09.10.2026 24 Änderungen

Sicherheitsprüfung des gesamten Systems: Wir haben Dienst, Widget und alle Integrationen umfassend auf Angriffsszenarien geprüft und die Funde behoben. Bitte aktualisieren Sie Ihre Plugins: WordPress 2.6.5, Laravel-Paket 2.2.6, Symfony-Bundle 1.1.6.
Verifikation robuster: Manipulierte oder ungewöhnlich große Werte im Token führen nicht mehr zu einem Serverfehler, sondern zu einer regulären Ablehnung — Ihre Integration fällt dadurch nicht mehr in den Fail-Open-Modus. Viele Absendungen aus einem Netz verlangen jetzt immer die Klick-Prüfung; ungültige Anfragen hinter einer geteilten IP (Firmennetz, Mobilfunk) sperren keine echten Besucher mehr aus.
Besucher-IP mitsenden: Schickt Ihre Integration keine Besucher-IP (client_ip), werden IP-, Länder- und ASN-Regeln nicht mehr auf die IP Ihres Servers angewendet (Grund client_ip_missing). Die offiziellen Integrationen senden sie mit.
Anmeldung und Konto: - Neue Passkeys und die Einrichtung der Authenticator-App bestätigen Sie mit Ihrem Passwort; über jede solche Änderung informieren wir Sie per E-Mail. - Die Zwei-Faktor-Anmeldung wird auch abgefragt, solange eine neue E-Mail-Adresse noch nicht bestätigt ist. - Nach Passwortänderung, Passwort-Reset oder „Andere Geräte abmelden“ enden alle übrigen Sitzungen im gesamten Kundenbereich. - Fehlversuche Dritter sperren Ihr Konto nicht mehr für Sie selbst. - Abmelden erfolgt über eine Schaltfläche.
Neue E-Mail-Adresse wird erst wirksam, wenn Sie den Link an die neue Adresse bestätigen; bis dahin gilt die bisherige, und Sie können die Änderung im Profil verwerfen.
Rollen: Bestellungen geben nur noch Administratoren der Organisation auf. In der Team-Verwaltung senden Sie anderen Mitgliedern statt eines neuen Passworts einen Link zum Zurücksetzen. Einladungslinks schalten deaktivierte Konten nicht wieder frei; Einladungen sind auf 10 pro Stunde begrenzt.
Under-Attack-Mode: Der Schalter in der Site-Liste und „Manuell aktiviert“ verstärken den Schutz jetzt tatsächlich; „Aus“ beendet eine laufende Stufe sofort und meldet das an Ihre Webhooks. Manuell einschalten können Sie den Modus in Tarifen, die ihn enthalten.
Schutzprofile: Ein strengeres Profil Ihrer Site (etwa High Security) wird nicht mehr durch globale Standardregeln für einzelne Formulare gelockert. Ohne Verhaltensanalyse führen reine Umstands-Signale (VPN, Rechenzentrum) zur Klick-Prüfung statt zur Sperre. Touch-Tablets werden richtig erkannt.
Schlüssel: Ein rotierter Secret Key lässt sich nur verlängern, solange er gilt, höchstens bis 72 Stunden nach der Rotation und mit Passwortbestätigung. Geteilte Download-Links einer Site können Sie sofort widerrufen.
Kündigung: Eine Kündigung über das öffentliche Formular bestätigen Sie auf der verlinkten Seite per Klick — das bloße Öffnen des Links (etwa durch einen Mail-Scanner) kündigt nicht mehr.
Webhooks: Ziele müssen Port 443 oder 8443 nutzen; bei Fehlern sehen Sie eine Fehlerkategorie statt technischer Details. Testzustellungen sind auf fünf pro Minute begrenzt; ein wieder eingeschalteter Webhook beginnt mit null Fehlern.
Rechnungen: Die Umsatzsteuer richtet sich nach dem Land Ihrer Firmenanschrift, eine USt-IdNr. muss zum Land passen. Solange eine SEPA-Lastschrift läuft, gibt es keine Zahlungserinnerung und keine Sperre.
Datenschutz: Im Aktivitätsprotokoll stehen IP-Adressen nur gekürzt. Übernimmt ein CaptchaCore-Mitarbeiter Ihr Konto zu Supportzwecken, kann er AV-Vertrag, Bestellung, Kündigung, E-Mail, Passwort und Zwei-Faktor-Anmeldung nicht ändern, und das Protokoll vermerkt, wer gehandelt hat. Der Prüfcode Ihres AV-Vertrags lässt sich aus dem unterschriebenen Text nachrechnen.
Widget: Kein doppeltes Erneuern und kein falscher Fehlerstatus mehr bei AJAX-Formularen; im sichtbaren Modus wird eine abgelaufene Prüfung vor dem Lösen erneuert; eine verlangte Klick-Prüfung wird in den Blick gerückt und fokussiert.
WordPress-Plugin 2.6.5: Das Login-Captcha lässt sich nicht mehr über XML-RPC mit einem eingeschleusten WooCommerce-Feld umgehen — bitte zeitnah aktualisieren. Auf Multisite dürfen nur Nutzer mit Update-Recht nach Updates suchen, die Update-Quelle kommt von der Hauptseite, und wp-signup.php ist geschützt. Der Schutz bleibt eingeschaltet, wenn Sie die Einstellungen speichern, während WooCommerce, Formidable, Elementor oder Contact Form 7 vorübergehend deaktiviert ist. Neue Einstellung „Proxy-Header“ (Nur X-Real-IP). Elementor-Pro-Formulare schützt das Formularfeld „CaptchaCore“, nicht das Seitenbau-Widget daneben.
Laravel-Paket 2.2.6: Passwörter landen nach einer fehlgeschlagenen Prüfung nicht mehr in der Session; keine Weiterleitungen, Seiten-URL ohne Query-String, eine unlesbare Antwort lehnt ab.
Symfony-Bundle 1.1.6: Prüfung auch bei eigenen Validierungsgruppen; #[RequiresCaptcha] prüft alle Methoden außer GET, HEAD und OPTIONS; feste Gesamtdauer der Anfrage, keine Weiterleitungen.
Registrierung: Ist eine E-Mail-Adresse bereits registriert, zeigt das Formular dieselbe Bestätigungsseite wie bei einer neuen Registrierung; der Inhaber der Adresse erhält einen Hinweis per E-Mail mit Link zu „Passwort vergessen“ (höchstens einmal pro Stunde).
Wiederherstellungscodes auch für Passkey-Konten: Melden Sie sich nur mit Passkey an, erhalten Sie beim ersten Passkey Wiederherstellungscodes, einmalig angezeigt. Im Profil erzeugen Sie neue Codes (mit Passwortbestätigung) und sehen, wie viele noch offen sind. Codes mit Bindestrich lassen sich bei der Anmeldung vollständig eingeben.
Gerät verloren? Ohne Wiederherstellungscodes kann unser Support nach Identitätsprüfung Ihre Zwei-Faktor-Anmeldung zurücksetzen. Sie werden per E-Mail informiert, alle Sitzungen enden, und Sie richten die Zwei-Faktor-Anmeldung danach sofort neu ein.
Basisschutz in jedem Paket: Verhaltensanalyse und der automatische Under-Attack-Mode sind ausdrücklich in jedem Paket enthalten, auch im kostenlosen; den Under-Attack-Mode manuell einschalten können Sie in den höheren Paketen.
USt-IdNr. mit VIES geprüft: Beim Speichern prüfen wir Ihre USt-IdNr. im EU-System VIES. Das Reverse-Charge-Verfahren gilt nur mit bestätigter USt-IdNr.; vor Rechnungen wird die Prüfung regelmäßig erneuert. Meldet VIES die Nummer als ungültig, sehen Sie einen Hinweis, und Rechnungen enthalten deutsche Umsatzsteuer, bis sie bestätigt ist. Für Unternehmen außerhalb der EU versenden wir Rechnungen ohne deutsche Umsatzsteuer nach einer einmaligen Prüfung durch uns.
WordPress-Plugin 2.6.5 – signierte Updates: Vor jeder Installation eines Updates von captchacore.eu prüft das Plugin dessen Ed25519-Signatur; fehlt sie oder passt sie nicht, wird das Update abgebrochen. Betreiben Sie eine eigene Update-Quelle, hinterlegen Sie Ihren öffentlichen Schlüssel als CAPTCHACORE_UPDATE_PUBLIC_KEY in der wp-config.php. Die Fassung aus dem WordPress.org-Verzeichnis ist nicht betroffen.
WoltLab 2.1.1 für Foren mit einer Version der 2.x-Reihe (2.0.0, 2.0.1, 2.1.0): Update über die normale Paketaktualisierung, inhaltlich gleich 1.2.3. Wichtig für 2.1.0: Geschützte Formulare nehmen derzeit keine Einsendungen an — bitte 2.1.1 zeitnah einspielen. Die Versionen 2.0.x nutzen die abgekündigte Schnittstellenversion 1. Für Neuinstallationen empfehlen wir weiterhin 1.2.3.

