Was sich geändert hat.

Aufgeräumt nach der Prüfung aller Systeme.

Pflege-Release nach der Prüfung aller Kundensysteme. Logos behalten ihre Proportionen, die Startseite nutzt ihre eigenen SEO-Felder und die Stylesheets der Sections kommen gebündelt.

• Social Embeds laden erst nach Einwilligung oder Klick
• Migration 068 repariert Tabellen aus sehr frühen Installationen
• Alle Pakete setzen die Dateirechte 644 und 755

Mehr Kontrast, bessere Links.

Die Ziffern der Themenkarten stehen voll in der Akzentfarbe und erreichen jetzt einen Kontrast von 4,9 zu 1. Der Logo-Link im Footer trägt den Namen der Website.

Alle neun Themes mit Kategorie.

Arcade, Business, Creative, Default, Editorial, Estate, Nexus, Pulse und Terminal tragen eine Kategorie und zeigen das Logo im Header ohne Verzerrung.

Lizenzschlüssel nur noch im Header.

Lizenzschlüssel gehen nur noch als Header über die Leitung, nicht mehr in der Adresse. Ein Download ändert das Veröffentlichungsdatum eines Pakets nicht mehr.

Strengerer Filter, geschützter Upload-Ordner.

Pflege-Release nach der Nachprüfung von 3.5.2. Der Filter für HTML von Redakteuren ist strenger und der Upload-Ordner ist per Migration geschützt.

• Der Editor-Filter entfernt jetzt auch MathML, SVG-Animationen und Rohtext-Elemente
• Die Suche in Downloads, Events, Medien und Tickets endet nicht mehr mit Fehler 500
• Seiten mit Großbuchstaben im Slug sind wieder erreichbar
• Der Page-Cache legt für Suchbegriffe keine Dateien mehr an
• Themes können Frontend-Texte über eigene Sprachdateien anpassen

Alle Seiten im Stil der Blog-Liste.

Neue Section „Seitenkopf“, Downloads mit Aufmacher der aktuellen Version, Kontakt mit Wegen und Formular nebeneinander, Featureboard mit drei offenen Spalten und Wiki-Startseite mit Büchern als Karten.

Titelbild je Buch.

Jedes Buch bekommt ein Titelbild, das auch beim Teilen erscheint. Dazu kommen Kapitelübersicht und Schnelleinstieg für die Startseite.

SPF- und DKIM-Prüfung schaltbar.

Die Prüfung eingehender Antworten lässt sich ein- und ausschalten. Die Chat-Blase erscheint auch auf Seiten, deren Pfad mit dem Admin-Pfad beginnt, und die Ticketsuche im Admin läuft wieder fehlerfrei.

Vorschläge je Kategorie gezählt.

Die Kategorien zeigen die Zahl ihrer Vorschläge, der Kommentarbereich hat einen Honeypot gegen Spam und der Installer läuft nur noch einmal je Version.

Neues Layout „Aufmacher“.

Das Layout zeigt ein Bild, ein Faktenraster und zwei Knöpfe für das wichtigste Projekt.

Rollenprüfung in den Plugins, Cache und SEO.

Umsetzung der Befunde aus dem Gesamtreview vom 30. September. Plugin-Bereiche im Admin sind nur noch für Admins erreichbar, der Cache und die Suchmaschinen-Angaben sind überarbeitet.

• Login-Sperre zusätzlich je IP, Passwort-Reset-Tokens nur noch als Hash
• Kontaktformular mit Rate-Limit, Zeitprüfung und Linkzählung gegen Spam
• Automatische Sicherung per Cronjob mit Token
• Anzeigename für Nutzer und Serien für Beiträge
• Responsive Bilder als WebP in drei Größen

Hell, Dunkel und zwei Farbwelten.

Neues Theme für itsweber.de mit Schalter für Hell und Dunkel, den Farbwelten Teal und Blau, schwebendem Pillen-Header und Lesefortschritt.

Neu gebaut, alle mit Vorschaubild.

Die Themes lagen im Marketplace noch als Stand vom April vor. Jetzt haben sie den Header- und Footer-Customizer und ein Vorschaubild.

Frontpage-Lead, Software-Showcase und Betriebszahlen.

Drei neue Plugins für die Startseite. Ein Aufmacher aus dem neuesten Beitrag, Projektkacheln mit Version aus dem Download-Modul und ein Zahlenband, das auch Werte aus Home Assistant annimmt.

Ankündigungsleiste zeigt sich wieder.

Die Ankündigungsleiste erscheint im Frontend, mit Schließen-Knopf und Merken pro Sitzung. Social Embeds laden ohne Einwilligung erst nach Klick auf den Platzhalter.

Rollenmodell und gehärtete Sessions.

Sicherheits- und Stabilitäts-Release nach dem Gesamtreview vom 25. September.

• Neue Rollenprüfung, Nutzer, Einstellungen, Backup und Plugins sind nur noch für Admins
• Session-Cookie mit HttpOnly, Secure und SameSite
• Rate-Limits für 2FA und Passwort vergessen, Abmeldung nur per POST
• Content-Security-Policy und Security-Header an einer Stelle
• Seiten-Cache beachtet den Query-String, 404-Seiten liefern wirklich 404

Cron-Abruf wieder per GET.

Der Mail-Eingang der Tickets funktioniert auf Hostern ohne POST-Cronjobs wieder. Alle drei Wege (Header, Body, Adresse) werden akzeptiert.

Token nicht mehr in der Adresse.

Der Cron-Endpunkt der Tickets nahm Token in der URL an, die in Server-Logs landeten. Die Version stellte auf POST um und gleicht die Icon-Helfer an.

Container-Menüpunkte und Mobil-Header.

Menüpunkte ohne Link klappen ihr Untermenü auf. Der Header-Customizer bricht unter 960 Pixeln nicht mehr in eine Spalte zusammen, in allen Themes.

Vorschaubild für das Teilen.

Das og:image-System nimmt zuerst das Bild der Seite, dann ein globales Standardbild und zuletzt das Logo, in allen Theme-Layouts.

SMTP-Test vor dem Speichern.

Der Admin testet die Verbindung, bevor SMTP-Einstellungen gespeichert werden. Dazu Korrekturen aus dem Audit des Ticket-Plugins.

Mailer und Plugin-Hooks.

Antworten auf Tickets landen im richtigen Thread, Passwörter werden in Sicherungen maskiert und der komplette Lucide-Icon-Satz steht bereit.

Signierte Marketplace-Pakete.

Pakete im Marketplace tragen eine Ed25519-Signatur, die das CMS vor der Installation prüft.

Mehrere Schutzschichten im Marketplace.

Sicherheits-Releases lassen sich markieren, geschützte Pfade sind gehärtet und die Registry blendet Core-Updates aus der allgemeinen Liste aus.

Auto-Update und Marketplace.

Das CMS aktualisiert sich über den Marketplace selbst. Dazu kommen der Marketplace-Server als Plugin und sechs neue Themes (Terminal, Arcade, Pulse, Nexus, Estate, Editorial).