{"id":2082,"date":"2026-09-02T12:52:28","date_gmt":"2026-09-02T09:52:28","guid":{"rendered":"https:\/\/allinonewpsettings.com\/blog\/?p=2082"},"modified":"2026-09-10T02:55:46","modified_gmt":"2026-09-09T23:55:46","slug":"wordpress-urls-mit-query-parametern-weiterleiten","status":"publish","type":"post","link":"https:\/\/allinonewpsettings.com\/blog\/de\/wordpress-urls-mit-query-parametern-weiterleiten\/","title":{"rendered":"WordPress-URLs mit Query-Parametern sicher weiterleiten"},"content":{"rendered":"

Eine alte Produktseite verwendet ?produkt=42<\/code>, w\u00e4hrend die neue Struktur die ID im Pfad erwartet. Zugleich sollen Trackingparameter erhalten bleiben. Eine hastig formulierte Regel verliert jedoch den Produktfilter und \u00fcbernimmt einen frei angegebenen Zielhost \u2013 damit wird aus einer Komfortfunktion ein Sicherheitsrisiko.<\/p>\n

Bevor Sie eine URL mit Query-Parametern weiterleiten, brauchen Sie klare Regeln f\u00fcr jeden Parameternamen: Ist er Teil der Ressource, nur vor\u00fcbergehender Zustand oder vertrauliche Eingabe?<\/p>\n

\n

Inhaltsverzeichnis<\/strong><\/p>\n

    \n
  1. Was Query-Weiterleitungen steuern<\/a><\/li>\n
  2. Praxisbeispiel<\/a><\/li>\n
  3. Welche Parameter erhalten bleiben<\/a><\/li>\n
  4. Einfaches Vorgehen<\/a><\/li>\n
  5. Technische und sicherheitsbezogene Pr\u00fcfung<\/a><\/li>\n
  6. Risiken, Backup und Rollback<\/a><\/li>\n
  7. AIOWS Weiterleitungs-Manager<\/a><\/li>\n
  8. Passende Artikel<\/a><\/li>\n
  9. Fazit<\/a><\/li>\n
  10. Quellen<\/a><\/li>\n<\/ol>\n<\/div>\n

    Was Query-Weiterleitungen steuern<\/h2>\n

    Eine Query-Regel legt fest, welche Parameter f\u00fcr das Matching relevant sind und welche Werte das Ziel erh\u00e4lt. Reihenfolge, mehrfache Schl\u00fcssel, leere Werte und URL-Codierung k\u00f6nnen die Bedeutung ver\u00e4ndern. Ein Parameter darf daher nicht pauschal verworfen oder ungepr\u00fcft in eine Ziel-URL kopiert werden.<\/p>\n

    Praxisbeispiel<\/h2>\n

    \/produkt-alt?produkt=42&utm_source=mail<\/code> soll zu \/produkt\/42\/?utm_source=mail<\/code> f\u00fchren. Die Produkt-ID wird nur akzeptiert, wenn sie numerisch ist; das Ziel bleibt auf der eigenen Domain. Ein unbekannter next<\/code>-Parameter wird nicht als Host oder Zielpfad verwendet. Vorschau-Nonces und signierte Downloadwerte fallen gar nicht in den Geltungsbereich.<\/p>\n

    Tests decken eine zweite g\u00fcltige ID, eine fehlende ID, doppelte Schl\u00fcssel, ver\u00e4nderte Reihenfolge und codierte Sonderzeichen ab. Warenkorb, Suche, REST-API und eine normale URL ohne Routingparameter bleiben unver\u00e4ndert.<\/p>\n

    Welche Parameter erhalten bleiben<\/h2>\n

    Gesch\u00e4ftlich notwendige Filter, Produkt-IDs, Sprache oder Pagination k\u00f6nnen Teil der Zielressource sein. Trackingwerte lassen sich je nach Datenschutz- und Analyseregel erhalten oder bewusst entfernen. Nonces, Tokens, Signaturen und private Zust\u00e4nde geh\u00f6ren dagegen nicht in eine \u00f6ffentliche Zieladresse.<\/p>\n

    Eine Positivliste zul\u00e4ssiger Namen und Werteformate ist sicherer als die \u00dcbernahme beliebiger Eingaben. Bauen Sie insbesondere nie einen externen Zielhost aus einem ungepr\u00fcften Parameter; andernfalls entsteht eine offene Weiterleitung, die f\u00fcr Phishing missbraucht werden kann.<\/p>\n

