Direkt nach dem Wechsel von Staging auf die Produktionsdomain meldet die WordPress-Anmeldung einen ungültigen reCAPTCHA-Website-Schlüssel. Der sichtbare Schlüssel stammt aus einer anderen Property, während der gespeicherte Geheimschlüssel zu einer früheren Integrationsart gehört. Domain, Version und Schlüsselpaar passen nicht mehr zusammen.
Dieser Beitrag zeigt, wie Sie die fehlerhafte Zuordnung finden, alte Ausgaben beseitigen und die reparierte Anmeldung sicher testen.
- Was das Thema bedeutet
- Ein realistisches WordPress-Beispiel
- Warum es wichtig ist und wann es eingesetzt wird
- Der einfache Weg für Einsteiger
- Der technische Weg
- Risiken, häufige Fehler, Backup und Rollback
- Wie AIOWS unterstützt: AIOWS Login Manager
- Passende AIOWS-Artikel
- Fazit und empfohlener Weg
- Offizielle Quellen
Was „ungültiger Website-Schlüssel“ bedeutet
Der Website-Schlüssel identifiziert die reCAPTCHA-Integration im Browser. Der Anbieter lehnt ihn ab, wenn er nicht zur verwendeten Version, zum aktuellen Hostnamen oder zur aktiven Property passt. Die serverseitige Prüfung benötigt außerdem den zugehörigen Geheimschlüssel.
Ein WordPress-Kennwort kann diesen Fehler nicht beeinflussen. Die Ursache liegt in der reCAPTCHA-Konfiguration, im ausgegebenen Client-Skript oder in einem alten Cache. Website-Schlüssel und Geheimschlüssel dürfen nicht vertauscht werden.
Realistisches WordPress-Beispiel
Eine Website wurde von staging.example.comauf www.example.comverschoben. Das Login lädt weiterhin den öffentlichen Schlüssel der Staging-Property. Zusätzlich hat das Team von einer Checkbox-Integration zu einer anderen reCAPTCHA-Variante gewechselt, ohne ein passendes neues Schlüsselpaar zu hinterlegen.
Die Administration bestätigt im Anbieterkonto Typ und registrierte Hosts, trägt das zusammengehörige Produktionspaar neu ein und leert nur den betroffenen Konfigurations- und Login-Cache. Im privaten Browser zeigt die Seite danach den neuen Website-Schlüssel; der Server akzeptiert den erzeugten Token.
Warum die genaue Schlüsselpaarung wichtig ist
Der öffentliche Website-Schlüssel darf im Browser erscheinen, der Geheimschlüssel dagegen nie. Beide gehören zur selben Property und Integrationsart. Ein Schlüssel aus einer anderen Umgebung kann trotz ähnlicher Bezeichnung abgelehnt werden oder die Servervalidierung scheitern lassen.
Die Diagnose ist besonders nach Domainwechseln, Staging-Übernahmen, Plugin-Wechseln oder einer Änderung der reCAPTCHA-Version sinnvoll. Erscheint der Fehler bereits vor der eigentlichen Anmeldung, müssen zunächst Host und Client-Konfiguration geprüft werden.
Der einfache Weg für Einsteiger
- Öffnen Sie das reCAPTCHA-Anbieterkonto über einen autorisierten Zugang.
- Prüfen Sie Property, Integrationsart und registrierte Hostnamen.
- Vergleichen Sie Produktions-, Staging-, www- und Hauptdomain ausdrücklich.
- Bestätigen Sie, welcher Wert der sichtbare Website-Schlüssel und welcher das Geheimnis ist.
- Hinterlegen Sie das exakte Schlüsselpaar ohne zusätzliche Leerzeichen oder Anführungszeichen.
- Leeren Sie nur den Cache, der noch den alten Schlüssel ausgibt.
- Testen Sie Login und Passwort-Reset abgemeldet.
