PowerPHPBoard ist ein schlankes, sicheres Forum-System in PHP - 2001 von Stefan "BFG" Kramer im Stil klassischer phpBB- und vBulletin-Foren entwickelt und 2026 vollständig modernisiert. Es läuft auf PHP 8.4 mit Strict Types und PDO, bringt ein durchgängiges Bootstrap-5-Frontend mit und bleibt dabei bewusst überschaubar: Kategorien, Boards, Themen und Beiträge, dazu ein Adminbereich, der ohne Handbuch verständlich ist.
Seit Version 2.3 richtet ein Web-Installer das Forum ein - auch auf Shared Hosting ohne Kommandozeile. Dateien per FTP hochladen, leere Datenbank beim Hoster anlegen, /install/ aufrufen: Der Assistent prüft den Server, testet die Datenbankverbindung, fragt Forum-Daten und SMTP-Zugang ab (mit Anmeldung, STARTTLS oder SSL und einer Test-Mail) und legt das erste Administrator-Konto an. Die Zugangsdaten landen in einer geschützten config.local.php, danach sperrt sich der Installer selbst. Einen Standard-Administrator mit bekanntem Passwort gibt es nicht mehr.
Die Sicherheitsschicht wurde für 2.3 noch einmal gründlich überprüft: Beiträge werden immer zuerst maskiert, Links nur mit http(s) zugelassen, Reset-Links ausschließlich aus der konfigurierten Board-URL gebaut, deaktivierte Konten sofort abgemeldet, Passwörter privater Boards als Argon2id-Hash gespeichert und der SMTP-Versand gegen das Einschleusen fremder Empfänger abgesichert. Dazu kommen CSRF-Token auf allen Formularen, Prepared Statements, Rate-Limiting für Anmeldung, Passwort-Reset und Board-Passwörter sowie HttpOnly-Sitzungen mit SameSite=Strict.
Zu jedem Arbeitsschritt gibt es eine vertonte Video-Anleitung mit Untertiteln: von der Installation über Grundeinstellungen, Forenstruktur und private Boards bis zu Registrierung, Beiträgen mit BBCode, Moderation und Passwort-Reset - jeweils mit Praxistipps, die im Alltag eines Forenbetreibers Zeit und Ärger sparen. Quellcode, Releases und Dokumentation liegen offen auf GitHub, das Forum steht unter der MIT-Lizenz.
Features
PowerPHPBoard ist ein vollständiges Foren-System für PHP 8.4 - die folgenden Bausteine decken Installation, Forum-Funktionen, Adminbereich, Sicherheit und Toolchain ab.
Web-Installer: Einrichtung in fünf Schritten im Browser - Systemprüfung, Datenbank, Forum, Administrator, Abschluss; sperrt sich nach der Installation selbst.
Mailversand über jeden SMTP-Server: Anmeldung per AUTH PLAIN/LOGIN, STARTTLS oder SSL/TLS, Test-Mail direkt im Installer, eigener Absender mit Reply-To.
Forum-Struktur: Kategorien, Boards, Themen und Beiträge mit Themen-Symbolen, Seitenblättern und "Springe zum letzten Beitrag".
Geschlossene und private Boards: Ankündigungsboards, in denen nur Administration und Moderation schreiben, sowie passwortgeschützte Boards für Vorstand oder Team.
Moderation: Mehrere Moderatoren je Board, Themen schließen, öffnen und löschen, IP-Anzeige nur für Berechtigte.
Benutzerverwaltung: Konten anlegen, bearbeiten und deaktivieren; der letzte Administrator ist gegen versehentliches Aussperren geschützt.
Mitglieder und Profile: Registrierung mit Bestätigungsmail, Anmeldung per E-Mail-Adresse, Signatur, Biografie, Kontaktformular ohne Preisgabe der Adresse, neutrale Forenränge.
BBCode und Smilies: Fett, kursiv, Zitat, Code-Block, Links und Bilder; Webadressen werden automatisch verlinkt, HTML ist standardmäßig aus.
