JetFormBuilder: ungültiger Nonce bei aktiviertem LiteSpeed ESI?

Ein JetFormBuilder-Formular funktioniert für Gäste, meldet aber bei angemeldeten Administratoren einen ungültigen Nonce. Im geprüften Fall war LiteSpeed ESI aktiv und das erwartete Feld in der betroffenen Ausgabe nicht vorhanden. Das ist ein anderer Befund als ein vorhandener, inzwischen abgelaufener Sicherheitswert. Q1

Warum diese Unterscheidung wichtig ist

Nonces dienen der Prüfung des beabsichtigten Anfragekontexts. LiteSpeed beschreibt eine besondere Behandlung zeitabhängiger Werte über ESI. Eine längere Lebensdauer kann jedoch kein Feld erzeugen, das bereits bei der Ausgabe fehlt. Der erste Schritt ist deshalb die Beobachtung von Formular und gesendeter Anfrage, nicht das Abschalten der Prüfung. Q2

Teste auf einer Kopie mit einem ungefährlichen Formularziel. Eine erfolgreiche Diagnose soll keine echten Bestellungen, Registrierungen oder Benachrichtigungen unkontrolliert auslösen.

Einen Vergleich über Rollen und Ausgabe erstellen

1. Versionen und Formular festhalten: Notiere LiteSpeed-, JetFormBuilder- und WordPress-Version sowie Formular-ID. Verwende bei allen Vergleichen denselben Entwurf und dieselbe Zielaktion.
2. Gast und betroffene Rolle vergleichen: Öffne getrennte Sitzungen. Prüfe zuerst, ob das Nonce-Feld im laufenden Dokument vorhanden ist, und danach, ob es in der abgesendeten Anfrage ankommt. Ein Feld im Seitenquelltext allein ist kein Beleg für die tatsächliche Übertragung.
3. Fehlend oder ungültig unterscheiden: Fehlt der Wert, untersuche Ausgabe und nachträgliche Änderungen am Formular. Ist er vorhanden, vergleiche Sitzungszustand, Zeitpunkt und die Antwort des Formularendpunkts. Dokumentiere die Werte nur geschützt; öffentlich genügt meist die Aussage vorhanden beziehungsweise nicht vorhanden.
4. ESI auf Staging gezielt vergleichen: Ändere nur diese beteiligte Einstellung und leere den für den Test relevanten Cache. Verschwindet der Unterschied reproduzierbar, ist die Integration eingegrenzt. Daraus folgt noch nicht, dass jede ESI-Funktion der gesamten Website dauerhaft ausgeschaltet werden muss.
5. Passende Herstellerlösung prüfen: Gleiche bekannte Kompatibilitätshinweise und unterstützte Pluginstände mit der eigenen Kombination ab. Ein beliebiges Snippet aus einem anderen Versionsstand ist keine belastbare Standardreparatur.

Nach einer Korrektur

Prüfe Gast, betroffene Rolle und gegebenenfalls eine normale Kundenrolle erneut. Kontrolliere sowohl die Ablehnung unvollständiger Eingaben als auch genau eine erfolgreiche Testaktion. Die Sicherheitsprüfung muss aktiv bleiben; ihr pauschales Umgehen würde aus einem Funktionsfehler eine Schutzlücke machen.

Häufige Fragen

Hilft eine höhere Cache-TTL?

Nicht gegen ein fehlendes Feld. Zuerst muss geklärt sein, ob überhaupt ein Sicherheitswert ausgegeben und gesendet wird.

Ist das ein Beweis für einen Angriff?

Nein. Im beschriebenen Ablauf ist eine Integrationsstörung eine prüfbare Erklärung. Ein Nonce-Fehler allein belegt weder einen Angriff noch die konkrete Ursache.

Warum reicht mein Test als Gast nicht?

Weil das Fehlerbild ausdrücklich an eine angemeldete Rolle gebunden sein kann. Ein funktionierender Gastaufruf prüft diesen Pfad nicht.

Für die weitere Hilfe

Sende Versionen, betroffene Rollen, ESI-Einstellung und den anonymisierten Unterschied zwischen Ausgabe und Anfrage. Zugangstoken oder echte Formularinhalte sind nicht erforderlich.

KAN KAI WORKS kann Formularausgabe, Benutzerrolle und ESI-Verarbeitung gemeinsam eingrenzen. Fall prüfen lassen.