Websites herunterladen, die Caldera Forms nutzen

Über Caldera Forms

Ein Plugin verschwindet nicht an dem Tag aus dem Web, an dem seine Autoren aufhören, daran zu arbeiten. Caldera Forms zeigt diese Verzögerung besonders deutlich. Als Drag-and-Drop-Formularbaukasten für WordPress entwickelt, fand das Plugin seine Anhänger eher unter Entwicklern als unter Endnutzern, denn sein Prozessor-System erlaubte es, eine Einsendung ohne handgeschriebenen Code an ein CRM, ein Zahlungs-Gateway oder einen internen Endpunkt weiterzuleiten. Das Projekt wechselte den Eigentümer und wurde dann eingestellt. Caldera Forms verschwand aus dem offiziellen Plugin-Verzeichnis und lässt sich nicht mehr neu installieren. Die Formulare, die bereits auf Live-Websites eingebunden waren, sammelten aber weiter Daten.

Genau diese Lücke zwischen dem Ende der Entwicklung und dem Verschwinden von den Websites messen unsere Daten. Stand Oktober 2026 erfassen wir Caldera Forms auf 2.145 Websites. Installationen von Caldera Forms laufen mit einer in PHP geschriebenen Codebasis unter der Lizenz GPL v2, ohne Upstream-Maintainer, ohne Kanal für Sicherheitsupdates und ohne Tests gegen aktuelle WordPress-Versionen. Ein eingefrorenes Formular-Plugin ist eine heikle Sache, denn es nimmt nicht vertrauenswürdige Eingaben an, schreibt Einsendungen in die Datenbank und berührt meist auch den E-Mail-Versand.

An der Versionsspalte zeigt sich, wie es zum Einfrieren kam. Unsere Daten enthalten 71 verschiedene Versionen des Plugins, und die aktiven Installationen konzentrieren sich um Version 1.9.7. Eine so breite Streuung bei einem Plugin, dessen erste Version aus dem Jahr 2013 stammt, zeigt, dass Updates auf diesen Websites nie Routine waren, und als die Update-Hinweise ausblieben, gab es nichts mehr, was auch nur eine von ihnen vorangebracht hätte.

Daraus ergibt sich die kommerzielle Lesart. Konkurrierende Formularbaukästen suchen einen Bestand an Migrationskandidaten. Sicherheitsanbieter und Managed Hoster wollen wissen, welche ihrer Kunden ungewarteten Code zur Verarbeitung von Eingaben mit sich herumtragen. Agenturen, die Wartungsverträge verkaufen, suchen Websites, deren Inhaber ihren Plugin-Stack nachweislich nicht mehr im Blick haben. Nichts davon funktioniert Domain für Domain. Ein Abfrage-Tool zeigt Ihnen, ob eine einzelne Website das Plugin einsetzt, was nützlich ist, wenn Sie die Website schon kennen. Die exportierbare Liste stellt die Frage umgekehrt und liefert den Bestand selbst, und nur in dieser Form stellt sich die Frage, wenn Sie einen Markt vermessen oder eine Ansprache planen.

Die Erkennung beruht hier auf Fingerabdrücken und verdient einen klaren Vorbehalt. Wir sehen das Plugin über die Asset-Pfade, das Markup und die Generator-Strings, die es im öffentlichen HTML hinterlässt. Ein Formular hinter einem Login, eine Seite, auf die nichts verlinkt, oder eine Installation mit umbenannten Dateien wird deshalb nicht erfasst. Die Zahl ist als Zahl der Websites zu verstehen, auf denen das Plugin auf einer crawlbaren Seite sichtbar vorhanden ist, und nicht als vollständige Erhebung aller Installationen. Bei einem eingestellten Plugin geht die Verzerrung in Richtung Untererfassung.