Am Sonntag, dem 4. Oktober, wurden einige Static Studio-Kunden mit einer leuchtend roten Warnung begrüßt, als sie versuchten, eine onstatic.studio-URL zu öffnen:
Chrome bezeichnete sie als „Gefährliche Website“ und riet Besuchern, umzukehren.
Das ist die Art von Nachricht, die niemand sehen möchte – besonders dann nicht, wenn man die eigene Website öffnet.
Wir haben den Vorfall sofort untersucht, die missbräuchlich verwendete Website, die die Warnung ausgelöst hatte, entfernt, Kunden im Studio-Dashboard benachrichtigt und bei Google eine Überprüfung angefordert.
Das Wichtigste zuerst:
Keine Kundenwebsite wurde kompromittiert, verändert oder offline genommen. Das Static Studio-Dashboard und die Kundendaten waren sicher, und Websites mit einer benutzerdefinierten Domain waren nicht betroffen.
Die Warnung stammte von Google Safe Browsing und betraf unsere gemeinsam genutzte onstatic.studio-Domain, nachdem jemand eine Test-Website missbraucht hatte, um täuschende Inhalte zu veröffentlichen.
Da sowohl statische Vorschauen als auch private WordPress-Adressen diese übergeordnete Domain verwenden, konnte die Warnung auch erscheinen, wenn ein Kunde eine völlig legitime eigene Website öffnete.
Das Problem war der Ruf der gemeinsam genutzten Domain, nicht eine Kompromittierung der Kundenwebsite.
Die Warnung war vorübergehend und wurde inzwischen entfernt. Doch einfach nur eine Website offline zu nehmen, hätte lediglich das unmittelbare Problem gelöst.
Wir wollten den Weg schließen, der diese Art von Missbrauch überhaupt erst möglich gemacht hatte.
Deshalb sind Static Studio-Vorschauen jetzt privat.
Was ist eine Vorschau einer statischen Website?
Jede Website in Static Studio erhält eine verwaltete onstatic.studio-Adresse.
Sie bietet dir einen Ort, an dem du deinen statischen Export überprüfen kannst, bevor du eine benutzerdefinierte Domain verknüpfst. Du kannst damit Seiten, Links, Formulare, Bilder und Layouts prüfen, ohne die öffentliche Website zu verändern, die deine Besucher bereits nutzen.
Bis jetzt konnte jeder, der diese URL hatte, sie öffnen.
Die Adresse war für Vorschauen gedacht, aber technisch weiterhin öffentlich (obwohl sie stets auf no-index gesetzt war). Dadurch ließ sich ein unfertiger Stand bequem teilen, gleichzeitig konnte aber auch jemand eine kostenlose Testversion als anonymes öffentliches Hosting unter unserer gemeinsam genutzten Domain verwenden.
Eine missbräuchlich verwendete Website reichte aus, um den Ruf dieser gemeinsam genutzten Domain zu beschädigen und auch Warnungen bei legitimen onstatic.studio-URLs auszulösen.
Das war das eigentliche Problem, das wir lösen mussten.
Statische Vorschauen sind jetzt standardmäßig privat
Verwaltete Static Studio-Vorschau-URLs können jetzt nur noch über eine autorisierte Static Studio-Sitzung geöffnet werden.
Du musst kein neues Passwort erstellen und keine separate Anmeldeseite verwalten.
Wenn du im Dashboard Open Static Site Preview auswählst, überprüft Studio, ob du Zugriff auf die Website hast, und erstellt eine private Browsersitzung genau für diese Vorschau.
Die Website wird anschließend wie gewohnt in einem neuen Tab geöffnet.
Diese Browsersitzung bleibt bis zu acht Stunden aktiv. So kannst du weiterhin Seiten überprüfen und die Website neu laden, ohne jedes Mal zum Dashboard zurückkehren zu müssen.
Wenn jemand die direkte onstatic.studio-URL ohne aktive Sitzung öffnet, wird die Website nicht angezeigt.
Stattdessen erscheint eine Seite für private Vorschauen, auf der die Person aufgefordert wird, zum Dashboard zurückzukehren:
Für Agenturen, die die White-Label-Funktionen von Static Studio nutzen, verwendet diese Seite außerdem den passenden Portalnamen, das passende Logo und die passende Markenfarbe.
So öffnest du eine Vorschau
Der Ablauf ist bewusst einfach:
- Melde dich bei Static Studio an.
- Finde die Website oder Umgebung, die du überprüfen möchtest.
- Wähle Open Static Site Preview aus.
- Studio erstellt die private Sitzung und öffnet die Vorschau.
Das war’s.
