Abruf vom Webhosting per SFTP oder FTPS

Agent Franz holt die Zugriffsprotokolle Ihrer Website selbst beim Webhoster oder von Ihrem Server ab, jeden Morgen und einmal sofort nach dem Aktivieren. Dafür richten Sie einmal einen Zugang per SFTP oder FTPS ein. Beim Hoster läuft dafür kein zusätzliches Programm.

Voraussetzungen

• Die Rolle Admin im Arbeitsbereich. Alle anderen Mitglieder sehen auf der Einrichtungsseite den Satz Nur Admins dieses Arbeitsbereichs können den Abruf einrichten oder ändern.
• Ein Hoster oder Server, der SFTP oder FTPS (FTP mit Verschlüsselung) anbietet. Unverschlüsseltes FTP bietet Agent Franz nicht an.
• Der Server ist aus dem Internet erreichbar. Adressen im eigenen Netz lehnt Agent Franz ab.
• Zugriffsprotokolle im Format von Apache, nginx oder IIS, als einfache oder mit gzip gepackte Dateien.

Einrichtungsseite öffnen

Öffnen Sie im Menü Traffic die Seite Überblick, dann Integration einrichten und Webhosting (SFTP, FTPS). Die Seite führt in nummerierten Schritten durch die Einrichtung. Das Fragezeichen neben dem Titel öffnet diese Hilfeseite.

Weg und Anmeldung wählen

Unter Wo liegt Ihre Website? wählen Sie Webhoster oder Eigener Linux-Server.

Beim Weg über den Webhoster wählen Sie zusätzlich, wie Agent Franz sich anmeldet: SFTP mit Schlüssel, SFTP mit Passwort oder FTPS mit Passwort. Bietet Ihr Hoster die Anmeldung per SSH-Schlüssel an, wählen Sie den Schlüssel. FTPS meldet sich immer mit Benutzer und Passwort an.

Bei Anmeldung per Schlüssel zeigt der nächste Schritt den Öffentlicher Schlüssel dieses Arbeitsbereichs. Agent Franz erzeugt ihn für Ihren Arbeitsbereich. Er ist nicht geheim; Sie kopieren ihn und tragen ihn beim Hoster oder auf dem Server ein. Den passenden privaten Schlüssel kennt nur Agent Franz, er wird nie angezeigt. Über Neuen Schlüssel erzeugen erzeugen Sie einen neuen. Den alten löschen Sie danach beim Hoster selbst, und bis Sie den Zugang neu getestet und aktiviert haben, holt Agent Franz keine Logs ab.

Zugang beim Hoster anlegen

Die Seite nennt vier Schritte, die bei den meisten Hostern passen:

1. Legen Sie in den Einstellungen Ihres Webhosters im Projekt der Website einen neuen Benutzer an, für SFTP oder, wenn Ihr Tarif kein SFTP bietet, für FTP.
2. Stellen Sie den Zugriff, wenn möglich, auf „nur lesen“ und das Basisverzeichnis auf den Log-Ordner Ihres Webservers.
3. Wenn Ihr Hoster es anbietet, wählen Sie die Anmeldung per SSH-Schlüssel und fügen Sie den Schlüssel von dieser Seite ein.
4. Tragen Sie hier Server und Benutzernamen des neuen Benutzers ein.

Menünamen eines bestimmten Hosters nennt die Seite nicht, weil sie sich oft ändern. Den Log-Ordner müssen Sie nicht kennen: Bleibt das Feld leer, sucht Agent Franz ihn beim Test selbst.

Ein Zugang, der nur den Log-Ordner lesen kann, ist die beste Wahl. Agent Franz selbst listet nur Ordner auf und liest Dateien. Ein Zugang mit Schreibrechten bleibt trotzdem ein Risiko, falls die Zugangsdaten in falsche Hände geraten. Lässt Ihr Hoster keinen solchen Zugang zu, rät die Seite davon ab, den Abruf einzurichten.

