HTML sicher in Elementor einfügen: Was entfernt wird und warum

HTML in eine laufende WordPress-Website einzufügen ist ein Vertrauensakt – besonders, wenn das HTML aus einer Vorlage, von einer KI oder von einer fremden Website stammt. Die sicherste Methode ist nicht Vorsicht, sondern genau zu wissen, was entfernt wird, bevor irgendetwas Ihren Editor erreicht. Hier ist diese Liste – und die Vorgehensweisen, die den Rest abdecken.

Was entfernt wird, bevor Sie überhaupt einfügen

Die Konvertierung läuft vollständig in Ihrem Browser, und das Ergebnis sind Elementor-Daten – nicht das ursprüngliche Markup. Auf dem Weg dorthin wird Folgendes entfernt oder unschädlich gemacht:

• Jedes script-Tag. Kein JavaScript aus der Quelle bleibt erhalten, ohne Ausnahme. Alles Interaktive kommt als statisches Markup an, das Sie mit Elementors eigenen Widgets neu aufbauen.
• Jeder Inline-Event-Handler. Attribute wie onclick und onmouseover werden von jedem Element einzeln entfernt – der klassische Weg, Skripte durch Markup zu schmuggeln, das „keine script-Tags enthält“.
• Formularziele. action und method eines Formulars werden entfernt. Die sichtbaren Felder bleiben, aber ein eingefügtes Formular kann niemals unbemerkt die Daten Ihrer Besucher an den Verfasser der Originalseite senden.
• Unbekannte Einbettungen. Die Tags object, embed und applet werden blockiert. Iframes sind von genau vier Hosts erlaubt – YouTube, dessen nocookie-Variante und dem Vimeo-Player – und werden zu Video-Widgets; jedes andere Iframe wird nicht als aktiver Frame übernommen. Auch das Attribut srcdoc, das ein ganzes Dokument in einem iframe-Tag verstecken kann, wird entfernt.
• Gefährliche Linkziele und riskantes CSS. Linkziele und Stildeklarationen werden bereinigt, statt wörtlich kopiert zu werden.

Alles Entfernte wird im Sicherheitsbericht auf dem Ergebnisbildschirm aufgeführt. Das geschieht also nicht stillschweigend – Sie können genau nachlesen, was aus Ihrer konkreten Seite entfernt wurde, bevor Sie sie einfügen.

Warum das CSS nicht in Ihr Theme durchsickern kann

Das subtilere Risiko beim Einfügen von gestyltem HTML ist nicht Böswilligkeit, sondern Kollision: Das Stylesheet der Quellseite deklariert body { font-family: … } oder h2 { color: … }, und diese Regeln gestalten Ihre gesamte Website um.

Um das zu verhindern, werden übernommene Stile gekapselt. Jeder Selektor im importierten CSS wird so umgeschrieben, dass er nur innerhalb des importierten Inhalts gilt – und Selektoren, die auf html, body oder :root zielen, werden auf den importierten Block selbst umgeleitet, statt Ihre Seite erreichen zu dürfen. Der importierte Abschnitt behält sein Aussehen; Ihr Theme bekommt diese Regeln nie zu sehen.

Aus derselben Überlegung wird position: fixed bei der Konvertierung auf absolute herabgestuft: Ein fixiertes Element von einer fremden Seite würde sonst über Ihrer gesamten Website schweben, auf jeder Seite, die die Vorlage verwendet.

Was „sicher“ nicht bedeutet

Zwei ehrliche Grenzen. Erstens kann das Tool Ihre Inhalte nicht prüfen – wenn das HTML Texte, Bilder oder Links enthält, an denen Sie keine Rechte haben, ändert die Konvertierung daran nichts. Zweitens geht es beim Entfernen darum, was ausgeführt wird und wohin Daten fließen; es wird nicht geprüft, was die Seite aussagt. Lesen Sie, was Sie einfügen.

Bewährte Vorgehensweisen vor dem Einfügen

• Konvertieren, niemals roh einfügen. Der gefährliche Weg ist, fremdes Markup wörtlich in ein HTML-Widget einzufügen – auf diesem Weg wird gar nichts entfernt, und es wird alles übernommen, was die Quelle enthielt. Die Konvertierung in native Widgets ist die Sicherheitsschicht.
• Lesen Sie den Sicherheitsbericht auf dem Ergebnisbildschirm. Wenn er vier entfernte Skripte und ein bereinigtes Formular auflistet, wissen Sie, welches Verhalten Sie neu aufbauen müssen – und was die Originalseite getan hat.
• Fügen Sie zuerst in einen Entwurf ein. Nicht, weil die Konvertierung riskant wäre, sondern weil die Layoutprüfung auf eine Seite gehört, die niemand besucht.
• Verbinden Sie Formulare bewusst neu. Das Sendeziel wurde absichtlich entfernt; verknüpfen Sie das Elementor-Formular-Widget mit Ihren eigenen Aktionen, statt nach dem ursprünglichen Ziel zu suchen.
• Halten Sie in jedem Fall Backups vor. Ein Standardratschlag für jeden Import jeder Art, mit jedem Tool.

Und Ihr eigenes HTML verlässt nie Ihren Browser

Sicherheit gilt auch in der anderen Richtung. Die Seite, die Sie konvertieren, wird lokal geparst, gerendert und konvertiert – Ihr HTML und Ihre Bilder werden weder auf diese Website noch anderswohin hochgeladen, es gibt kein Konto, das kompromittiert werden könnte, und nichts berührt Ihre WordPress-Zugangsdaten. Das Tool erzeugt Daten; was damit geschieht, entscheiden Sie in Ihrem eigenen Editor.

Die sicherste Methode in einem Absatz

Konvertieren Sie im Native-Komponenten-Modus, statt rohes HTML in ein Widget einzufügen. Lesen Sie den Sicherheitsbericht. Fügen Sie in einen Entwurf ein, bauen Sie die interaktiven Teile mit Elementors eigenen Widgets neu auf, verbinden Sie das Formular wieder mit Ihrer Website und veröffentlichen Sie, sobald es an allen drei Breakpoints richtig aussieht. Das ist die ganze Methode – das oben beschriebene Entfernen kümmert sich um den Teil, den Sie nicht sehen können, und die Checkliste um den Teil, den Sie sehen.