    Einfaches Vorgehen<\/h2>\n
      \n
    1. Notieren Sie f\u00fcr jede reale Quell-URL Pfad und relevante Parameter.<\/li>\n
    2. Definieren Sie erlaubte Namen, Werteformate und das feste Ziel.<\/li>\n
    3. Entscheiden Sie ausdr\u00fccklich, welche Trackingwerte erhalten bleiben.<\/li>\n
    4. Schlie\u00dfen Sie Admin, Login, REST, Vorschau, Checkout und signierte Downloads aus.<\/li>\n
    5. Testen Sie g\u00fcltige, fehlende, zus\u00e4tzliche, doppelte und codierte Werte.<\/li>\n<\/ol>\n

      Technische und sicherheitsbezogene Pr\u00fcfung<\/h2>\n

      Vergleichen Sie die rohe und die decodierte Query. Pr\u00fcfen Sie Pluszeichen, Prozentcodierung, Arraynotation und wiederholte Schl\u00fcssel. WordPress, Webserver und CDN k\u00f6nnen Werte unterschiedlich normalisieren. Die Regel muss auf allen tats\u00e4chlich beteiligten Ebenen dieselbe Bedeutung haben.<\/p>\n

      Verfolgen Sie den ersten Statuscode und Location<\/code>-Header ohne automatisches Folgen. Ein Query-Redirect sollte in der Regel nur f\u00fcr GET-Anfragen vorgesehen sein; bei POST, Webhooks oder Formularen kann ein Redirect Methode und Body beeinflussen. Achten Sie au\u00dferdem darauf, dass private Varianten nicht in einem gemeinsam genutzten Cache landen.<\/p>\n

      Risiken, Backup und Rollback<\/h2>\n

      Lockere Muster verlieren Filter, ver\u00e4ndern Codierung oder erfassen sicherheitsrelevante Routen. Ungepr\u00fcfte Ziele erm\u00f6glichen offene Redirects. Exportieren Sie bestehende Regeln und protokollieren Sie die zugelassenen Parameter, bevor Sie die \u00c4nderung aktivieren.<\/p>\n

      Bei einem falschen Ziel oder verlorenen Wert deaktivieren Sie die neue Regel. Stellen Sie keine weiteren Transformationen dar\u00fcber. Vergleichen Sie anschlie\u00dfend die urspr\u00fcngliche Anfrage mit dem erwarteten Ziel und korrigieren Sie die Positivliste.<\/p>\n

      \n

      So unterst\u00fctzt AIOWS:<\/p>\n

      AIOWS Weiterleitungs-Manager<\/h2>\n

      AIOWS Weiterleitungs-Manager stellt unterst\u00fctzte WordPress-Weiterleitungen zentral bereit. F\u00fcr eine klar definierte alte URL kann dort eine nachvollziehbare Quelle-Ziel-Zuordnung verwaltet werden. Ob und wie Query-Parameter in einer konkreten Regel behandelt werden, muss vorab anhand des tats\u00e4chlichen Anwendungsfalls festgelegt werden.<\/p>\n

      Beginnen Sie mit einer kleinen Positivliste und einem festen internen Ziel. Testen Sie die gespeicherte Regel mit g\u00fcltigen und ung\u00fcltigen Werten, ver\u00e4nderter Reihenfolge, fehlenden Parametern und einer normalen Kontroll-URL. Pr\u00fcfen Sie Statuscode, Location<\/code>, Endinhalt und Canonical in einer Sitzung ohne Administrator-Cookie.<\/p>\n

      Der Manager kann keine fachliche Bedeutung unbekannter Parameter erkennen und darf nicht als Ersatz f\u00fcr Validierung oder Zugriffskontrolle dienen. Externe Hosts, Tokens und signierte Werte werden nicht ungepr\u00fcft \u00fcbernommen. Verursacht die Regel einen offenen Redirect, einen verlorenen Filter oder unerwartete Treffer, wird sie deaktiviert und enger neu entworfen.<\/p>\n

      AIOWS Weiterleitungs-Manager ansehen<\/a>AIOWS-Tarife vergleichen<\/a><\/p>\n<\/section>\n

      Passende Artikel<\/h2>\n