Zugang auf dem eigenen Linux-Server anlegen

Auf dem Weg Eigener Linux-Server zeigt die Seite hinter Einrichtungsbefehle anzeigen die Befehle für Ubuntu und Debian, mit dem Schlüssel Ihres Arbeitsbereichs schon eingesetzt. Sie wählen vorher, ob der Server mit Apache oder nginx läuft. Die Befehle führt der Administrator des Servers einmal mit Administratorrechten aus, in sechs Schritten:

1. Benutzer ohne Anmeldeshell anlegen: einen Systembenutzer agentfranz ohne Anmeldeshell.
2. Abgeschlossenen Ordner vorbereiten: den Ordner /srv/agentfranz, der root gehört.
3. Log-Ordner nur lesbar einhängen: den Log-Ordner des Webservers (/var/log/apache2 oder /var/log/nginx) schreibgeschützt unter /srv/agentfranz/logs einhängen, dauerhaft über /etc/fstab.
4. Leserechte auf die Logs geben: Leserechte für agentfranz auf den Log-Ordner, auch für künftige Dateien.
5. SSH auf reines SFTP im Ordner beschränken: in /etc/ssh/sshd_config.d/90-agentfranz.conf den Benutzer auf reines SFTP im Ordner beschränken, ohne Weiterleitung und ohne Terminal.
6. Schlüssel von dieser Seite eintragen: den öffentlichen Schlüssel in /etc/ssh/agentfranz_authorized_keys eintragen.

Jeder Schritt lässt sich ein zweites Mal ausführen, ohne dass sich etwas ändert. Danach erzwingt OpenSSH, dass der Zugang nur lesen kann. Nutzt Ihr Server AllowUsers oder AllowGroups, nehmen Sie agentfranz dort auf. Liegen im Log-Ordner auch Logs fremder Websites, legen Sie für diese Website einen eigenen Log-Ordner an und hängen nur diesen ein.

Zugangsdaten eintragen

Unter Zugangsdaten eintragen tragen Sie Server, Benutzer und, bei Anmeldung mit Passwort, das Passwort ein.

• Bei SFTP steht im Feld Port der übliche Port 22. Ändern Sie ihn nur, wenn Ihr Hoster einen anderen nennt.
• Bei FTPS gibt es kein Feld für den Port. Agent Franz versucht beim Test Port 21 und, wenn nötig, Port 990. Tragen Sie als Server den Namen ein, den Ihr Hoster für FTP nennt, keine IP-Adresse und nicht Ihre eigene Domain. Auf diesen Namen ist das Zertifikat des Servers ausgestellt.
• Das Feld Log-Ordner ist freiwillig. Ein Ordner beginnt mit „/“.

Unter den Feldern steht ein Hinweis zu Zugängen mit Schreibrechten. Speichern bleibt ausgegraut, bis die Felder gültig ausgefüllt sind und Sie das Kästchen unter dem Hinweis angekreuzt haben. Ein gespeichertes Passwort bleibt erhalten, wenn Sie das Feld später leer lassen, solange Protokoll, Server, Port und Benutzer gleich bleiben.

Verbindung testen und aktivieren

Nach dem Speichern erscheint der Schritt Verbindung testen. Agent Franz meldet sich an, sucht die Log-Dateien und liest eine kleine Stichprobe. Das Ergebnis steht in sechs Zeilen:

• Server erreichbar
• Anmeldung
• Server-Kennung
• Log-Ordner
• Log-Format
• Domains

Höchstens 20 Tests je Stunde und Arbeitsbereich sind möglich.

Aus dem Ergebnis wählen Sie:

• die Datei-Gruppe. Dateien mit demselben Namen und verschiedenen Endungen, etwa access.log, access.log.1 und access.log-20260911.gz, bilden eine Gruppe. Liegen die Logs mehrerer Websites im Ordner, gibt es eine Gruppe je Website. Vorausgewählt ist die Gruppe, deren Name die Domain des Arbeitsbereichs enthält.
• die Domains, falls die Zeilen eine Domain enthalten. Enthalten sie keine, übernimmt Agent Franz alle Zeilen der gewählten Dateien; die Seite sagt das vor dem Aktivieren.

Mit Übernehmen und aktivieren wird der Abruf aktiv, und der erste Abruf beginnt sofort.

So sehen Sie, dass es klappt

• Oben auf der Einrichtungsseite steht die Karte Stand des Abrufs mit dem Zustand Aktiv, dem Letzter erfolgreicher Abruf und der Zahl der Eingelesene Dateien und Eingelesene Zugriffe.
• Auf der Seite Überblick erscheinen die Zahlen. Dort gibt es auch das eingeklappte Abruf-Protokoll mit den abgerufenen Dateien.
• Kommen mehr als zwei Tage lang keine neuen Zugriffe an oder ist der Abruf gestoppt (wechselt Ihr Server die Logdatei seltener, wartet die App entsprechend länger), zeigt die Seite Überblick oben einen Hinweis mit der Schaltfläche Zur Einrichtung.

