Zu den Punkten Website-Roasting und Contributing sind wir gar nicht gekommen, es gab einfach zu viele freie Diskussionen und Probleme.
Wir freuen uns aber schon sehr darauf, wenn wir wieder einen Vortrag haben. Meldet euch gerne bei Interesse!
Zuerst widmeten wir uns wie geplant der neuen WordPress-Version 7.1. Die „Source of Truth“ gibt es dieses Mal auch auf Deutsch im KrautPress-Blog:
https://krautpress.de/2026/wordpress-7-1-source-of-truth/
Eine der spannendsten Neuerungen in WordPress 7.1 sind die responsiven Styles, die es endlich ermöglichen etwas granularer für Tablets und Smartphone zu designen:
https://make.wordpress.org/core/2026/08/05/responsive-block-styles-and-configurable-viewports-in-wordpress-7-1/
Alle Neuerungen finden sich klassischerweise im sogenannten „Field Guide“, der etwas technischer ist:
https://make.wordpress.org/core/2026/08/05/wordpress-7-1-field-guide/
WP Rocket, das bekannte kostenpflichtige Caching-Plugin hat in Kombination mit anderen Plugins und WP 7.1 einen Fatal Error. Der Bug ist inzwischen gefixt, aber es gab ein wenig Drama um die Reaktion von Matt Mullwenweg und dem offiziellen WordPress X-Account:
https://docs.wp-rocket.me/article/1927-fatal-error-on-wordpress-7-1
https://www.therepository.email/wordpress-x-account-draws-backlash-after-calling-out-wp-rocket-over-7-1-fatal-errors
https://wp-rocket.me/blog/wordpress-7-1-outage-post-mortem/
https://www.therepository.email/wp-rocket-publishes-wordpress-7-1-fatal-error-post-mortem-estimates-10-of-sites-were-hit
Auch das Plugin „Advanced Editor Tools“ von Lead Developer Andrew Ozz hatte ein Problem mit 7.x, hat aber in der Zwischenzeit ein Update bekommen, was die Kompatibilität wieder herstellt:
https://wordpress.org/plugins/tinymce-advanced/#developers
Danach ging es weiter in Richtung „Sicherheit“. Die Sicherheitsfixes in Plugins nehmen stark zu, ebenso wie die Meldungen bei HackerOne. Großartige Arbeit macht da Austin Ginder von Anchor Hosting. Seine Blogbeiträge zum Thema sind sehr spannend und dokumentieren seine Vorgehensweise mit AI:
https://anchor.host/blog/
Auch die Verzögerung bei Plugin-Updates (inzwischen auf 6 Stunden reduziert) war wieder Thema:
https://wordpress.org/news/2026/06/pts/
https://torstenlandsiedel.de/2026/06/09/plugin-und-theme-updates-werden-24-stunden-verzoegert/
Hoffentlich bald reduziert auf 0, sofern die KI keine Probleme gefunden hat:
https://github.com/WordPress/wordpress.org/pull/717
Danach kam die Frage auf, warum bei einer einfachen Namenssuche bei Google die Konkurrenz als gesponsortes Ergebnis kommt. Als wir dem nachgegangen sind, bemerkten wir, dass dies wohl keine echte Person ist, sondern eine US-Firma (LLC). Gefunden haben wir das über Googles Ad Transparency Center:
https://adstransparency.google.com/?authuser=0®ion=DE
Die Frage, wie das verhindert werden kann, konnten wir leider nicht lösen :(
Danach kam die spannende Frage nach einer Content Security Policy auf. Leider ist das in WordPress meistens kaum sinnvoll zu konfigurieren, da zu viele Plugins/Themes unsichere Inline-Styles/Skripte nutzen, die einen dazu zwingen unsichere Konfigurationen zu erlauben.
Selber testen:
https://securityheaders.com
Bei der Umsetzung hilft es enorm, dass eine „Report Only“-Option gibt:
https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Content-Security-Policy-Report-Only
Es gibt im offiziellen Plugin-Verzeichnis Unmengen an Plugins, die einem beim Erstellen eines CSP helfen. Ein vielversprechender Kandidat ist „Strict CSP“ von Core-Entwickler Weston Ruter:
https://wordpress.org/plugins/strict-csp/
Danach gab es noch ein paar Plugin-Tipps:
Für das Austesten von größeren Updates empfiehlt sich eine Staging-Umgebung. Eine der einfachsten Lösungen dafür ist das WP-Staging-Plugin:
https://wp-staging.com/
Zum Testen, ob alle Plugins noch aktiv entwickelt/gewartet werden, hilft uns bedauerlicherweise der Core nicht weiter. Aber es gibt Plugins, die diese Lücke schließen:
https://de.wordpress.org/plugins/plugin-report/
Die letzte Frage des Abends betraf das Aufräumen der Datenbank von Überbleibseln, die Plugins hinterlassen haben. Aber diese Plugins sind auch gefährlich, wenn man nicht weiß, was man da tut.
https://de.wordpress.org/plugins/wp-sweep/
https://wordpress.org/plugins/wp-optimize/
Wer manuell checken will, was Plugins hinzufügen, der findet auf dieser Website sogenannte Smoketests, die das erfassen. Hier beispielhaft für WooCommerce:
https://plugintests.com/plugins/wporg/woocommerce/latest