Neu in 2.0¶

Die größte Überarbeitung seit Version 1. Diese Seite nennt, was sich für Sie ändert — die vollständige Liste steht im Changelog.

Ihr Update-Zugang kann fällig sein

Bis 1.1 hat das Plugin den Zugangsschlüssel nicht zuverlässig geprüft, und auf eine fällige Verlängerung von Updates und Support hat es nicht in jedem Fall hingewiesen. Seit 2.0 tut es beides.

Es kann deshalb sein, dass nach dem Update eine Verlängerung ansteht, von der bisher nichts zu sehen war. Was für Ihre Installation gilt, steht unter Update-Zugang.

Lesen Sie zumindest Was sich ändern kann

Drei Dinge können nach dem Update anders sein als vorher, und alle drei meldet das Plugin im Backend. Dazu eine Änderung aus 2.0.1 am Anmeldeformular.

Neue Module¶

Spamschutz ¶

Fünf Schichten gegen automatische Eintragungen, für den Besucher unsichtbar. Kein Bilderrätsel, kein Aufruf nach draußen, keine gespeicherte IP-Adresse. Wer ihn einschaltet, kann das Captcha-Modul mit Google reCAPTCHA abschalten.

Beitragsbenachrichtigung ¶

Ein veröffentlichter Beitrag wird zum Newsletter — sofort oder gesammelt als tägliche oder wöchentliche Zusammenfassung. Mit einem Fenster von 15 Minuten, in dem sich noch alles ändern lässt.

REST-Schnittstelle ¶

Fremdsysteme über HTTP, ohne die PHP-Erweiterung soap. Eigener Schlüssel, eigener Schalter. SOAP läuft unverändert daneben.

Aus „Protokoll" wurden zwei Module¶

	Modul	Fassung
Wer hat den Newsletter bekommen	Versandprotokoll	beide
Wer hat ihn geöffnet und geklickt	Statistik	Pro

War „Protokoll" aktiv, sind nach dem Update beide aktiv, und Ihre Einstellung für den Zählpixel bleibt. Bereits gezählte Öffnungen bleiben erhalten.

Das Anmeldeformular geht jetzt überall hin¶

Bisher ging es auf genau einer Seite — und über ein Widget, das es in den Themes, die WordPress seit 5.9 mitbringt, gar nicht mehr gibt.

Seit 2.0 gibt es vier Wege: Anmeldeseite, Shortcode, Block und „unter jedem Beitrag".

Dazu:

eine kurze Fassung — nur Adresse und Knopf, für den Platz unter einem Blogbeitrag;
eine Gruppe je Formular über groups="…", damit das Formular unter dem Blog in eine andere Gruppe führt als das auf der Angebotsseite;
Rücksprung auf dieselbe Seite nach dem Absenden. Wer sich unter einem Beitrag anmeldet, verliert den Beitrag nicht mehr.

Das Formular arbeitet ausserdem mit dem Browser zusammen: Das Adressfeld ist ein Adressfeld (auf dem Telefon erscheint die Tastatur mit @), die Adressverwaltung kann ausfüllen, und ein Pflichtfeld ist auch für den Browser eines.

Und es sieht nach Ihrer Website aus statt nach einem Formular von 2012: Schrift, Farben und der Knopf kommen jetzt vom Theme.

Zehn neue Vorlagen¶

Schlicht, Kopfbalken, Rahmen, Zeitung, Karte, Breit, Dunkel, Kompakt, Zweispaltig und Brief. Gebaut für Mailprogramme, auch für Outlook, und auf dem Telefon lesbar.

Dazu:

Newsletter → Vorlagen, eine Galerie mit allen Layouts nebeneinander — jedes mit Ihrem Logo, Ihrer Farbe und Ihrem Website-Namen;
eine Akzentfarbe unter Voreinstellungen. Die Schrift darauf wird von selbst schwarz oder weiß;
Logo-Einstellungen: Logo der Website, eigenes Bild oder keines, dazu Ausrichtung und Breite;
Namen statt Dateinamen in der Auswahl — „Schlicht" statt schlicht.phtml.

Ihre bisherigen Layouts bleiben unverändert erhalten und weiter wählbar.

Wenn Sie „Beispiel“ (theme1) kopiert haben: bitte nachsehen

Die Vorlage enthielt ein Musterimpressum mit Telefonnummer und Verweisen auf fremde Domains — wer sie übernahm und die Stelle übersah, versendete fremde Kontaktdaten. Und sie zeigte unser Logo, das damit in jeder Mail stand, ohne dass Sie dem zugestimmt hätten.

Beides ist in der mitgelieferten Fassung behoben. In Ihrer Kopie unter user_views nicht — die fasst kein Update an.

Das Einwilligungsprotokoll¶

Festgehalten wird nicht mehr nur, wann jemand eingewilligt hat, sondern worin — mit dem vollständigen Wortlaut und der Seite, auf der das Formular stand. Zu sehen beim Abonnenten und in der Auskunft nach Art. 15 DSGVO.

Keine IP-Adresse, kein Browser: Der Klick in der Bestätigungsmail ist der stärkere Beleg.

