Lizenzprüfung: Kunde erhält vermehrt Mails zur Sperrung

[EBL]

Hi,
wir erhalten in bestimmten Installationen immer wieder Mails wegen fehlgeschlagener Lizenzprüfung, Kunden müssen das Backend dann jedes Mal manuell entsperren. Laut Lizenzlog kommt das tw. von Anfragen wie DOMAIN.COM anstatt domain.com, oder auch wdomain.de / wwwdomain.de statt domain.de. Über den Browser lässt sich das nicht nachstellen. In der pct_license Datei und in den Seiteneinstellungen ist alles korrekt hinterlegt.

Wie können wir das verhindern? Müssen wir solche Anfragen via htaccess vorzeitig umleiten? Wie kann es sein, dass komplett falsche requests wie 'wdomain.de' überhaupt durchkommen & die Lizenzprüfung triggern?

[Tim]

Hi,
die Prüfung wird mit Ausführung Contaos gestartet und wird den Lizenz-Server anfragen, wenn abweichende Domains ankommen.

Geschehen die Abfragen im Stillen, sprich irgendwas/wer triggert die Installation? (Cronjobs? Parallelnutzungen, die ggf. nicht umgeleitet werden? )
Und stehen die Domains genauso im Lizenz-Log im Kundenbereich? Sprich die Lizenz-Abfrage bekommt von Contao diese Domains als Host-Information?

wdomain.de / wwwdomain.de

-> das entspricht [www.]wwwdomain.de

Wo kommen diese Namensauflösungen her?

Habt Ihr eine Rewirte-Logik, die ggf. www. entfernt und ohne Punkt an die TL-Domain hängt?

[EBL]

Die Abfragen geschehen im Stillen, ja, gerne nachts & an Wochenenden. Cronjobs gibt es hier keine, Parallelnutzung auch nicht. Die Domains stehen so im Lizenz-Log im Kundenbereich z.B. auch godomain.de statt domain.de. In der htaccess haben wir eigentlich nur die üblichen Weiterleitungen:

RewriteCond %{HTTPS} !=on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

RewriteCond %{HTTP_HOST} ^www\.domain\.com$ [NC]
RewriteRule ^(.*)$ https://domain.com/$1 [R=301,L]

RewriteCond %{HTTP_HOST} www\.domain2\.com$
RewriteRule ^(.*)$ https://domain.com/$1 [L,R=301]

RewriteCond %{HTTP_HOST} domain2\.com$
RewriteRule ^(.*)$ https://domain.com/$1 [L,R=301]

In einer der betroffenen Installationen haben wir die aber auch testweise auskommentiert & dennoch entsprechende Requests inkl. Lizenzsperrung erhalten.

Auszug aus var/logs:

[2025-03-02T22:06:57.423502+01:00] contao.error.ERROR: Page ID "3472" was requested via "DOMAIN.COM" but can only be accessed via "domain.com"
(https://DOMAIN.COM/wandern/baden-wuerttemberg/bodenseeregion.html) []
{"contao":{"Contao\\CoreBundle\\Monolog\\ContaoContext":"{\"func\":\"Contao\\\\FrontendIndex::renderPage\",\"action\":\"ERROR\",\"username\":\"anon.\",\"browser\":\"Mozilla\\/5.0
(Macintosh; Intel Mac OS X 10_15_7) AppleWebKit\\/537.36 (KHTML, like Gecko) Chrome\\/133.0.0.0 Safari\\/537.36\"}"}}

[heartcodiert]

Ich kann das bei einer Installation auch bestätigen, der Kunde ist absolut genervt :/

Es gibt einen Cron, der täglich drüber geht, für den Insta-Feed.
Was ich jetzt umgebogen habe: die Seite lief ohne www und wurde eigentlich auch richtig weitergeleitet, aber vllt wurde es immer mit www aufgerufen. Keine Ahnung.
Im Lizenz-Log steht die Domain in reinen Großbuchstaben. Was bedeutet das? Dass sie wirklich jemand so eingibt? Wie kann ich das abfangen?

