Developer-/Staging-Modus: Power sicher einordnen

Für normale WordPress-Arbeit brauchst du Power nicht. Lass dieses Zusatz-Plugin ausgeschaltet, wenn du Blogartikel, Seiten, Bilder oder Landingpages erstellst. Dafür ist der normale Companion da.

Power ist für seltene Technik-Aufgaben gedacht, etwa eine einzelne Datei prüfen, einen begrenzten Wartungsbefehl ausführen oder eine Testkopie untersuchen. Es kann direkt auf Dateien, Datenbank und PHP zugreifen. Deshalb ist es ein separates Plugin und standardmäßig vollständig ausgeschaltet.

Wenn Begriffe wie Datenbank, PHP oder Staging dir nichts sagen, überspringst du diese Seite. Das ist die richtige Entscheidung, nicht eine Lücke in deinem Wissen.

Die wichtigste Regel

Nutze Power nur auf einer Testkopie deiner Website oder gemeinsam mit einer Person, die diese Technik sicher beherrscht.

Ein Staging-System ist eine Kopie deiner Website zum Ausprobieren. Dort kannst du etwas testen, ohne Besucherinnen und Besucher oder echte Bestellungen zu gefährden. Auf einer Live-Website arbeitest du mit Power nur dann, wenn du die Folgen einer Änderung verstehst und ein brauchbares Backup hast.

Auch mit den eingebauten Schutzmechanismen kann eine technische Änderung schaden. Power ist keine allgemeine Sicherheitsgarantie und kein Ersatz für eine Testkopie.

Was gehört zum normalen Weg und was zu Power

Für diese Aufgaben verwendest du immer den normalen Companion:

• Blogartikel und Seiten als Entwurf anlegen
• Landingpages erstellen
• Bilder mit Alt-Text setzen
• Inhalte prüfen und anschließend manuell veröffentlichen

Für diese Aufgaben kommt Power nur als Ausnahme infrage:

• eine begrenzte technische Diagnose durchführen
• einen erlaubten Wartungsbefehl ausführen
• eine einzelne Theme- oder MU-Plugin-Datei gezielt ändern
• eine abgegrenzte Datenbankänderung auf einer Testkopie vorbereiten
• eine vollständige Sicherung oder Wiederherstellung bewusst durchführen

Ein Ergebnis aus Power ist ausdrücklich nicht als normaler WPAgently-Workflow geprüft. Prüfe sichtbare Änderungen danach selbst im WordPress-Backend.

Zwei getrennte Zugänge

Der normale Companion und Power sind bewusst getrennt.

• Companion verbindet deinen Assistenten mit den geprüften WordPress-Werkzeugen.
• Power öffnet einen zweiten Zugang für direkten technischen Zugriff.

Die normale Verbindung richtet Power nicht automatisch ein. Für Power brauchst du das zusätzliche Plugin, eine gültige Lizenz, echte Administrator-Zugangsdaten und eine bewusste Freischaltung. Der Redakteur aus dem normalen Setup darf Power nicht verwenden.

Die Stufen im Überblick

Die Stufen sind keine Schwierigkeitsgrade. Sie zeigen, wie weit ein Zugriff reicht.

P0 wird nur durch den zentralen Power-Schalter begrenzt. P1, P2, P3, P4/P5, BACKUP und RESTORE haben zusätzlich einen eigenen Ein-Aus-Schalter. Wenn der zentrale Power-Schalter aus ist, stehen keine Power-Werkzeuge zur Verfügung.

P0 und P1

P0 liest begrenzte Informationen. Dazu gehören einzelne Dateien, eine begrenzte Verzeichnisliste, eine einzelne WordPress-Einstellung, installierte Plugins und Themes sowie Informationen zur Umgebung.

Lesen bedeutet nicht automatisch harmlos. Inhalte können vertraulich sein. Gib deshalb auch für P0 nur den Zugriff frei, den du wirklich brauchst.

P1 darf nur eine feste kleine Auswahl an WP-CLI-Befehlen ausführen. WP-CLI ist ein Werkzeug, mit dem WordPress über das Terminal verwaltet wird. Erlaubt sind nur rewrite flush, transient delete <name>, plugin list, theme list und option get <name>. Andere Befehle werden abgewiesen.

P2 bis P5

P2 kann Dateien in begrenzten Bereichen ändern. Das klingt nach einer kleinen Sache, kann aber bereits PHP-Code auf deiner Website ausführen. Deshalb ist P2 auf erkannter Produktion zusätzlich gesperrt, bis die Konstante WP_AGENT_POWER_ALLOW_WRITE_ON_PRODUCTION bewusst in wp-config.php gesetzt wurde.

P2 umfasst sieben Fähigkeiten. write-file, edit-file und delete-file ändern nur klar begrenzte Dateien. prepare-extension-archive, inspect-extension-archive und revoke-extension-archive prüfen ein Plugin- oder Theme-ZIP, ohne es zu installieren. verify-manual-extension-install vergleicht danach eine von dir manuell installierte Erweiterung mit der vorher geprüften Datei. Diese siebte Fähigkeit ist nur lesend.