05.10.2026 3 Änderungen

E-Mail für Benachrichtigungen: Unter Profil legen Admins Ihrer Organisation fest, wohin Wochenreport, Kontingent-Hinweise und Einbau-Erinnerungen gehen. Bleibt das Feld leer, erhalten alle Admins diese Meldungen. Rechnungen und Vertragspost gehen weiter an die Rechnungs-E-Mail unter „Abrechnung“ — Betriebsmeldungen landen also nicht mehr in der Buchhaltung.
Adresswechsel: Ändern Sie Ihre Login-Adresse, ziehen die E-Mail für Benachrichtigungen und die Rechnungs-E-Mail mit, sofern sie bisher der alten Adresse entsprachen.
Anmelden mit Passkey klappt jetzt auch, wenn im Browser noch eine ältere Sitzung bestand.

04.10.2026 3 Änderungen

API V1 abgekündigt: /api/v1/challenge, /verify und /status sowie das Widget captchacore.min.js funktionieren weiter, das Widget zeigt Besuchern aber den Hinweis, den Betreiber der Website zum Update aufzufordern. Betroffen sind ältere Integrationen, etwa das WoltLab-Paket 1.0.x und 2.0.x. Bitte aktualisieren Sie auf die aktuelle Version (WoltLab 1.2.3, WordPress, Laravel, Symfony) bzw. stellen Sie eigene Integrationen auf /api/v2 und captchacore-v2.min.js um. Ein Abschaltdatum kündigen wir rechtzeitig an. API
Webhooks zum Under-Attack-Mode: Die Ereignisse site.under_attack.activated und site.under_attack.deactivated werden jetzt zuverlässig gesendet, wenn der Modus automatisch oder manuell ein- bzw. ausgeschaltet wird (inklusive Stufe).
Widget: Ein Klick neben das Ziel der Klick-Prüfung wird ignoriert, statt das Absenden scheitern zu lassen; ein offenes Widget-Menü schließt sich, bevor die Klick-Prüfung erscheint. Verlangt eine Prüfung per getToken() ohne Formular eine Klick-Prüfung, erscheint sie schwebend unten rechts statt am Seitenende. Neu: CaptchaCoreV2.preview(element) zeigt die Widget-Karte nur als Vorschau, ohne Prüfung und ohne Anfrage an den Dienst (etwa für Produkt- oder Einstellungsseiten).