[Tim]

Die Abfragen geschehen im Stillen, ja, gerne nachts & an Wochenenden. Cronjobs gibt es hier keine, Parallelnutzung auch nicht. Die Domains stehen so im Lizenz-Log im Kundenbereich z.B. auch godomain.de statt domain.de. In der htaccess haben wir eigentlich nur die üblichen Weiterleitungen:

RewriteCond %{HTTPS} !=on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

RewriteCond %{HTTP_HOST} ^www\.domain\.com$ [NC]
RewriteRule ^(.*)$ https://domain.com/$1 [R=301,L]

RewriteCond %{HTTP_HOST} www\.domain2\.com$
RewriteRule ^(.*)$ https://domain.com/$1 [L,R=301]

RewriteCond %{HTTP_HOST} domain2\.com$
RewriteRule ^(.*)$ https://domain.com/$1 [L,R=301]

In einer der betroffenen Installationen haben wir die aber auch testweise auskommentiert & dennoch entsprechende Requests inkl. Lizenzsperrung erhalten.

Auszug aus var/logs:

[2025-03-02T22:06:57.423502+01:00] contao.error.ERROR: Page ID "3472" was requested via "DOMAIN.COM" but can only be accessed via "domain.com"
(https://DOMAIN.COM/wandern/baden-wuerttemberg/bodenseeregion.html) []
{"contao":{"Contao\\CoreBundle\\Monolog\\ContaoContext":"{\"func\":\"Contao\\\\FrontendIndex::renderPage\",\"action\":\"ERROR\",\"username\":\"anon.\",\"browser\":\"Mozilla\\/5.0
(Macintosh; Intel Mac OS X 10_15_7) AppleWebKit\\/537.36 (KHTML, like Gecko) Chrome\\/133.0.0.0 Safari\\/537.36\"}"}}

Hast du das Lizenz-Loggin mal aktiviert in den Systemeinstellungen?

[Tim]

Ich kann das bei einer Installation auch bestätigen, der Kunde ist absolut genervt :/

Es gibt einen Cron, der täglich drüber geht, für den Insta-Feed.
Was ich jetzt umgebogen habe: die Seite lief ohne www und wurde eigentlich auch richtig weitergeleitet, aber vllt wurde es immer mit www aufgerufen. Keine Ahnung.
Im Lizenz-Log steht die Domain in reinen Großbuchstaben. Was bedeutet das? Dass sie wirklich jemand so eingibt? Wie kann ich das abfangen?

Ja, da wird mit Großbuchstaben aufgerufen. Für die Lizenz-Validierung ist dies aber nicht relevant.

Page ID "3472" was requested via "DOMAIN.COM" but can only be accessed via "domain.com"

Das kommt von Contao direkt, nicht vom Theme,

[Tim]

Server-basierte Cronjobs, die keine Url aufrufen - sondern direkt ein Script ausführen via exec und damit keine Host-Informationen an Contao/PHP liefern, benötigen ggf. die pct_host Datei.
https://service.premium-contao-theme...enzfragen.html

[Tim]

In beiden Fällen bitte in den Systemeinstellungen > Theme-Einstellungen > Lizenz-Logging aktivieren.
Daraufhin werden sämtliche Anfragen an den Lizenz-Server in den System-Log protokolliert und eine /var/pct_license_log geschrieben in der die Curl-Requests protokolliert sind.
In den Logs werden die Domains aufgefangen, die zu einer invaliden Lizenz-Validierung führen.

Die Abfrage nutzt die anfragende Host-Infromation und eine Lizenz-Sperrung kann nur aus dem System selbst heraus erfolgen. Sprich, niemand von extern sperrt das System, ausser er hätte Daten-Zugang oder die Seite ist in anderer Form angreifbar.

[EBL]

Daraufhin werden sämtliche Anfragen an den Lizenz-Server in den System-Log protokolliert und eine /var/pct_license_log geschrieben in der die Curl-Requests protokolliert sind.

Du meinst hier aber nicht die pct_validation_log, oder? Das Lizenz-Logging hatten wir in einer Inst. aktiviert, ich finde aber nur eine pct_validation_log, keine pct_license_log.

Im Systemlog steht dann:

[18.01.2025 09:51] The license information could not be validated. Key: 1234..., Domain: wdomain
[18.01.2025 09:51] Domain has changed! Revalidating license...

