Fliegerlogin Premium

Wer seinen Verein mit Vereinsflieger.de verwaltet, hat die Mitglieder dort bereits vollständig erfasst. Sie zusätzlich auf der Vereinswebseite zu führen, heisst: zwei Passwörter, zwei Listen und bei jedem Eintritt und Austritt zwei Stellen, an die man denken muss.

Fliegerlogin macht aus beidem eines. Wer sich auf der WordPress-Seite anmeldet, gibt seine Vereinsflieger-Zugangsdaten ein; geprüft werden sie bei Vereinsflieger, und das WordPress-Konto entsteht beim ersten Mal von selbst. Die Zweifaktor-Anmeldung von Vereinsflieger funktioniert dabei weiter — das Einmalpasswort wird auf der gewohnten WordPress-Anmeldemaske abgefragt.

Warum es eine kostenpflichtige Fassung gibt

Die kostenlose Fassung auf wordpress.org enthält die vollständige Anmeldung und eine Sperre je Adresse: Wer fünfmal danebentippt, ist eine Viertelstunde draussen. Das deckt den Alltag ab, und die meisten Vereine sehen nie mehr.

Es deckt nicht den Angriff ab, der sich über hunderte Adressen verteilt und bei dem keine einzelne je die Schwelle erreicht. Solche Versuche verbrauchen das tägliche Anfragekontingent, das der Verein bei Vereinsflieger hat — und ist es aufgebraucht, kommt auch kein Mitglied mehr durch.

Was Premium hinzufügt

Eine Notbremse für das Kontingent. Steigt der Verkehr insgesamt oder ist das Tageskontingent erschöpft, hält Fliegerlogin alle Vereinsflieger-Anfragen an, statt sie ins Leere laufen zu lassen. Eine Übersichtsseite zeigt für jede Massnahme, ob sie greift, was sie zählt und was zuletzt geschehen ist.

Massnahmen, die eine Anfrage gar nicht erst kosten. Ein Anmeldeversuch über XML-RPC, ein offensichtlich erfundener Benutzername, ein Versuch, den ein Prüfbild bereits abgewiesen hat — in allen drei Fällen ist von vornherein klar, dass Vereinsflieger nichts dazu sagen wird. Cloudflare Turnstile wird ohne Einrichtung erkannt, jedes andere Prüfbild-Plugin über den Fehlercode, den es setzt.

Eine Ländersperre, wenn die Anmeldungen aus Gegenden kommen, aus denen kein Mitglied fliegt. Erkannt wird über Cloudflare, über Servervariablen, über die PHP-Erweiterung geoip oder über eine MaxMind-Datenbank, die sich selbst aktualisiert.

Ein kurzes Gedächtnis für falsche Zugangsdaten, damit dieselbe falsche Kombination nicht zehnmal hintereinander eine Anfrage kostet.

Schutz vor dem Ausspähen von Benutzernamen über ?author=N, die Autorenarchive, die REST-Schnittstelle und die Autoren-Sitemap — dazu einheitliche Fehlermeldungen bei der Anmeldung, damit sie nicht verraten, welcher Name existiert.

Ein Protokoll des ganzen Anmeldevorgangs, mit Betrachter und Filtern. Passwörter und Wertmarken werden dabei automatisch geschwärzt. Wenn ein Mitglied sagt «bei mir geht es nicht», steht dort, woran es lag.

Was zur Einrichtung nötig ist

Ein AppKey vom Vereinsflieger-Support und die CID des Vereins, die im Verwaltungsbereich des Vereinsflieger-Kontos steht. Ohne beides läuft weder die kostenlose noch diese Fassung.

Lizenz und Aktualisierung

Der Schlüssel gilt für eine Webseite und zwölf Monate. Er wird im WordPress-Backend unter Fliegerlogin → Lizenz eingetragen; danach meldet sich das Plugin einmal täglich bei vereo, und Aktualisierungen erscheinen wie bei jedem anderen Plugin in der Übersicht.

Läuft die Lizenz aus, schalten sich die Schutzmassnahmen ab. Sie sind eine laufende Leistung und keine einmalige Ware: Was einen verteilten Angriff heute abwehrt, tut es in zwei Jahren nur, wenn es in der Zwischenzeit gepflegt wurde. Die Anmeldung selbst bleibt bestehen — sie gehört zur kostenlosen Fassung, und niemand fällt aus seiner Vereinswebseite, weil eine Rechnung offen ist.

Ist vereo einmal nicht erreichbar, arbeitet das Plugin vierzehn Tage ohne Rückfrage weiter. Eine Vereinswebseite darf nicht davon abhängen, dass ein fremder Server antwortet.

Fliegerlogin steht unter der GPLv3, auch diese Fassung. Der Quelltext liegt vollständig bei.

Was es nicht ist

Vereinsflieger.de war an der Entwicklung nicht beteiligt und hat sie nicht in Auftrag gegeben. Dieses Plugin benutzt die öffentliche Schnittstelle, mehr nicht.