Mehrsprachig: Deutsch-Sie, Deutsch-Du und Englisch als vollständige, synchron gepflegte Sprachpakete in UTF-8.
Bootstrap-5-Frontend: Responsives Layout mit Cards, Tabellen und Formular-Validierung, Bootstrap-Icons, dunkle Forum- und rote Admin-Navigation.
Passwort vergessen: Einmal-Link mit einer Stunde Gültigkeit, neutrale Meldungen gegen das Ausspähen registrierter Adressen.
Argon2id: Für Benutzer- und Board-Passwörter, alte Hashes werden beim nächsten Login automatisch umgestellt.
Schutz vor Angriffen: CSRF-Token, Prepared Statements, konsequentes Maskieren aller Ausgaben, Rate-Limiting für Anmeldung, Reset und Board-Passwörter.
Sichere Sitzungen: HttpOnly-Cookies mit SameSite=Strict, Secure-fähig; deaktivierte Konten werden sofort abgemeldet.
Video-Anleitungen: Acht vertonte Schritt-für-Schritt-Videos mit Untertiteln und Praxistipps, direkt hier auf der Projektseite.
Getestet: PHPUnit-Suite mit Unit- und Feature-Tests, PHPStan, Psalm, PHPMD und PHP-CS-Fixer ohne Befund in einer GitHub-Actions-Pipeline auf PHP 8.4.
Docker-Stack für Entwickler: Forum, MySQL, Mailpit und phpMyAdmin per docker compose, Testkonten nur lokal.
Voraussetzungen:PHP 8.4 oder neuer mit PDO (pdo_mysql), mbstring und - für verschlüsselten Mailversand - openssl, dazu MySQL 8 oder MariaDB 10.5+ und ein E-Mail-Postfach für den Versand. Composer und Docker sind nur für die Entwicklung nötig.
Geeignet für Vereinsforen, Hobby-Communitys, Projekt- und Supportforen sowie als Lehrbeispiel für eine sauber modernisierte Legacy-PHP-Anwendung. Wer ein schlankes Forum auf eigenem Webspace betreiben möchte, ohne ein großes Community-System zu pflegen, findet hier einen überschaubaren, gut dokumentierten Einstieg.
Vom entpackten Archiv zum laufenden Forum: Dateien per FTP hochladen, Datenbank beim Hoster anlegen und den Web-Installer von PowerPHPBoard 2.3 in fünf Schritten durchlaufen, inklusive SMTP-Versand und erstem Administrator.
Boardtitel, Board-URL, Admin-E-Mail und Sprache richtig setzen: warum die Board-URL für jeden Mail-Link zählt, wann Sie oder Du passt und weshalb HTML in Beiträgen ausgeschaltet bleiben sollte.
Eine Kategorie mit Boards anlegen, Moderatoren per E-Mail-Adresse eintragen und ein geschlossenes Board für Ankündigungen einrichten, mit Tipps zu Reihenfolge und Umfang der Forenstruktur.
Ein passwortgeschütztes Board für Vorstand oder Team anlegen und aus Mitgliedersicht freischalten: wie oft das Passwort nötig ist, wie Sie den Kreis neu festlegen und was privat von geschlossen unterscheidet.
Wie sich neue Mitglieder registrieren, welche Mail sie erhalten und wie sie Profil und Signatur pflegen, mit Hinweisen zur Anmeldung per E-Mail-Adresse und zum Schutz der eigenen Adresse.
Ein Thema mit BBCode, Link, Code-Block und Smiley eröffnen, gezielt zitieren, eigene Beiträge bearbeiten und über den Pfeil direkt zum neuesten Beitrag springen.
Einen Spam-Beitrag prüfen, schließen und löschen, die IP-Adresse verantwortungsvoll nutzen und das Konto im Adminbereich deaktivieren statt löschen, mit dem, was Moderatoren dürfen.
Der Weg über „Passwort vergessen“: Link per Mail, Gültigkeit und Einmalnutzung, neutrale Meldungen gegen das Ausspähen von Adressen und die Sperre nach zu vielen Fehlversuchen.