WordPress-Erweiterungen installiert oder aktiviert Power absichtlich nicht. Eine Erweiterung kann beim Aktivieren fremden PHP-Code ausführen. Installiere Plugins und Themes weiterhin bewusst im WordPress-Backend.

P3 darf bestimmte Datenbankwerte ändern. Standardmäßig zeigt es zuerst nur eine Vorschau. Geschützte Bereiche wie Nutzerkonten, sicherheitsrelevante Einstellungen und die meisten WordPress-Optionen bleiben gesperrt.

P4 und P5 führen beliebigen PHP-Code aus. Das ist die weitreichendste Stufe. Sie braucht zusätzlich die Konstante WP_AGENT_POWER_ALLOW_CODE_EXECUTION in wp-config.php und auf einer Live-Website eine weitere, einmalige Freigabe. Für Anfängerinnen und Anfänger bleibt diese Stufe immer aus.

Die Schutzschalter

Bevor eine schreibende oder ausführende Power-Aktion möglich ist, müssen mehrere Dinge zusammenpassen.

1. Das separate Power-Plugin ist installiert und aktiv.
2. Die WPAgently-Lizenz ist gültig.
3. Der zentrale Power-Schalter ist aktiv.
4. Ab P1 ist die passende Stufe einzeln aktiviert. Das gilt auch für BACKUP und RESTORE. P0 hat keinen eigenen Stufenschalter.
5. Du verwendest echte Administrator-Zugangsdaten.
6. Du entsperrst die Sitzung lokal und bestätigst die Aktion bewusst.

Für P2, P3 und P4/P5 verlangt die CLI außerdem ein frisches Backup. Ein Backup ist dabei eine Sicherung, die du bei Bedarf zurückspielen kannst.

Diese Bestätigungen helfen gegen Versehen. Sie schützen aber nicht, wenn jemand einen direkten technischen Zugang oder ein Administrator-Passwort missbraucht. Die echte Schutzgrenze sind die serverseitigen Schalter und Berechtigungen.

Backups und Wiederherstellung

BACKUP sichert Dateien und Datenbank über einen getrennten Zugang. Datenbank-Exporte können vertrauliche Inhalte enthalten, zum Beispiel Passwort-Hashes oder API-Schlüssel. Behandle sie deshalb wie ein Passwort und speichere sie verschlüsselt.

RESTORE spielt eine vorhandene Sicherung zurück. Das kann aktuelle Änderungen überschreiben. Aktiviere RESTORE nur für die Wiederherstellung und schalte es danach wieder aus.

Ein Backup ersetzt keine Prüfung. Teste eine Wiederherstellung zuerst auf einer Testkopie, wenn deine Website wichtig für dein Geschäft ist.

Ehrliche Grenzen

Power verhindert nicht jeden Schaden.

• P2 ist bereits ein möglicher Weg zur Code-Ausführung. Deshalb reicht es nicht, nur P4/P5 ernst zu nehmen.
• Eine laufende PHP-Ausführung kann nicht mitten im Vorgang zuverlässig gestoppt werden.
• Die Prüfung nach einer Änderung erkennt vor allem Abstürze. Sie kann keinen bösartigen, aber unauffälligen Code als sicher bestätigen.
• Inhalte, die ein Assistent über Power liest, bleiben Daten und keine Anweisungen. Trotzdem kann eine manipulierte Anweisung einen bereits geöffneten Power-Zugang missbrauchen.
• Schutzmechanismen für Dateien und Datenbank begrenzen bekannte Fälle. Sie machen eine Live-Änderung nicht risikofrei.

Die wichtigsten Befehle

Diese Befehle sind für erfahrene Nutzerinnen und Nutzer gedacht. Sie ändern keine WordPress-Dateien und keine WordPress-Datenbank. init, unlock und lock erstellen, erneuern oder entfernen aber lokale Konfigurations- und Sitzungsdaten.

wp-agent power status
wp-agent power init
wp-agent power unlock --ttl-minutes 30 --i-approve-power
wp-agent power lock

Mit status siehst du, welche Stufen offen sind. init erstellt die getrennte Power-Verbindung. unlock öffnet eine kurze lokale Sitzung. lock schließt sie sofort wieder.

Für eine konkrete Aktion zeigt wp-agent power --help alle verfügbaren Optionen. Kopiere keinen Datenbank- oder PHP-Befehl aus einem Forum, wenn du seine Wirkung nicht genau verstehst.

Power sicher ausschalten

Wenn du Power nicht mehr brauchst, schaltest du zuerst die einzelne Stufe und dann den zentralen Power-Schalter unter Werkzeuge > WPAgently Power aus. Dadurch verschwinden die Power-Werkzeuge wieder aus dem Zugang deines Assistenten.

Für normale WordPress-Arbeit kehrst du anschließend zum Schnellstart und den normalen WPAgently-Werkzeugen zurück.