03.10.2026 9 Änderungen

Weniger Fehlalarme: Echte Besucher mit unauffälligem Verhalten werden nicht mehr allein wegen Begleitumständen (etwa ein Netz mit vielen Anfragen oder ein ungewöhnlicher Bildschirm) abgelehnt — sie bekommen höchstens die Klick-Prüfung. Browser-Kennungen mit „bot“ im Namen von Apps und Linux-Smartphones lösen keinen Verdacht mehr aus.
Besserer Schutz gegen Massenanfragen: Viele Absendungen desselben Formulars aus einem Netz in kurzer Zeit fließen in die Bewertung ein; der Under-Attack-Mode erkennt plötzliche Lastspitzen und bleibt aktiv, solange der Angriff anhält. Die Profile „Auth Hardened“ und „High Security“ starten mit Stufe 4, der Under-Attack-Mode erhöht sie bei Bedarf.
Fail-Open zuverlässiger: Ist der Dienst intern gestört, antwortet er mit einem Serverfehler statt mit „abgelehnt“ — Ihre Integration lässt dann gemäß Ihrer Fail-Open-Einstellung durch. Besucher hinter einem CDN werden nicht mehr nach der IP des CDN bewertet.
Widget: Kann der Dienst beim Laden nicht erreicht werden, zeigt das Widget einen Hinweis und versucht es per Klick erneut („Erneut versuchen“, in allen 14 Sprachen); Wartezeiten des Dienstes werden eingehalten. Ein sehr schneller Klick in der Klick-Prüfung wird nicht mehr abgelehnt.
Datenschutz: IP-Adressen werden immer gekürzt gespeichert (die Einstellung dafür entfällt); Referer und Sitzungskennung nur noch als Hash mit rotierendem Salt; nach 30 Tagen werden alle personenbezogenen Angaben eines Protokolleintrags entfernt, gelernte Angriffsmuster ebenfalls. Der AV-Vertrag beschreibt das jetzt genau (neue Fassung 2026-10-04.1, bitte im Kundenbereich erneut zeichnen).
WordPress-Plugin 2.6.4: Neu: Contact Form 7 (Form-Tag [captchacore] oder automatisch vor dem Absende-Button). Behoben: WooCommerce-Kasse (Widget verschwand bei jeder Änderung, „Bestellen“ reagierte im Under-Attack-Mode nicht), Logins auf „Mein Konto“, Login-Formulare per wp_login_form(), Kommentare in Block-Themes. Hinter einem Proxy gelten Weiterleitungs-Header nur noch von vertrauenswürdigen Proxys (neue Einstellung „Vertrauenswürdige Proxys“). Deutsch (Sie) wird jetzt ebenfalls übersetzt.
Laravel-Paket 2.2.5: Fehlermeldungen in DE/EN/FR/ES, Ablehnungsgründe nur noch im Log statt in der Antwort, eine unerwartete Antwort des Dienstes führt nicht mehr zu einem Fehler; README mit vollständiger Einbauanleitung.
Symfony-Bundle 1.1.5: Das Widget-Skript wird je Seite nur einmal eingebunden und übernimmt den CSP-Nonce; Ablehnungsgründe nur noch im Log; README mit vollständiger Einbauanleitung.
WoltLab-Paket 1.2.3: Eine Antwort „zu viele Anfragen“ (HTTP 429) lehnt ab, statt bei „Bei Ausfall durchlassen“ das Captcha abzuschalten; eine vorgeschaltete Wartungsseite führt nicht mehr zu einer Systemfehlerseite.