Autorisierte Teammitglieder und Kunden können denselben Ablauf für Websites nutzen, auf die sie Zugriff haben.
Wenn du jemandem nur die URL onstatic.studio schickst, erhält die Person dadurch keinen Zugriff mehr.
Die Vorschau muss aus der autorisierten Dashboard-Sitzung heraus geöffnet werden.
Deine öffentliche Website ist nicht betroffen
Diese Änderung gilt nur für die von Static Studio bereitgestellten verwalteten Vorschauadressen.
Sobald du eine benutzerdefinierte Domain verbindest, bleibt diese Domain wie gewohnt öffentlich verfügbar.
Besucher müssen sich nicht anmelden, und es gibt weder einen zusätzlichen Ladebildschirm noch eine Passwortabfrage.
Deine statische Website bleibt schnell, sicher und rund um die Uhr verfügbar. Die neue Zugriffskontrolle befindet sich vor der Vorschauadresse, nicht vor deiner Produktionsdomain.
Die private Vorschau bleibt außerdem von WordPress getrennt.
WordPress läuft weiterhin als deine geschützte On-Demand-Bearbeitungsumgebung und wird erst gestartet, wenn eine autorisierte Person sie benötigt.
Performanceberichte und automatisierte Prüfungen funktionieren weiterhin
Vorschauen privat zu machen, klingt einfach, bis du berücksichtigst, dass auch andere Funktionen in Static Studio auf sie zugreifen müssen.
Site Health, SEO-Prüfungen, Performanceberichte, Prüfungen der Veröffentlichungsbereitschaft und die Generierung von Critical CSS benötigen Zugriff auf die generierte Website.
Wir haben diese Dienste so aktualisiert, dass sie im Hintergrund kurzlebige, websitespezifische Zugriffsrechte verwenden.
Performanceberichte für geschützte Vorschauen laufen jetzt über eine private Lighthouse-Sitzung, anstatt die Vorschau an Google PageSpeed zu senden.
Du musst nichts konfigurieren, und die Berichte in deinem Dashboard funktionieren weiterhin wie bisher.
Öffentliche Websites auf benutzerdefinierten Domains verwenden weiterhin den normalen öffentlichen Ablauf.
Warum wir diese Änderung vorgenommen haben
Der Vorfall am Sonntag hat einen alten Unterschied unübersehbar gemacht:
Eine Vorschau-URL ist nicht dasselbe wie eine öffentliche Website.
Vorschauadressen helfen dir und deinen Kunden, Arbeiten vor dem Launch zu überprüfen.
Sie sollten nicht gleichzeitig als anonymes Hosting dienen, und ihre Sicherheit sollte nicht davon abhängen, dass niemand die URL errät oder weitergibt.
Private Vorschauen schaffen eine deutlich klarere Grenze:
- Exporte in Bearbeitung bleiben unter autorisierten Nutzern.
- Eine kostenlose Testversion kann keine anonyme öffentliche Website auf unserer gemeinsam genutzten Domain veröffentlichen.
- Die anonyme Vorschau-Route, die ein einzelner böswilliger Akteur genutzt hat, um die verwalteten URLs anderer Kunden zu gefährden, ist geschlossen.
- Produktionsdomains von Kunden bleiben öffentlich und unverändert.
Wir hätten die Funktion lieber eingeführt, ohne dass ein roter Warnbildschirm dazu auffordert, aber das Ergebnis ist ein stärkeres und treffenderes Modell für Static Studio:
WordPress ist privat, Vorschauen sind privat, und die endgültige statische Website wird unter der von dir gewählten Domain öffentlich.
Was du tun musst
Du musst nichts aktivieren oder konfigurieren.
Wenn du das nächste Mal eine verwaltete Vorschau überprüfen möchtest, öffne sie über dein Static Studio-Dashboard mit Open Static Site Preview.
Wenn du eine onstatic.studio-Vorschau als Lesezeichen gespeichert hast, behalte das Lesezeichen, wenn es nützlich ist. Öffne die Website jedoch immer zuerst über das Dashboard, sobald deine private Sitzung abgelaufen ist.
Wenn ein Kunde Zugriff benötigt, weise ihn der Website zu, damit er denselben sicheren Workflow nutzen kann.
Wenn die Website für die Öffentlichkeit bereit ist, verbinde ihre benutzerdefinierte Domain.
Wie immer vielen Dank an alle, die den Hinweis vom Sonntag gemeldet und uns die Informationen gegeben haben, die wir für eine schnelle Reaktion benötigten.
Wenn du Fragen oder Feedback zu privaten Vorschauen hast, kannst du dich gerne an uns wenden.
Ich wünsche dir eine schöne Woche,
Patrick
Inhaltsverzeichnis
