Die beste Absicherung ist eine kleine Angriffsfläche. Das SEO CMS liefert fertige HTML-Dateien aus, beim normalen Seitenaufruf läuft kein PHP. Erreichbar bleiben nur wenige Einstiege wie das Backend, das Formular für den Selbsteintrag und der Rückfall für nicht gefundene Adressen. Diese Seite behandelt Sicherheit und Härtung, die Reichweitenmessung ohne Cookies, den Selbsteintrag mit Spamschutz und lokale Schriften.
Gesperrte Pfade und Sicherheitskopfzeilen
Die .htaccess sperrt die Verzeichnisse includes/, templates/ und config/ für Aufrufe von außen. Dateien mit führendem Punkt, Dokumentation, Konfigurationsvorlagen, Protokolle und Sicherungsdateien liefert sie nicht aus, die Ordner tools/ und vorlagen/ beantwortet sie mit 404. Unter plugins/ sind nur die Backend-Seiten der Erweiterungen erreichbar, keine Klassendateien, die bei einem Direktaufruf Fehlermeldungen mit Dateipfaden zeigen könnten. Verzeichnislisten sind abgeschaltet.
Zu jeder Antwort setzt die Vorlage Sicherheitskopfzeilen: X-Content-Type-Options, X-Frame-Options, eine Referrer-Richtlinie, eine Permissions-Policy, die Kamera, Mikrofon, Standort und Zahlung abschaltet, dazu Strict-Transport-Security und eine Content Security Policy. HSTS teilt dem Browser mit, dass der Host nur noch über HTTPS aufgerufen werden soll, und künftige Versuche über HTTP werden automatisch umgestellt [1]. Die Content Security Policy erlaubt Schriften nur von der eigenen Domain. Die Begriffe erklärt das Glossar unter Content Security Policy und HSTS.
Auch kleine Angaben verraten etwas über eine Installation. Die Kopfzeile X-Powered-By, die PHP sonst mitschickt, entfernt die .htaccess. Das generator-Tag im Kopf jeder Seite nennt das System, die Versionsnummer aber nur, wenn du sie in den Einstellungen ausdrücklich einschaltest. Eine genaue Fassung zeigt einem Angreifer, welcher Stand läuft, und sie veraltet zwischen zwei Builds ohnehin. Erweiterungen wie Personen oder die zentrale Moderation sind nach der Installation ausgeschaltet.
Anmeldung und Formulare
Passwörter liegen als bcrypt-Hash in der Datenbank. Nach fünf Fehlversuchen von derselben IP-Adresse ist die Anmeldung 15 Minuten gesperrt. Jedes Formular im Backend trägt ein CSRF-Token, das an die Sitzung gebunden ist. Was ein CSRF-Angriff ist, steht im Glossar unter CSRF. Anmeldung und Formulare übergeben ihre Werte über vorbereitete Anweisungen an die Datenbank.
Zwei Entscheidungen betreffen die Konfiguration. Im Backend angelegte Mandanten und die zentralen Datenbankzugänge speichert das CMS als JSON-Datei, nie als PHP-Datei, die der Webserver beschreiben könnte. Das Diagnoseskript für das Setup-Token verrät über den hinterlegten Wert nichts, nicht einmal Länge oder Anfangszeichen. Mehr dazu unter Backend, Wartung und Diagnose.
Fragen zu deiner Website?
Ruf an, stell deine Frage in der gratis Sprechstunde oder vereinbare ein Erstgespräch.
Selbsteintrag mit Spamschutz
Verzeichnisportale können ein öffentliches Formular anbieten, über das Betriebe sich selbst eintragen. Eingesandte Einträge landen auf "wartend" und erscheinen nirgends, bis sie im Backend freigegeben sind. Vier Vorkehrungen halten Automaten draußen: ein verstecktes Feld, das nur Programme ausfüllen, ein CSRF-Token, eine Mindestzeit von 15 Sekunden zwischen Aufruf und Absenden und eine Sperre je IP-Adresse von fünf Minuten nach einer Einsendung. Ein Formular ohne Zeitstempel gilt als Hinweis auf einen Automaten.