01.10.2026 29 Änderungen

Widget: deutlich schneller und zuverlässiger: Die Rechenaufgabe läuft etwa achtmal so schnell; die höchste Stufe ist jetzt 5 (bisher 6, die auf Smartphones oft nicht in der Zeit lösbar war). Blockiert eine strenge CSP den Web Worker, rechnet das Widget in kleinen Schritten weiter, ohne die Seite einzufrieren.
Widget: Verhaltensdaten bis zum Absenden: Das Token enthält die Interaktion bis zum Klick auf „Absenden“ — im unsichtbaren Modus wurden echte Besucher vorher als „zu schnell“ eingestuft. Die Vorprüfung läuft erst beim Absenden, die Klick-Prüfung erscheint daher nur noch, wenn sie wirklich nötig ist.
Widget: AJAX-Formulare (Elementor, Formidable, WooCommerce-Kasse): Nach jedem Absenden wird sofort ein neues Token vorbereitet; ein zweiter Versuch nach einer Fehlermeldung scheitert nicht mehr an einem schon verbrauchten Token. Nachgeladene Formulare (Popups) werden zuverlässig erkannt.
Widget: bei Verbindungsproblemen: Erreicht der Browser den Dienst endgültig nicht, wird ein Platzhalter gesendet, sodass die Fail-Open-Regel Ihrer Integration greift — vorher wurde das Formular wegen des leeren Felds abgelehnt. Zurück-Button und wiederhergestellte Verbindung erneuern das Token.
Widget: Bedienbarkeit: Die Klick-Prüfung ist per Tastatur und Screenreader bedienbar und wird beim Absenden angezeigt und fokussiert; Statuswechsel werden angesagt; Menütexte in Ihrer Sprache; bessere Kontraste. Ältere Browser ohne :has() binden das Widget wieder korrekt.
Widget: weniger Gerätedaten: GPU-Modell, Zeitzone, Plattform, Arbeitsspeicher und Audio-Kennung werden nicht mehr übertragen.
Erlaubte Domains werden durchgesetzt: Eine Challenge, die ein Browser auf einer nicht eingetragenen Domain geholt hat, wird beim Verify abgelehnt (origin_not_allowed); www. und ohne zählen gleich. Bitte prüfen Sie vor dem Update, ob alle Domains Ihrer Formulare eingetragen sind.
Under-Attack-Mode: Absichtlich kaputte Tokens treiben die Stufe nicht mehr hoch; die Automatik steigt höchstens eine Stufe je Prüflauf.
Datenschutz: Die Kennung des Browsers (User-Agent) wird in Protokollen nur noch mit rotierendem Salt gehasht; bei gesperrtem Konto nennt die öffentliche Fehlermeldung keinen Zahlungsstatus mehr.
Konto-Sicherheit: Wiederherstellungscodes der Zwei-Faktor-Anmeldung funktionieren jetzt (vorher wurden sie nie angenommen); ein TOTP-Code gilt nur einmal, Fehlversuche werden je Konto begrenzt; E-Mail-Adresse ändern, Zwei-Faktor-Anmeldung abschalten und Passkeys entfernen verlangen Ihr Passwort, die neue Adresse muss bestätigt werden und die alte wird informiert; „2FA erzwingen“ wirkt jetzt wirklich.
Kündigungsformular: Der Eingang wird sofort mit Datum und Uhrzeit bestätigt; wirksam wird eine Kündigung über das öffentliche Formular nach Klick auf den Link, den wir an die im Konto hinterlegte Adresse senden. Im Kundenbereich kündigen Sie weiterhin direkt.
Datenschutz: Der Salt für IP-Hashes ist jetzt zufällig und verschwindet nach seinem Zeitraum; Netzbetreiber (ASN) wird mit den IP-Angaben nach 30 Tagen entfernt; IP-Adressen im Konto-Protokoll ebenfalls nach 30 Tagen; Sicherungen sind nur noch für den Betrieb lesbar.
WordPress-Plugin 2.6.3 — wichtiges Sicherheitsupdate: Das Login-Captcha war in früheren Versionen wirkungslos, weil WordPress den Captcha-Fehler bei der Passwortprüfung wieder überschrieb. Jetzt greift es auf wp-login.php und XML-RPC; bei abgelehntem Captcha gibt es immer dieselbe Meldung. Außerdem: „Passwort vergessen“ lässt sich nicht mehr über ein WooCommerce-Feld umgehen, WooCommerce-Login und Kasse prüfen das Token nur einmal, Updates nur noch über HTTPS. Bitte sofort aktualisieren.
