Eine Web-Engine,
gebaut wie ein Betriebssystem

BeamReactor ist keine Ansammlung von Skripten. Es ist ein System, das um einen zentralisierten Kern aufgebaut ist — die XDP-Engine — inspiriert von der internen Struktur eines Betriebssystems.

Jede HTTP-Anfrage tritt über einen einzigen Punkt ein. Der Kern übernimmt Routing, Durchsetzung der Sicherheitsprotokolle, Session-Management, Plugin-Laden und Ausgabe-Rendering. Kein PHP-Skript kann ausgeführt werden, ohne ihn zu durchlaufen. Das ist keine Konvention — es ist eine strukturelle Unmöglichkeit, die durch die Architektur selbst erzwungen wird.

Diese Zentralisierung garantiert die einheitliche Anwendung der Sicherheitsprotokolle über das gesamte System hinweg, von der Benutzerauthentifizierung bis zum endgültigen Seitenrendering. Plugins können die Sanitization nicht umgehen, keine rohen SQL-Abfragen senden und die Ausführung nicht abbrechen (exit / die sind strukturell verboten). Der Kern behält immer die Kontrolle für einen ordnungsgemäßen Session-Abschluss und eine kohärente Fehlerbehandlung.

Jede Funktion in BeamReactor lebt als autonomes Plugin. Der Kern routet, sichert und orchestriert — nicht mehr. Das bedeutet, dass die Angriffsfläche einer Installation exakt proportional zu dem ist, was aktiviert wird. Ein inaktives Plugin bedeutet null Zeilen exponierten Codes.

Wenn ein Plugin aufgerufen wird, übernimmt die Engine automatisch das Laden der Konfiguration, die Einbindung der Bibliotheken, die Sprachauswahl basierend auf der Benutzersprache und die Routenregistrierung. Mehrere Plugins koexistieren auf derselben Seite ohne Kollision — jedes arbeitet in seinem eigenen Namespace mit eigenen CSS- und JavaScript-Ressourcen.

Jedes Plugin enthält seine eigene Dokumentation (/doc/), seine eigene Testsuite (/tests/), seine eigene Moderationskartografie für DSGVO-Konformität (.moderation.json) und seine eigene Sitemap-Deklaration (.sitemap.json) für die Suchmaschine. Installation ist ein Ordner-Drop. Entfernung ist ein Ordner-Löschen.

Sicherheit in BeamReactor ist keine nachträglich aufgesetzte Schicht. Sie ist die Architektur selbst. Jedes Datum, das in das System ein- oder austritt, durchläuft Sanitizer\Parser, der gegen strikte Typen validiert: primitive Typen (Bool, Int, Float, String mit Längenbeschränkungen), strukturierte Typen (E-Mail, URL, UUID, IP, Datum, JSON), erweiterte Typen (HTML mit Tag-Whitelist, Markdown, SQL nur als Prepared Statements) und Geschäftstypen (Dateien mit MIME-/Größen-/Erweiterungsvalidierung, Bilder, Tokens).

Datenbankinteraktionen verwenden ausschließlich Prepared Statements. Direkte Parameterverkettung ist strukturell unmöglich durch die SQL-Abstraktionsschicht (BDAL). Das System erkennt und verhindert SQL-Injection, XSS, String-Overflow-Angriffe, Shell-Command-Injection, Path-Traversal und NaN/Infinity-Manipulation.

Sessions werden durch permanentes IP-Tracking, User-Agent-Fingerprinting, adaptive Anfragenratenbegrenzung und zeitgebundene Ablaufzeiten geschützt. Die Authentifizierung nutzt Argon2id serverseitig und PBKDF2 clientseitig mit individuellem Salt pro Benutzer, 2FA und einmaligen Anti-CSRF-Tokens. Aktive Honeypots — versteckte Formularfelder, Fallen-URLs, Anfragezeitanalyse — identifizieren und isolieren Angreifer, bevor sie Ihre Daten erreichen.

BeamReactor verwaltet Berechtigungsstufen dynamisch. Die Standardwerte werden in der Konfiguration definiert, können aber zur Laufzeit aus der Datenbank oder aus einem Include überschrieben werden — basierend auf Serverlast, Bedrohungsstufe oder Plugin-Performance.