Ein einziger Schalter steuert die Funktion: Ist er aus, entfallen Formular, Verweis, Sitemap-Eintrag und der Hinweis in der llms.txt zugleich. Wer viele Mandanten betreibt, kann die Erweiterung "Zentrale Moderation" einschalten. Sie zeigt wartende Einträge aller Mandanten auf einer Seite und kann nur ansehen, freigeben und ablehnen. Die Erweiterung Personen, mit der Menschen ihr Profil selbst pflegen, meldet Mitglieder über einen Anmeldelink per E-Mail an. Hochgeladene Bilder schreibt sie aus den Bildpunkten neu und verwirft die Originaldatei. Eingebetteter Code geht dabei ebenso verloren wie EXIF-Daten, etwa die GPS-Koordinaten eines Handyfotos. Wie das Verzeichnis selbst arbeitet, steht unter Verzeichnis, Bestenliste und Gesamtübersicht.
Reichweitenmessung mit Matomo ohne Cookies
Für die Auswertung ist eine Matomo-Einbindung vorgesehen. Adresse und Kennung der Website stehen je Mandant in den Einstellungen. Der Code ruft vor der ersten Zählung disableCookies auf. Matomo beschreibt genau diese Zeile als Weg, Cookies abzuschalten, und schreibt, dass Matomo danach über Tracking-Cookies keine personenbezogenen Daten mehr erhebt. Die Messung selbst läuft weiter [2]. Steht als Kennung 0 oder "aus", bindet das CMS gar kein Skript ein, auch keines, das ins Leere zeigt. Matomo lässt sich selbst betreiben, die Daten bleiben dann bei dir. Den Begriff erklärt das Glossar unter Matomo.
Ob du für deine Messung trotzdem eine Einwilligung brauchst, hängt an mehr als an den Cookies, etwa an weiteren Funktionen und an der Gestaltung deiner Website. Das klärst du mit deiner Datenschutzberatung. Die Einrichtung von Matomo bietet SEO NW als Leistung auf der Hauptseite an.
Schriften von der eigenen Domain
Das Paket bringt seine Schriften als WOFF2-Dateien mit, die von derselben Domain wie die Website kommen. Es gibt keine Verbindung zu einem Schriftendienst eines Drittanbieters, und die Content Security Policy würde eine solche Verbindung auch blockieren. Die Hauptschrift wird im Kopf jeder Seite vorgeladen. Welche Datei das ist, steht in einer Einstellung, damit ein Mandant mit anderer Schrift nicht die falsche lädt. Vorladen verringert die Gefahr, dass Text beim Nachladen der Schrift springt. Den Messwert dazu erklärt das Glossar unter CLS.
Weniger fremde Verbindungen heißen auch weniger Angaben in der Datenschutzerklärung. Diese bleibt trotzdem Sache des Betreibers und gehört in die Hände von jemandem, der sie rechtlich prüfen kann.
Du willst wissen, welche Kopfzeilen deine jetzige Website setzt und welche fehlen? Bring die Adresse in die gratis Sprechstunde mit, dann schauen wir gemeinsam darauf.
- Organisation Strict-Transport-Security header. MDN Web Docs. Stand laufend. abgerufen am 31.10.2026
- Organisation How do I disable cookies in Matomo tracking code?. Matomo. Stand laufend. abgerufen am 31.10.2026
Häufige Fragen
Setzt das SEO CMS Cookies für Besucher?
Für die Messung nicht: Matomo wird mit disableCookies eingebunden. Das Backend nutzt für die Anmeldung eine Sitzung, und Erweiterungen wie eingebettete Videos bringen eigene Regeln mit.
Kann ich die Messung ganz abschalten?
Ja. Steht als Matomo-Kennung 0 oder "aus", bindet das CMS kein Messskript ein.
Werden Google Fonts geladen?
Nein. Die Schriften liegen im Paket und kommen von derselben Domain wie die Website. Die Content Security Policy erlaubt Schriften nur von dort.
Wie verhindert der Selbsteintrag Spam?
Mit einem versteckten Feld, einem CSRF-Token, einer Mindestzeit von 15 Sekunden und einer Sperre je IP-Adresse. Jeder Eintrag wartet außerdem auf Freigabe im Backend.
Ersetzt das CMS eine Datenschutzerklärung?
Nein. Es reduziert Verbindungen zu Dritten, die Datenschutzerklärung bleibt Sache des Betreibers und sollte rechtlich geprüft werden.
Fragen zu deiner Website?
Ruf an, stell deine Frage in der gratis Sprechstunde oder vereinbare ein Erstgespräch.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