Symfony-Bundle 1.1.3: Eine verlangte Klick-Prüfung („step_up“) gilt nicht mehr als bestanden. 1.1.4: Eine Antwort mit HTTP 429 lehnt ab, statt durchzulassen.
Laravel-Paket 2.2.3: Ein manipuliertes Token-Feld führt nicht mehr zu einem Serverfehler. 2.2.4: Eine Antwort mit HTTP 429 lehnt ab, statt durchzulassen.
WordPress-Plugin 2.6.3, weitere Punkte: Jedes geschützte Formular holt seine Challenge mit dem eigenen Formulartyp, damit strengere Profile für einzelne Formulare greifen; HTTP 429 lehnt ab; höchstens 30 Captcha-Prüfungen je Besucher-IP und Minute.
Verify-Grenze: Über der Grenze antwortet Verify mit „abgelehnt“ (Grund rate_limited) statt mit einem Fehlercode, den ältere Integrationen als Ausfall werteten.
Konto löschen verlangt jetzt zusätzlich Ihr Passwort; „2FA erzwingen“ gilt auch für Aktionen auf schon geöffneten Seiten.
Prüfung robuster: Absichtlich kaputte Tokens werden abgelehnt statt einen Serverfehler auszulösen; ein ausgeschöpftes Monatskontingent schaltet die Prüfung nicht mehr ab (gefälschte Tokens zählen auch nicht mehr mit); eine Challenge lässt sich nur noch für die eigene Nonce und nicht für ein schwierigeres Formular einlösen.
Widget: Formulare warten, bis die Prüfung fertig ist, statt ohne Token abzugehen; unsichtbare Widgets erneuern ihr Token rechtzeitig; ein kurzer Netzfehler wird automatisch erneut versucht; die Klick-Prüfung nimmt niemandem mehr den Fokus.
Sicherheit der Prüfung: Im Under-Attack-Mode und in strengeren Schutzprofilen gilt die erhöhte Rechenaufgabe jetzt auch serverseitig — eine Lösung auf niedrigerer Stufe wird abgelehnt. Die Zusatzprüfung lässt sich nicht mehr mit einem selbst gebauten Nachweis überspringen.
Klick-Prüfung auch im Normalbetrieb: Liegt eine Prüfung im Grenzbereich, zeigt das Widget die Klick-Prüfung jetzt vor dem Absenden an, statt dass das Formular abgelehnt wird. Ihre Integration muss dafür nichts ändern.
Analytics gemäß Paket: Die Statistik reicht so weit zurück, wie Ihr Paket es vorsieht (je nach Paket bis zu 365 Tage); im Kundenbereich gibt es dafür einen eigenen Zeitraum. IP-bezogene Angaben werden unverändert nach 30 Tagen entfernt — was länger bleibt, ist Statistik ohne Personenbezug.
Under-Attack-Mode ab Stufe 2: Die Klick-Prüfung erscheint direkt im Widget, noch bevor das Formular abgeschickt wird — Besucher kommen damit auch unter Angriff durch, statt abgewiesen zu werden. Blockierte Anfragen bleiben blockiert.
Strengere Bewertung manipulierter Tokens: Tokens ohne Browser-Kennung oder Umgebungsdaten, Challenges aus einem anderen Netz als das Formular und Anfragen aus Rechenzentren fließen jetzt in die Bewertung ein (Rechenzentren bewusst niedrig gewichtet). Übergeben Sie beim Verify die Besucher-IP als client_ip — die offiziellen Integrationen tun das bereits. API
Symfony-Bundle 1.1.2, Laravel-Paket 2.2.2: Die Paketdateien kommen mit den Rechten 0644/0755. Bisher trugen sie 0640 — lief composer install unter einem anderen Benutzer als PHP-FPM (etwa als root im Container), konnte PHP sie nicht lesen. Gilt ebenso für den WordPress-Download.
Widget: getToken() für AJAX-Formulare: await CaptchaCoreV2.getWidget(form).getToken() liefert vor jeder fetch-Anfrage ein eigenes Token mit den gesammelten Verhaltensdaten und lädt die nächste Challenge im Hintergrund — für Suchen, Domainchecks und andere Formulare mit mehreren Absendungen pro Seitenaufruf. Dokumentation
Anmelden mit Passkey: Passkeys aus Passwortmanagern wie Bitwarden werden zuverlässig angenommen, auch nach der Anmeldung auf einem anderen Gerät.
Datenschutzangaben: Unterauftragsverarbeiter (Bunny.net für die Widget-Datei) und alle Speicherfristen sind jetzt in jeder Datenschutzseite einheitlich genannt.