Abonnenten von vor 2.0 behalten ihre beiden Zeitpunkte; ein Wortlaut wird ihnen nicht nachträglich untergeschoben.

Siehe Die Einwilligung.

Statistik mit Klicks und Diagrammen¶

Das Modul „Öffnungen" heißt jetzt Statistik und zählt auf Wunsch auch die Klicks — je Link und Abonnent, mit erstem Klick, letztem Klick und Anzahl.

Neu ist die Seite Newsletter → Statistik mit drei Ansichten, Diagrammen und CSV-Export. Gezeichnet wird auf Ihrem Server, ohne JavaScript und ohne dass etwas nachgeladen wird.

Ab Werk aus, wie die Öffnungszählung: Beide erfassen das Verhalten einzelner Empfänger.

Zwei neue Seiten im Backend¶

Datenerhebung ¶

Was auf Ihrer Installation gespeichert wird — im Kern und in jedem Modul, das bei Ihnen läuft, samt Tabelle, Speicherdauer und dem, was die Installation verlässt. Gedacht als Grundlage für Ihre Datenschutzerklärung.

Pflege ¶

Die Aufgaben, die man selten braucht und dann sofort: Bestandsdaten aufräumen, Schlüssel erneuern, entscheiden, was beim Deinstallieren geschieht.

Das Backend sieht aus wie WordPress¶

Der Konfigurationsbereich ist nicht mehr auf 970 Pixel festgenagelt, sondern füllt das Fenster und bricht auf schmalen Bildschirmen um. Die Reiter sehen aus wie die von WordPress.

Dabei kam heraus, dass die Leiste und die Kästen ihre Hintergrundbilder aus wp-admin/images holten — Dateien, die WordPress Ende 2013 entfernt hat.

Ausserdem:

Die Kästen in den Masken für Newsletter, Abonnenten und Gruppen lassen sich zu- und aufklappen, und der Stand wird je Benutzer gemerkt.
Die Newslettermaske richtet sich nach Ihrem Fenster; unter 960 Pixeln stehen die Einstellungen unter dem Inhalt statt daneben.
Die Zielgruppenauswahl zeigt, wen der Newsletter erreicht — je Gruppe die Zahl der bestätigten Abonnenten, und darunter die Summe der Auswahl, Doppelte einmal gezählt.
Fehlermeldungen stehen am betroffenen Feld statt in einem Systemfenster.

Drei Einstellungen stehen jetzt dort, wo man sie sucht¶

Einstellung	Stand	Steht jetzt
Newsletter im Archiv	Allgemein	Seitenkonfiguration
Abonnent für die Archivansicht	Allgemein	Seitenkonfiguration
Gruppenzuordnung nach Registrierung	Allgemein	Formularkonfiguration

Und „Mailkonfiguration" heißt jetzt Absender und Betreff. Die Adressen bleiben dieselben, Lesezeichen brechen nicht.

Eine neue Installation ist sofort arbeitsfähig¶

Bisher war fast jedes Feld unter Einstellungen leer — und ein leeres Auswahlfeld heißt für den Browser „erster Eintrag". Beim Mailweg war das der MIME-Mailer, beim Anmeldeformular wurden Straße, PLZ und Ort abgefragt, und beim Abmeldelink war „Abonnent löschen" eingestellt.

Jetzt sind sinnvolle Vorgaben gesetzt: Absender aus dem Namen Ihrer Website, WP-Mailer als Mailweg, Anrede/Vorname/Name freiwillig, Anschrift gar nicht, „Bestätigungsmail, Abonnent inaktiv" beim Abmelden.

Bestehende Installationen bleiben unangetastet. Jede dieser Vorgaben gilt nur für eine Neuinstallation.

Was sich beim Update ändern kann¶

Drei Dinge aus 2.0 — alle drei meldet das Plugin im Backend, und alle drei lassen sich mit einem Klick erledigen. Dazu eine Änderung aus 2.0.1, die nichts von Ihnen verlangt.

Ihre Adresse muss auf dem Schlüssel stehen¶

Das betrifft jede gekaufte Installation, die nie eine Domain registriert hat. Bis 1.1 war die Registrierung ein freiwilliger Schritt: Wer den Schlüssel eintrug, arbeitete weiter. Der Schlüsselserver prüft die Adresse nämlich nicht — derselbe Schlüssel antwortete für jede Domain gleich. Die Regel „Pro gilt für eine Domain" stand damit nur auf dem Papier.

Seit 2.0 fragt das Plugin beides: gültiger Schlüssel und registrierte Adresse. Fehlt die Registrierung, läuft es wie eine Testversion und legt sich nach vierzehn Tagen still.

Sie verlieren dadurch keinen Tag. Die Frist beginnt an dem Tag, an dem das Plugin den Zustand zum ersten Mal sieht — nicht an dem, an dem Sie gekauft haben. Eine Meldung im Backend sagt es von der ersten Stunde an und verlinkt den Weg: Konfiguration → Update-Zugang → Domainverwaltung → Diese Domain registrieren. Ein Klick.

Alles dazu steht unter Update-Zugang.

