AddoBase-data: wat je site naar AddoCore stuurt

Deze pagina noemt alle AddoBase-data die je site verlaat: wat een controle naar addocore.com stuurt, wanneer controles lopen, wat AddoCore opslaat en wat het nooit ontvangt. Kort gezegd: het siteadres, drie versienummers en de lijst met AddoCore-plugins. Geen content, gebruikers, bestellingen of klantgegevens.

Wanneer neemt AddoBase contact op met addocore.com?

Een site die gekoppeld is of een licentiesleutel gebruikt, meldt zich op deze momenten bij AddoCore:

• twee keer per dag via WP-Cron, ingepland bij het activeren van AddoBase,
• als iemand het AddoBase-scherm opent en de laatste controle meer dan 5 minuten oud is,
• als je op Check now klikt,
• voordat WordPress naar plugin-updates zoekt, als de laatste controle meer dan een uur oud is,
• na elke keer aan- of uitzetten, via het AddoBase-scherm of het scherm Plugins, en na een add-on-update.

WP-Cron draait bij paginabezoeken. Op een site met DISABLE_WP_CRON en zonder echte cronjob loopt de controle van twee keer per dag niet en blijven alleen de andere momenten over.

Een site die niet gekoppeld is en geen licentiesleutel heeft, vraagt addocore.com alleen naar de nieuwste versie van AddoBase, hooguit eens per 6 uur. Dat verzoek bevat niets over je site.

Welke AddoBase-data stuurt elke controle?

Elke controle stuurt één JSON-body met de sitegegevens en de AddoCore-plugins op de site. Een typische body ziet er zo uit:

{
  "site_url": "https://example.com/",
  "wp_version": "6.8",
  "core_version": "1.0.0",
  "php_version": "8.2.0",
  "installed": [
    { "slug": "addofy", "version": "1.0.0", "active": true }
  ]
}

De lijst installed bevat per plugin de mapnaam, de versie en of hij actief is. Alleen AddoCore-plugins staan erin: plugins waarvan de Update URI naar addocore.com wijst, plus add-ons die zich bij AddoBase hebben aangemeld. Andere plugins en thema’s horen nooit bij de AddoBase-data. Een site die een licentiesleutel gebruikt, stuurt de sleutel ook mee in dezelfde body.

Welke AddoBase-data slaat AddoCore op?

AddoCore slaat het siteadres op, de versies van WordPress en AddoBase en het tijdstip van de laatste controle. Je ziet ze per site in Mijn account → WordPress-plugins als “Last check: 3 hours ago · AddoBase 1.0.0 · WordPress 6.8”. Ook slaat het op welke add-ons voor welke site aanstaan, want dat bepaalt hoeveel sites van je licentie in gebruik zijn.

De PHP-versie wordt niet opgeslagen. Het IP-adres van je server wordt alleen gebruikt voor rate limiting.

AddoCore bewaart het adres zonder https://, www. of slash aan het eind. Zo tellen twee schrijfwijzen van hetzelfde adres nooit als twee sites.

Hoe is AddoBase-data onderweg beveiligd?

Al het verkeer gaat over HTTPS. Daarnaast wordt elk verzoek van een gekoppelde site ondertekend met HMAC-SHA256. De handtekening dekt een tijdstempel in milliseconden, een willekeurige nonce en de exacte body, en gaat mee in de headers X-AddoBase-Site, X-AddoBase-Timestamp, X-AddoBase-Nonce en X-AddoBase-Signature. AddoCore weigert een verzoek dat meer dan 5 minuten van de echte tijd afwijkt en een nonce die het al eerder heeft gezien.

Het secret achter de handtekening kennen alleen de site en AddoCore. Een site met een licentiesleutel ondertekent in plaats daarvan met een SHA-256-hash van de sleutel, in X-MCPL-*-headers.

Op de site worden het secret en de licentiesleutel versleuteld opgeslagen. De encryptiesleutel komt uit de eigen salts van de site in wp-config.php, dus een databasedump alleen geeft ze niet prijs.

Wat stuurt de koppelstap?

Bij koppelen gaat je browser naar addocore.com/my-account/connect-site/. De link bevat het siteadres, de sitenaam, het terugkeeradres in wp-admin, een willekeurige state-waarde en een PKCE code challenge. Het bevestigingsscherm gebruikt de naam en het adres om te vragen “[site] koppelen aan het AddoCore-account [e-mail]?”, met Site koppelen en Annuleren.

Na je bevestiging ruilt de site een eenmalige code (10 minuten geldig) in voor een eigen ID en secret. Die uitwisseling stuurt het siteadres en de versies van WordPress, PHP en AddoBase, maar geen lijst met plugins.

Wat krijgt de site terug?

Het antwoord bevat het e-mailadres van je account in gemaskeerde vorm (bijvoorbeeld m***@example.com) en één vermelding per add-on: de naam, of je een licentie of proefperiode hebt, de einddatum, hoeveel sites in gebruik zijn, of de add-on hier aanstaat, en de nieuwste versie met vereisten, changelog en een downloadlink die 6 uur geldig is. Ook de respijtperiode van 96 uur zit erin. AddoBase bewaart dit antwoord in een WordPress-option, dus het legen van een cache zet nooit add-ons uit.

Welke AddoBase-data wordt nooit verstuurd?

AddoBase verstuurt nooit berichten, pagina’s, media, gebruikers, bestellingen, klantgegevens, instellingen van andere plugins of de lijst met andere plugins en thema’s. Het stuurt ook niets van de voorkant van je site of van je bezoekers.

Wat gebeurt er met AddoBase-data als je ontkoppelt of de plugin verwijdert?

Disconnect in het AddoBase-scherm vraagt AddoCore de site te ontkoppelen en verwijdert daarna het opgeslagen secret en de laatste status van de site. AddoBase verwijderen in het scherm Plugins doet hetzelfde en haalt ook de ingeplande controle weg. AddoBase deactiveren stopt alleen de ingeplande controle; de koppeling blijft, dus na opnieuw activeren hoef je niet opnieuw te koppelen.

Aan de kant van AddoCore houdt een ontkoppelde site zijn vermelding, dus als je hetzelfde adres opnieuw koppelt, wordt die hergebruikt. Voor de variant met licentiesleutel, zie een licentiesleutel gebruiken in plaats van koppelen. Mislukt een controle en wil je weten waarom, dan vind je in probleemoplossing voor AddoBase elke melding. Dit is de volledige lijst met AddoBase-data; verder verlaat er niets de site.