Technische Diagnose
Notieren Sie die genaue Anbietermeldung, den aufgerufenen Host, die Login-URL und die verwendete Integrationsart. Prüfen Sie im Quelltext und Netzwerk-Tab, welcher Website-Schlüssel tatsächlich ausgeliefert wird. Suchen Sie nach konkurrierenden Einbindungen durch ein zweites Sicherheitsplugin, Theme, Tag Manager oder gecachtes HTML.
Kontrollieren Sie anschließend die serverseitige Validierung mit dem zugehörigen Geheimschlüssel. Wird das Geheimnis im HTML, in Browser-JavaScript, Screenshots, Logs oder Tickets sichtbar, genügt eine Konfigurationskorrektur nicht: Der Schlüssel muss im Anbieterkonto rotiert und der alte widerrufen werden.
Risiken, häufige Fehler, Backup und Rollback
Erlauben Sie nicht vorschnell breite Fremddomains und deaktivieren Sie reCAPTCHA nicht dauerhaft, nur um die Fehlermeldung zu verbergen. Eine globale Cache-Leerung kann die Ursache verschleiern; entscheidend ist, welcher Wert anschließend im anonymen Browser ausgeliefert wird.
Sichern Sie die bisherige Login-Konfiguration und halten Sie einen Notfallzugang offen. Scheitern Login oder Passwort-Reset nach dem Austausch, stellen Sie das vorige Paar nur dann wieder her, wenn es nicht kompromittiert ist, und prüfen Sie Property und Integrationsart erneut.
Wie AIOWS unterstützt:
AIOWS Login Manager
Der AIOWS Login Manager bündelt die unterstützte reCAPTCHA-Konfiguration für die WordPress-Anmeldung. Bei einem ungültigen Website-Schlüssel lässt sich dadurch an einer zentralen Stelle prüfen, welches Schlüsselpaar für die Integration hinterlegt ist. Die Fehlermeldung selbst muss trotzdem mit der tatsächlichen Anbieter-Property, Schlüsselart und Domainzuordnung abgeglichen werden.
Halten Sie vor der Änderung eine aktive Administratorsitzung, einen dokumentierten Notfallzugang und eine Sicherung der bisherigen Login-Einstellungen bereit. Vergleichen Sie die in AIOWS hinterlegte Konfiguration mit dem autorisierten reCAPTCHA-Anbieterkonto. Übernehmen Sie ausschließlich das zusammengehörige Paar für die richtige Umgebung und ändern Sie zunächst keine anderen Schutzregeln.
Nach dem Speichern kontrollieren Sie den anonym ausgelieferten Login. Im Browser darf nur der öffentliche Website-Schlüssel erscheinen. Der Geheimschlüssel bleibt serverseitig geschützt. Prüfen Sie, ob ein Token erzeugt, an WordPress gesendet und dort erfolgreich validiert wird. Wiederholen Sie den Ablauf für Passwort-Reset und jeden weiteren von der Integration unterstützten Login-Weg.
Der Login Manager kann keine falsche Domainfreigabe im externen Anbieterkonto korrigieren und keinen bereits offengelegten Geheimschlüssel sicher machen. In diesem Fall müssen Sie den Schlüssel beim Anbieter rotieren und alte Werte widerrufen. Dokumentieren Sie Property, Integrationsart, erlaubte Hosts, verantwortliche Person und Testdatum ohne Geheimnisse. So bleibt die Reparatur nachvollziehbar und die neue Konfiguration bei Bedarf gezielt rücksetzbar.
Passende AIOWS-Artikel
- reCAPTCHA zur WordPress-Anmeldeseite hinzufügen
- Anmeldeversuche in WordPress begrenzen
- WordPress-Login-Aktivitätsprotokolle auswerten
Fazit
Ordnen Sie Website- und Geheimschlüssel derselben Property, Integrationsart und Umgebung zu. Prüfen Sie die tatsächlich ausgelieferte Browserkonfiguration und die serverseitige Validierung. Wurde das Geheimnis offengelegt, rotieren Sie es statt es lediglich erneut einzutragen.
