStorage verwendet.

Das kleine Inline-JavaScript der Exportseite dient ausschließlich einer Bestätigungsabfrage vor dem Leeren des Export-Verzeichnisses.

REST und AJAX

FG Static Export registriert keine eigenen REST-Endpunkte und keine WordPress-AJAX-Endpunkte.