Was der tägliche Abruf holt

Jeden Morgen holt Agent Franz neue, abgeschlossene Log-Dateien der gewählten Gruppe, die höchstens 90 Tage alt sind. Die Datei, in die der Webserver gerade schreibt, nimmt er nie. Rotiert Ihr Server seine Logs nicht, findet der Abruf deshalb nichts; die Testverbindung weist darauf hin.

Eine Datei, die größer als 50 MB oder entpackt größer als 1 GiB ist, übernimmt Agent Franz nicht. Sie steht im Protokoll als nicht übernommen.

Abruf ändern, pausieren oder trennen

Auf der Karte Stand des Abrufs gibt es Pausieren, Fortsetzen und Verbindung trennen. Beim Trennen löscht Agent Franz die gespeicherten Zugangsdaten; bereits eingelesene Daten bleiben. Den Zugang beim Hoster löschen Sie selbst. Haben Sie einen bestehenden Zugang wie das Hauptkonto eingetragen, ändern Sie dort das Passwort oder entfernen den Schlüssel.

Eine geänderte Auswahl von Datei-Gruppe oder Domains gilt ab dem nächsten Abruf.

Server-Kennung und Zertifikat

Bei SFTP merkt sich Agent Franz beim ersten Test die Kennung des Servers. Weist sich der Server später anders aus, meldet Agent Franz sich nicht mehr an, und der Abruf ist gestoppt. Das passiert, wenn der Hoster den Server neu aufsetzt, aber auch, wenn jemand die Verbindung umleitet. Starten Sie dann einen neuen Test und übernehmen Sie die neue Kennung mit Neue Kennung übernehmen nur, wenn Ihr Hoster den Wechsel bestätigt. Danach testen Sie erneut und aktivieren den Abruf wieder.

Bei FTPS prüft Agent Franz bei jeder Verbindung das Zertifikat des Servers. Ein gültiges neues Zertifikat für denselben Servernamen übernimmt er ohne Ihr Zutun.

Typische Fehler

Die Meldungen stehen an der Zeile des Tests, die nicht geklappt hat, und auf der Karte Stand des Abrufs.

• Der Server war nicht erreichbar. Prüfen Sie den Servernamen und, bei SFTP, den Port.
• Die Anmeldung wurde abgelehnt. Prüfen Sie den Benutzer und ob der Schlüssel oder das Passwort beim Hoster eingetragen ist.
• Diese Adresse ist nicht erlaubt. Agent Franz verbindet sich nur mit öffentlich erreichbaren Servern.
• Den Log-Ordner haben wir nicht gefunden. Geben Sie den Ordner an, in dem die Zugriffs-Logs liegen.
• Der Server verweigert den Zugriff auf den Log-Ordner.
• Im Log-Ordner liegen keine Zugriffs-Logs, die Agent Franz lesen kann.
• Das Format der Log-Zeilen kennt Agent Franz nicht. Lesbar sind die üblichen Zugriffs-Logs von Apache, nginx und IIS.
• Die Logs liegen in einem Archivformat, das Agent Franz nicht liest. Lesbar sind einfache und mit gzip gepackte Dateien.
• Der Server bietet keine verschlüsselte Verbindung an. Agent Franz meldet sich nur verschlüsselt an. Prüfen Sie in den Einstellungen Ihres Hosters, ob FTPS (FTP mit TLS) für diesen Benutzer eingeschaltet ist.
• Das Zertifikat des Servers passt nicht zum eingetragenen Servernamen oder ist nicht gültig. Tragen Sie den Servernamen ein, den Ihr Hoster für FTP angibt, nicht Ihre eigene Domain.
• Die Anmeldung hat geklappt, aber der Server öffnet keine Datenverbindung. Meist blockiert eine Firewall den passiven Modus. Fragen Sie Ihren Hoster, ob passives FTP über TLS für diesen Benutzer erlaubt ist.
• Der Server weist sich anders aus als beim ersten Kontakt. Der Abruf ist gestoppt, bis Sie die neue Kennung prüfen und übernehmen.

Beim Speichern oder Testen kann außerdem erscheinen:

• In der letzten Stunde wurde sehr oft getestet. Bitte versuchen Sie es später noch einmal.
• Der Ordner muss mit „/“ beginnen und darf kein „..“ enthalten.
• Bitte geben Sie das Passwort ein. Nach einer Änderung von Server, Port, Benutzer oder Protokoll brauchen wir es neu.

Im Musterkunden lässt sich der Abruf nicht einrichten. Dort steht Im Musterkunden nicht verfügbar. Hier sehen Sie Beispieldaten.

Datenschutz

Wie Agent Franz mit den abgerufenen Daten und den gespeicherten Zugangsdaten umgeht, steht in der Datenschutzerklärung.