Sicherheit für TYPO3 Erweiterungen: Was wir von Cloudflares EmDash lernen

Cloudflare hat ein neues System namens EmDash vorgestellt. EmDash ist ein Programm für Internetseiten. Entwickler haben es in der Sprache TypeScript geschrieben. Es nutzt die Technik Astro. Es macht Zusatzprogramme auf eine neue Art sicher. Cloudflare hat EmDash am 1. April gezeigt. Viele Menschen waren zuerst skeptisch. Aber das Produkt ist echt. Sie finden den Code auf der Plattform GitHub. Der Aufbau ist sehr gut durchdacht. Bekannte Experten wie Joost de Valk finden das System wichtig.

EmDash ist kein direkter Konkurrent für TYPO3 Agenturen. Aber die Ideen dahinter sind sehr wichtig. Besonders wichtig ist das Konzept für Rechte Listen. Diese Listen heißen Capability Manifest.

Inhaltsverzeichnis  

EmDash: Das neue System von Cloudflare  

Cloudflare hat EmDash am 1. April 2026 veröffentlicht. Das System ist frei für alle. Cloudflare nennt es den Nachfolger von WordPress. Der ganze Code liegt auf GitHub. Das Projekt läuft auf den Servern von Cloudflare. Es läuft auch auf anderen Servern mit der Technik Node.js und SQLite.

Die wichtigste Neuerung ist eine Liste für Rechte. Jedes Zusatzprogramm hat so eine Liste. Diese Liste heißt Capability Manifest. Das Programm sagt darin genau seine nötigen Rechte. Andere Dinge kann das Programm nicht machen. Die Technik von Cloudflare blockiert unerlaubte Dinge streng.

Joost de Valk hat Yoast SEO gegründet. Er ist ein wichtiger Experte für WordPress. Er findet EmDash sehr interessant. Er nennt es die beste Neuerung seit vielen Jahren. Fachzeitschriften sehen das System gut und schlecht zugleich. Die Technik ist sehr gut. Aber WordPress ist viel größer. WordPress hat über 43 Prozent Marktanteil. Es gibt 60.000 Zusatzprogramme für WordPress. EmDash hat es daher schwer.

// EmDash Zusatzprogramm — nutzt genau zwei Rechte
export default () =>
  definePlugin({
    id: "notify-on-publish",
    capabilities: ["read:content", "email:send"],
    hooks: {
      "content:afterSave": async (event, ctx) => {
        if (event.content.status !== "published") return;
        await ctx.email.send({
          to: "redaktion@example.com",
          subject: `Neuer Beitrag: ${event.content.title}`,
        });
      },
    },
  });

Dieses Zusatzprogramm kann nur Inhalte lesen. Es kann auch E-Mails senden. Es kann keine Dateien öffnen. Es kann keine Datenbank ändern. Es sendet keine Daten in das Internet. Das ist technisch unmöglich. Es ist nicht nur eine einfache Regel.

Das Problem bei WordPress und TYPO3  

Fast alle Fehler bei WordPress kommen von Zusatzprogrammen. Das liegt am Aufbau von WordPress. Ein Zusatzprogramm läuft zusammen mit dem Hauptprogramm. Es hat vollen Zugriff auf alle Daten. Es kann alle Dateien und das Netzwerk nutzen. Ein Fehler im Zusatzprogramm macht das ganze System unsicher.

EmDash löst dieses Problem komplett. Jedes Zusatzprogramm läuft streng getrennt. Es nutzt nur die erlaubten Rechte aus seiner Liste.

Welches System ist sicherer? Das ist die falsche Frage. Die richtige Frage ist: Wissen Administratoren genau die Aufgaben der Erweiterungen? Welche Daten liest die Erweiterung EXT:news? Sendet EXT:solr Daten in das Internet? Ändert EXT:gridelements wichtige Teile vom Hauptprogramm?

Was wir von EmDash lernen  

Die Sprache PHP kann Programme nicht streng trennen. Wir können das nicht leicht ändern. Aber wir können das System trotzdem sehr sicher machen. Wir nutzen dafür klare Listen und genaue Prüfungen.

Wir nutzen drei Ideen von EmDash für TYPO3:

1. Rechte Listen — Jede Erweiterung bekommt eine Datei namens Capabilities.yaml. Diese Datei zeigt alle Rechte.
2. Feste Prüfungen — Ein Programm vergleicht die Liste mit dem echten Code.
3. Regeln für die Internetseite — Administratoren bestimmen die erlaubten Rechte.

