Vom 5. bis 8. August 2026 hat sich die TYPO3-Community im GenoHotel in Karlsruhe getroffen: ein Workshop-Tag, drei Konferenztage, knapp 40 Sessions, dazu Zertifizierungen vor Ort und drei Abende, die das Programm inoffiziell verlängert haben. Das Motto der TYPO3 Developer Days 2026: „Next Gen TYPO3, Exploring Tomorrow“.
Für Sascha war es mehr als ein Konferenzbesuch. Neun Jahre nach seinen letzten Developer Days war er wieder dabei und diesmal nicht nur im Publikum, sondern als Speaker mit Phirewall und der Firewall-Extension für TYPO3 im Gepäck.
Die Developer Days sind so etwas wie das Klassentreffen der TYPO3-Community. Genau deshalb war die Rückkehr nach neun Jahren auch keine Reise ins Ungewisse. Viele Gesichter kennt man aus Issues, Pull Requests und Slack-Threads, manche noch von damals, einige zum ersten Mal in echt. Nach fünf Minuten im Foyer fühlt es sich an, als wäre man nie weg gewesen.
Ein Samstagnachmittag für Phirewall
Bots, Scanner und automatisierte Exploits treffen jede öffentliche PHP-Anwendung. Jeden Tag.
Am Samstag um 14:30 Uhr stand Sascha im Raum ZDREI auf der Bühne: „Phirewall: Protection at the Application Layer“. Der Ausgangspunkt des Talks ist derselbe, der auch das Projekt begründet hat: Bots, Schwachstellen-Scanner und automatisierte Exploits treffen jede öffentlich erreichbare PHP-Anwendung. Nicht vielleicht, nicht irgendwann, sondern jeden Tag.
Die Lehrbuchantwort darauf, eine vorgelagerte Web Application Firewall zwischen Internet und Server, scheitert in der Praxis oft am Hosting: Managed-Umgebungen ohne tiefen Zugriff, Abhängigkeit von der internen IT, Zusatzkosten, Datenschutzfragen. Phirewall setzt deshalb dort an, wo die Anwendung tatsächlich lebt: als PSR-15-Middleware direkt im Request-Lifecycle, ohne Root-Rechte, ohne spezielles Hosting. Angriffe werden erkannt und geblockt, bevor sie die teure Verarbeitung dahinter überhaupt erreichen und weil die Firewall in der Anwendung sitzt, sieht sie Dinge, die ein vorgelagerter Proxy nie zu Gesicht bekommt: wiederholte Login-Fehlschläge, Formular-Spam, auffällige Muster im eigenen Code.
Der Talk hat den Bogen vom Problem über die Architektur bis zur Konfiguration in PHP gespannt: Safelists, Blocklists und Throttles als Basis, darauf aufbauend Fail2Ban, Bot-Detection und die OWASP-Regeln und als Abschluss die Extension EXT:firewall, die Phirewall samt Backend-Werkzeugen tief in TYPO3 integriert. Dass jede Regel eine normale PHP-Closure ist, versioniert im selben Repository wie der Rest des Projekts, war dabei einer der Punkte, die im Publikum sichtbar Anklang gefunden haben.
Dass das Thema auf den Developer Days landet, hat eine schöne Logik: Phirewall wurde aus dem TYPO3 Community Budget gefördert und kam in Karlsruhe damit genau dorthin zurück, wo es entstanden ist, in die Community.
Wer den Talk verpasst hat, muss auf nichts verzichten: Die Slides stehen online und was Phirewall im Detail kann, haben wir im ersten Teil unserer Blog-Serie aufgeschrieben. Wie sich ein Abend mit Phirewall in kleiner Runde anfühlt, steht im Bericht vom FTUG-Meetup bei uns in Butzbach.
Das Programm: v14 zum Anfassen, KI als roter Faden
Eröffnet haben die Konferenztage Tom Warwick und Kendall Litton mit ihrer Keynote „All Good Things“. Danach fächerte sich das Programm in zwei parallele Tracks auf und wie immer war das eigentliche Problem, sich entscheiden zu müssen.
Auffällig viel Raum bekam TYPO3 v14 und zwar nicht als Folienshow, sondern zum Anfassen: Simon Praetorius hat mit „Fluid Detected“ die nächste Generation des Templatings gezeigt, Jigal van Hemert die kleinen, im Alltag umso wirksameren Neuerungen der Version und Matthias Vogel einen visuellen Editor, der echtes WYSIWYG-Editing nach TYPO3 bringt.
Der rote Faden durch alle drei Tage war aber, wenig überraschend, KI. Benni Mack hat vorgeführt, wie mehrere AI-Agents mit DDEV und Git Worktrees parallel an einem Projekt arbeiten. Andreas Wolf hat den Gegenpol gesetzt und gezeigt, welche Leitplanken ein Team braucht, bevor KI überhaupt an den Code darf. Wolfgang Wagner ging der Frage nach, wie TYPO3-Seiten für AI-Suchsysteme zitierbar werden und Martin Helmich, wie Inhalte aus TYPO3 den Weg in die eigene KI finden. Dass dieselben Fragen uns seit Monaten beschäftigen, zuletzt beim FTUG-Abend und auf dem Shopware Community Day, macht sie nicht kleiner: Die Branche sortiert sich gerade neu und TYPO3 sortiert mit.
Dazwischen das solide Handwerk, das eine Entwicklerkonferenz ausmacht: ein Upgrade-Analyzer auf Basis von Rector und Fractor von Simon Schaufelberger, Refactoring-Praxis, Testing, Susanne Moog mit einem ehrlichen Blick darüber, wie andere CMS dieselben Redaktionsaufgaben lösen und Kai Grosz mit der Erinnerung, dass Accessibility kein Edge Case ist, sondern Grundausstattung.
Zwischen den Sessions
Was die Developer Days von anderen Konferenzen unterscheidet, passiert zwischen den Talks. Die Gespräche beim Kaffee, die spontanen Code-Reviews am Laptop, die Diskussionen, die eine Session aufmacht und die dann den ganzen Abend weiterlaufen. Das Rahmenprogramm hat dafür jeden Tag eine eigene Bühne gebaut: Coding Night am Donnerstag, Bowling Night am Freitag, Social Night am Samstag, dazwischen das traditionelle Gruppenfoto vor dem Hotel.
Genau diese Mischung macht den Wert der Veranstaltung aus. Man kommt wegen des Programms und bleibt wegen der Menschen. Für Sascha hieß das: Wiedersehen mit Weggefährten aus mehr als 20 Jahren TYPO3, neue Gesichter aus der nächsten Generation der Community und viele Gespräche über Sicherheit in PHP-Projekten, die direkt an den Talk angeknüpft haben.
Wie es weitergeht
Karlsruhe war für Phirewall die bisher größte Bühne, aber sicher nicht die letzte. Die Entwicklung geht weiter, ebenso unsere Blog-Serie, die als Nächstes tiefer in Rate Limiting, Brute-Force-Schutz und die OWASP-Regeln einsteigt. Wer nicht warten will: phirewall.de zeigt den Einstieg, EXT:firewall bringt das Ganze in bestehende TYPO3-Projekte und ein Stern auf GitHub hilft mehr, als man denkt.
Bleibt der Dank: an das Orga-Team, an alle Speaker für drei dichte Tage und an die Community fürs Wiedersehen und die vielen netten Gespräche. Bis zu den nächsten Developer Days. Diesmal ganz sicher ohne neun Jahre Pause.