Bei hoher Last werden ressourcenintensive Plugins automatisch auf Benutzer höherer Berechtigungsstufen beschränkt. Bei einem Angriff kann das System den Zugriff ohne Neudeployment auf Administratoren beschränken. Ein Plugin, das eine Sekunde Generierungszeit überschreitet, wird automatisch unter Quarantäne gestellt — deaktiviert für normale Benutzer, während Administratoren für die Diagnose Zugriff behalten.

Das ist Load-Balancing auf Anwendungsebene, basierend auf der Berechtigungshierarchie. Das System misst die Generierungszeit pro Plugin, bewertet die aktuelle Last gegen Verbindungsanzahl und Kapazität, entscheidet über Zugriffsbeschränkung und bewahrt den Admin-Zugriff für die Diagnose. Kein menschliches Eingreifen erforderlich. Ein fehlerhaftes oder angegriffenes Plugin bringt die Seite nicht zum Absturz — es isoliert sich selbst.

BeamReactor basiert auf einem einfachen Prinzip: Benutzerdaten gehören dem Benutzer. Minimale Erfassung, verschlüsselte sensible Daten, kein Drittanbieter-Tracking, echte Löschung (kein Soft-Flag) und vollständiger Datenexport. Diese Prinzipien waren seit 2003 vorhanden — zwölf Jahre bevor die DSGVO entworfen wurde.

Jedes Plugin enthält eine .moderation.json-Datei, die genau kartiert, welche Benutzerdaten es speichert und wie diese Daten bei Anonymisierung, Löschung oder Beschwerdebearbeitung behandelt werden sollen. Bei einer DSGVO-Anfrage durchläuft die Engine die Moderationskartografie jedes installierten Plugins und führt die entsprechende Aktion aus — anonymisieren, löschen oder exportieren — ohne manuellen Eingriff pro Plugin.

Ebenso deklariert jedes Plugin eine .sitemap.json, die seinen öffentlichen Inhalt für die interne Suchmaschine und den Sitemap-Generator kartiert. Dies stellt sicher, dass die Inhaltsindexierung stets genau, stets aktuell und stets unter der Kontrolle des Plugin-Autors steht, anstatt von einem fragilen globalen Crawler abhängig zu sein.

Selbst die Dokumentenformate sind auf Performance ausgelegt. Die .dta- und .err-Formate sind Zero-Parse, Zero-DB, Zero-Funktion zur Laufzeit: eine Direktive pro Zeile, Schlüssel-Wert getrennt durch Leerzeichen, einmal beim Bootstrap in reine PHP-Konstanten geladen und von opcache gecacht. Das Parsing dauert unter 0,01µs. Eine vollständige Fehlerseite wiegt unter 2 KB.

Der WYSIWYG-Editor, das Mehrsprachigkeitssystem, die Analytics-Engine, der Bot-Katalog — keiner dieser Komponenten hängt von externen Diensten ab. Kein Google Analytics, keine CDN-Abhängigkeit, keine externen Skripte, die nach Hause telefonieren. Alles läuft auf Ihrem Server, unter Ihrer Kontrolle.

BeamReactor wurde seit 2003 vom selben Architekten entworfen, entwickelt und gewartet. Es gab keine Übergaben, keine Neuentwicklungen, keine Komitee-Entscheidungen. Jede Codezeile folgt derselben Security-First-, Performance-First-Philosophie, die am ersten Tag festgelegt wurde.

Das Ergebnis ist eine architektonische Konsistenz, die kein Community-getriebenes CMS erreichen kann. Der Code ist zu 100% auditierbar. Die Sicherheitsbilanz ist öffentlich: null bekannte CVEs in 22 Jahren. Das System läuft mit null Drittanbieter-Abhängigkeiten — kein Composer, kein Node, kein Build-Schritt. Per FTP hochladen, konfigurieren, starten.

Populäre CMS-Plattformen sind massive Ziele. Eine in WordPress entdeckte Schwachstelle betrifft Millionen von Seiten gleichzeitig. BeamReactors einzigartige Architektur und seine vertrauliche Installationsbasis machen es strukturell uninteressant für automatisierte Angreifer — Sicherheit durch architektonische Originalität, ergänzend zu echter technischer Sicherheit.