Das Format für die Liste: Capabilities.yaml  

Jede TYPO3 Erweiterung bekommt eine neue Datei. Sie liegt im Ordner Configuration/Capabilities.yaml:

# EXT:news/Configuration/Capabilities.yaml
capabilities:
  version: "1.0"

  subsystems:
    - database:read
    - database:write
    - database:schema
    - cache:read
    - cache:write
    - file:read
    - content:plugin
    - content:contentElement
    - typoscript:provider
    - cli:command
    - routing:enhancer
    - tca:override

  database:
    own_tables:
      - tx_news_domain_model_news
      - tx_news_domain_model_tag
      - tx_news_domain_model_link
    reads:
      - pages
      - tt_content
      - sys_file_reference
      - sys_category
    writes:
      - tx_news_domain_model_news
      - tx_news_domain_model_tag

  network:
    outbound: []

  risk:
    level: "low"
    justification: "Inhalts Erweiterung ohne Verbindungen nach außen"

Administratoren sehen hier sofort alle wichtigen Dinge. Diese Erweiterung nutzt eigene Tabellen. Sie liest einige Tabellen vom Hauptprogramm. Sie sendet keine Daten in das Internet. Sie ändert keine Funktionen vom Hauptprogramm. Die Gefahr ist gering.

Bewertung der Gefahr  

Unser Prüfprogramm rechnet eine Gefahr aus. Es nutzt dafür die gefundenen Rechte:

Stufen der Gefahr: 0 bis 4 bedeutet gering. 5 bis 9 bedeutet mittel. 10 bis 14 bedeutet hoch. Über 15 bedeutet kritisch.

Das Programm für die Kommandozeile  

Unser freies Paket webconsulting/typo3-capability-manifest hat drei Befehle:

# Liste aus dem Code erstellen
typo3 capability:generate news

# Das Ergebnis:
# ✓ Capabilities.yaml written to:
#   vendor/georgringer/news/Configuration/Capabilities.yaml
# Detected: database:read, database:write, content:plugin, ...
# Risk score: 4 (LOW)

Regeln für die Internetseite  

Administratoren können genaue Regeln für große Firmen machen. Sie bestimmen die erlaubten Rechte:

# config/capability-policy.yaml
policy:
  name: "Enterprise Strict"

  deny:
    - xclass:override
    - network:outbound:any

  review_required:
    - auth:provider
    - site:middleware
    - network:outbound

  max_risk_score: 12
  require_manifest: true

Vergleich: EmDash und Listen für TYPO3  

Was die Prüfung findet  

Das Programm nutzt ein Werkzeug namens nikic/php-parser. Damit liest es den Code. Es sucht nach bekannten Mustern in den Dateien:

Beispiele für bekannte Erweiterungen  

Wir haben das Programm mit bekannten Erweiterungen getestet. Hier sehen Sie die Gefahr von einigen Beispielen:

Der Plan für die Zukunft  

Installation und Nutzung  

# Hier finden Sie das Projekt
# Repository: https://github.com/dirnbauer/typo3-capability-manifest

# Beispiele nach der Installation auf Ihrem Computer
./vendor/bin/capability-audit capability:generate news \
  --extension-path=vendor/georgringer/news

# Eine Prüfung starten
./vendor/bin/capability-audit capability:audit news \
  --extension-path=vendor/georgringer/news

# Alle Erweiterungen gegen Regeln prüfen
./vendor/bin/capability-audit capability:policy-check \
  --policy=config/capability-policy.yaml \
  --project-root=.

Das Ergebnis  

EmDash zeigt die Zukunft für sichere Zusatzprogramme im Jahr 2026. Alles ist klar sichtbar und prüfbar. EmDash wird WordPress vielleicht nicht ersetzen. WordPress ist einfach zu groß. Aber wir können die guten Ideen sofort nutzen.

Das bedeutet für TYPO3: Wir müssen nicht auf eine neue Technik warten. Wir haben schon heute klare Listen und strenge Prüfungen. Wir haben genaue Regeln. Das gibt uns Kontrolle und Transparenz für große Kunden.

Die wichtigsten Punkte:

• Die Sicherheit von Erweiterungen betrifft auch TYPO3. TYPO3 profitiert von den gleichen Ideen wie EmDash.
• Klare Listen und feste Prüfungen bringen fast den gleichen Nutzen wie eine strenge Trennung.
• Sie finden das sichere Programm auf der Plattform GitHub.
• Jede TYPO3 Agentur kann diese Listen ab heute für ihre Erweiterungen nutzen.