Anwendungspasswörter

Warum es für WordPress wichtig ist

Mobile-Apps, CLI-Werkzeuge und Automatisierungen brauchen oft API-Zugriff. Anwendungspasswörter geben ihnen ein widerrufbares Geheimnis, statt das echte Admin-Passwort in einem Drittdienst zu speichern. Sie tragen trotzdem die Rechte des Benutzers. Ein App-Passwort auf einem Administrator ist Admin-Macht, wenn es leakt.

So zeigt es sich in der Praxis

• Bereich „Anwendungspasswörter“ im Benutzerprofil in wp-admin
• REST- oder XML-RPC-artige Basic Auth mit username plus App-Passwort
• Übrig gebliebene App-Passwörter für Werkzeuge, die niemand mehr nutzt
• Websites, die die Funktion ganz abschalten, wenn sie keine Integrationen haben

Was Sie tun sollten

1. Legen Sie App-Passwörter nur für Benutzer an, die die Integration brauchen, möglichst nicht auf geteilten Allmacht-Konten.
2. Widerrufen Sie Passwörter, wenn ein Werkzeug abgelöst wird oder ein Freelancer geht.
3. Nehmen Sie die niedrigste Rolle, die für die Integration noch funktioniert.
4. Wenn Sie keine App-Integrationen nutzen, ist das Abschalten der Anwendungspasswörter eine faire Härtung.
5. 2FA an der menschlichen Anmeldung zählt weiter. App-Passwörter sind ein separates Geheimnis, das Sie schützen.