[18.01.2025 10:00] [License locked] Admin-Mail has been send to admin@site.de
[18.01.2025 10:00] An e-mail has been sent to admin@site.de

In der pct_validation_log:

18-01-2025 09:51 | https://api.premium-contao-themes.com/license_api.php?domain=wdomain&key=1234...&host=wdomain.de | license status: ACCESS_DENIED | curl_error:
18-01-2025 09:51 | https://api.premium-contao-themes.com/license_api.php?domain=wdomain&key=1234...&host=wdomain.de | license status: ACCESS_DENIED | curl_error:

[Tim]

Da kommt direkt "wdomain" rein. Überschreibst du irgendwo die Host-Information oder änderst du die Domain-Logik in den Systemeinstellungen für Domains mit multiplen Suffixes?

Das ist ne Mulitdomain, oder? Hast du eine pct_host ebenfalls laufen?

[EBL]

Ja, sind Multidomain Installationen. Nein zu allem anderen Müsste man mehrere Domains dann Komma-getrennt in der pct_host hinterlegen oder sich für eine entscheiden?

[Tim]

Ja, sind Multidomain Installationen. Nein zu allem anderen Müsste man mehrere Domains dann Komma-getrennt in der pct_host hinterlegen oder sich für eine entscheiden?

In der pct_host Datei wird eine Domain hinterlegt, die im Falle fehlender Host-Informationen genutzt werden soll.

Ich habe einige fragwürdige Punkte in einer Privaten Nachricht an gesondert Dich geschickt.

Merkwürdig ist, dass es sich um zeitlich sehr versetzte und einzelne Aufrufe handelt.

Ich würde empfehlen mit dem Provider Kontakt aufzunehmen, dieser verwaltet letzten Endes die Server- und Host-Optionen der Domains.
Im Zweifelsfall via htaccess diese Aufrufe umleiten auf die richtigen Domain. - wie auch immer die zustande kommen.

[Tim]

Ich kann das bei einer Installation auch bestätigen, der Kunde ist absolut genervt :/

Es gibt einen Cron, der täglich drüber geht, für den Insta-Feed.
Was ich jetzt umgebogen habe: die Seite lief ohne www und wurde eigentlich auch richtig weitergeleitet, aber vllt wurde es immer mit www aufgerufen. Keine Ahnung.
Im Lizenz-Log steht die Domain in reinen Großbuchstaben. Was bedeutet das? Dass sie wirklich jemand so eingibt? Wie kann ich das abfangen?

Das Problem konnte eingekreist und gelöst werden. Es handelt sich um eine Installation auf einer unlizensierte Domain.

[Tom]

Hi Leute!

Ich schalte mich hier noch einmal in den Thread ein. Fakt ist: Jede Sperrung oder E-Mail-Benachrichtigung hat einen berechtigten Grund. Unser Lizenzsystem arbeitet zuverlässig und greift nur dann ein, wenn es erforderlich ist.

Es gibt definitiv nur einen Grund, warum eine Lizenz gesperrt wird: Lizenzbruch. Wer eine Domain ohne gültige Lizenz betreibt, muss mit einer Sperrung rechnen – das ist kein Fehler des Systems, sondern eine notwendige Schutzmaßnahme.

Ein weiterer Punkt: Multi-Installationen sind ein gesonderter Fall und müssen zwingend mit unserem Support abgestimmt werden. Nur dann kann sichergestellt werden, dass mehrere Domains korrekt auf eine Lizenz geschaltet werden. Wer das nicht tut und eigenmächtig zusätzliche Domains einrichtet, riskiert ebenfalls eine Sperrung.

Ich empfehle dringend, die Lizenz-Logs im Kundenbereich zu überprüfen. Dort lässt sich genau nachvollziehen, welche Anfragen zur Sperrung geführt haben. Zudem sollte sichergestellt werden, dass alle Domains korrekt weitergeleitet werden, um unnötige Abfragen zu vermeiden. Wer Fragen hat, kann sich gerne an den Support wenden – aber bitte mit einer sauberen Lizenzstruktur.

Schöne Grüße
Tom