30.09.2026 12 Änderungen

WordPress-Plugin 2.6.2, Laravel-Paket 2.2.1, Symfony-Bundle 1.1.1: Hinweise und Fehlermeldungen sprechen Ihre Besucher durchgehend mit „Sie“ an; im Widget gilt das auch für die Zusatzprüfung.
Erinnerung vor Ende der Testphase: Die E-Mail nennt jetzt Ihre Organisation, die tatsächliche Testdauer und den richtigen Abrechnungszeitraum (auch bei jährlicher Zahlung).
WordPress-Plugin: Direkt installierte Plugins sehen verfügbare Updates wieder zuverlässig — die Versionsangabe kommt jetzt immer aus dem ausgelieferten Plugin.
Sicherheit für alle Integrationen: „Bei Ausfall durchlassen“ greift nur noch, wenn der Dienst wirklich gestört ist. Eine abgelehnte Prüfung — etwa mit manipuliertem Token oder falschem Schlüssel — lässt das Formular nie mehr durch. Bitte aktualisieren: WordPress-Plugin 2.6.1, WoltLab-Paket 1.2.2, Laravel-Paket 2.2.0, Symfony-Bundle 1.1.0.
Laravel-Paket 2.2.0: nutzt das aktuelle Widget, läuft auf frischen Laravel-13-Projekten und braucht weder Inline-Skript noch Formular-Attribut. Neu: form-type an der Blade-Komponente.
Symfony-Bundle 1.1.0: unterstützt Symfony 8, startet auch ohne Form- oder Twig-Komponente, registriert das Formular-Theme selbst und gibt kein Inline-Skript mehr aus — funktioniert damit auf Seiten mit strikter Content-Security-Policy.
WordPress-Plugin 2.6.1: Das Widget lädt nur noch auf Seiten, die tatsächlich ein geschütztes Formular zeigen.
Widget auf Seiten mit strikter Content-Security-Policy: Geben Sie dem Script-Tag den Nonce Ihrer Seite — das Widget übernimmt ihn für seine Styles. 'unsafe-inline' ist nicht mehr nötig. Anleitung
Passkeys als zweiter Faktor werden jetzt vollständig kryptografisch geprüft.
WoltLab-Paket 1.2.2: behebt den Abbruch der Registrierungsseite („unknown modifier 'encodeHTML'“) aus 1.2.0/1.2.1 und lässt sich aus der 1.2-Reihe direkt aktualisieren.
Anmelden mit Passkey: Auf der Login-Seite geht es jetzt auch ganz ohne Passwort — per Button „Mit Passkey anmelden“ oder direkt aus dem E-Mail-Feld, wenn der Browser den Passkey vorschlägt. Die Bestätigung per Fingerabdruck, Gesicht oder PIN ersetzt dabei Passwort und zweiten Faktor. Passkeys legen Sie unter Profil → Passkeys an.
Rollen im Kundenbereich: „Viewer" haben nun wirklich nur Lesezugriff — Tarif, Vertrag, Sites und Nutzer ändern ausschließlich Administratoren der Organisation.