Wer die Newsletterverwaltung öffnen darf¶

Vorgabe sind jetzt Administratoren. Bisher hing es an edit_posts, also auch an Autoren.

Warum: Ein Autor sieht damit die vollständige Abonnentenliste — alle Adressen, alle Namen, alle Anschriften. Und er kann in einen Newsletter HTML schreiben, das in der Vorschau und im Archiv ausgeführt wird.

Haben bei Ihnen Redakteure mit dem Newsletter gearbeitet, stellen Sie es unter Allgemein zurück. Eine bereits eingetragene Einstellung wird nicht angefasst.

Dazu in 2.0.1: eine bekannte Adresse wird nicht mehr abgewiesen¶

Das betrifft jede Installation, auch die kostenlose. Bis 2.0.1 wies das Anmeldeformular jede eingetragene Adresse mit „Es existiert bereits eine Anmeldung" ab — auch die von jemandem, der sich abgemeldet hatte und zurückwollte. Jetzt kommt es auf den Zustand an, und eine Wiederanmeldung funktioniert.

Was Sie merken werden: Abgemeldete können zurückkommen, ohne dass Sie etwas tun, und die Meldung nach dem Abschicken verrät nicht mehr, wer auf Ihrer Liste steht. Wer sich abgemeldet hat, wird dabei nie still wieder aktiv — er bekommt immer erst die Bestätigungsmail.

Die Regeln im Einzelnen stehen unter Das Anmeldeformular platzieren.

Der Mailweg¶

Der MIME-Mailer ist entfallen. Er lief über eine mitgelieferte Klasse von 2005, geschrieben für PHP 4, und konnte nichts, was die anderen beiden nicht besser können.

Wer ihn eingestellt hatte, versendet ab dem Update über den WP-Mailer — dasselbe gilt, wenn nie etwas eingestellt war, denn eine leere Einstellung war genau dieser Weg. Der Absender bleibt derselbe.

Was sich ändern kann: Wer ein SMTP-Plugin einsetzt, versendet ab jetzt über dessen Zugang. In aller Regel besser, gelegentlich anders.

Sicherheit¶

Mehr als zwanzig Punkte. Die, die Sie wissen sollten:


Die Browseransicht gab fremde Newsletter heraus	Mit angehängter Abonnentennummer konnte jeder durch Hochzählen fremde Newsletter ansehen — samt gültigem Abmeldelink. Wer die Liste durchzählte, konnte Ihre Abonnenten abmelden
Das Abmeldeformular verriet, wer auf Ihrer Liste steht	Auf eine unbekannte Adresse antwortete es anders als auf eine eingetragene. Öffentlich, ohne Anmeldung, beliebig oft
„Einstellungen sichern" legte jedes Geheimnis in die Datei	Im Klartext. Wer die Datei bekam, konnte gültige Abmeldelinks für jeden Abonnenten bilden. Jetzt nur noch mit Kennwort und verschlüsselt
Die Links in Mails bekommen ein stärkeres Kennzeichen	Das bisherige ließ sich mit genug Rechenzeit nachbauen
Ein mitgeschnittener SOAP-Aufruf galt unbegrenzt	Jetzt 15 Minuten, und die neue Unterschrift deckt auch die Werte ab
Das Captcha-Modul ließ bei einem Fehler durch	War Google nicht erreichbar, war das Captcha faktisch aus, ohne dass es anders aussah
Keine PHP-Sitzung mehr	Der PHPSESSID-Keks für jeden Besucher, der je eine Meldung sah, entfällt — und mit ihm der Grund, warum ein Seitencache diese Seite nicht mehr auslieferte

Dazu: Prüfwerte bei allen Backend-Aktionen, vorbereitete Datenbankanweisungen durchgängig, Prüfung der Anhänge auf ihren Inhalt statt auf die Endung, Vorlagen nur noch aus den drei vorgesehenen Verzeichnissen.

Weggefallen¶

	Warum
CKEditor	Eine Fassung von 2012 ohne Sicherheitsaktualisierung. Wer ihn gewählt hatte, bekommt den WordPress-Editor
MIME-Mailer	Siehe oben
`composer.phar` (1,8 MB)	Lag ohne Aufgabe im Paket
phpseclib (1,3 MB)	Gehörte zum Einlesen einer Lizenzdatei — diesen Weg gibt es seit 2020 nicht mehr
Haken „Beta Updates laden"	Er schaltete nichts mehr

Wortwahl¶

„Abo-Status" heißt jetzt Edition, „Lizenzverwaltung" heißt Update-Zugang, und ohne Schlüssel steht dort „ohne Update-Zugang" statt „Demo Version" — das Plugin ist auch ohne Schlüssel vollständig.

Neu ist ausserdem, dass der Ablauf Ihres Zugangs in der Pluginzeile steht. Die Meldung dazu schickt unser Updateserver seit jeher mit; angezeigt hat sie das Plugin bis 1.1 nirgends, und der Ablauf fiel erst auf, wenn ein Update ausblieb.

Verkauft wird weder ein Nutzungsrecht am GPL-Code noch ein Abonnement, sondern Updates und Support für zwölf Monate.