18.09.2026 5 Änderungen

Webhooks: Lassen Sie sich von CaptchaCore benachrichtigen — signierte POST-Aufrufe an Ihre Systeme bei erreichtem Kontingent, ausgelöstem Under-Attack-Mode oder Kontosperrung. Kundenbereich → Sites → Webhooks, ab Tarif Professional. Dokumentation
Team-Einladungen: Neue Mitglieder per E-Mail einladen — sie legen ihr Passwort selbst fest, kein Passwort-Versand mehr nötig.
Wochenreport vergleicht jetzt mit der Vorwoche und ordnet die Woche in einem Satz ein.
Registrierung: Der Bestätigungslink kommt zuerst, das Konto ist danach sofort nutzbar. Wer sein Konto löscht, nimmt seine Organisation mit — sofern keine weiteren Mitglieder bleiben.
Sicherheit beim Anmelden: Nach fünf Fehlversuchen ist das Konto 15 Minuten gesperrt; das Anmeldeformular ist selbst durch CaptchaCore geschützt.

17.09.2026 2 Änderungen

WordPress-Plugin 2.6.0: WooCommerce-Integration — Login, Registrierung und Passwort vergessen auf „Mein Konto" sowie die klassische Kasse. Übersetzungen für Deutsch, Spanisch und Französisch.
Das Plugin ist jetzt im offiziellen WordPress-Verzeichnis gelistet — Updates kommen wie gewohnt über WordPress.

10.09.2026 1 Änderung

WordPress-Plugin 2.5.1: Anpassungen an die Richtlinien von WordPress.org (Skripte und Styles über wp_enqueue, Übersetzungen über translate.wordpress.org).

08.09.2026 5 Änderungen

Partnerangebote: Rabatte per Gutscheincode oder Partnerlink — der Rabatt erscheint auf der Preisseite, im Kundenbereich und als eigene Position auf der Rechnung.
WoltLab-Plugin 1.2.0 / 2.2.0: Ein Paket für WoltLab Suite 6.1 und 6.2, Bezug über den offiziellen Plugin-Store.
WordPress-Plugin 2.5.0: Mehrsprachig, Proxy-Header nur auf Wunsch, Befunde des Plugin Check abgearbeitet.
Dokumentation neu gegliedert: Übersicht plus Kategorieseiten für Einstieg, Integrationen, Widget, API, Erkennung und Betrieb.
Widget: Das Menü-Panel funktioniert jetzt auch in Containern mit overflow: hidden.

Mai 2026 2 Änderungen

Abrechnung: Rechnungen als PDF mit ZUGFeRD/XRechnung, Zahlung per Karte, PayPal, Online-Banking oder Überweisung mit GiroCode; auf Wunsch automatische Abbuchung.
Kündigung jederzeit über den Kündigungsbutton im Fuß jeder Seite — mit sofortiger Bestätigung.

April 2026 3 Änderungen

V2-API: signierte Tokens, Confidence-Score, Reason-Codes, Site-Profile und Form-Policies.
Bessere Bot-Erkennung mit Canvas-, WebGL- und Timing-Signalen — bewusst konservativ abgestimmt, damit echte Browser nicht blockiert werden.
Under-Attack-Mode mit automatischer Eskalation bei Angriffswellen.

Änderungsprotokoll