WordPress 7.1.3: Wartungs- und Sicherheitsversion (7 Sicherheitskorrekturen). Aktualisieren Sie jetzt und prüfen Sie danach die Version.

Details

So härten Sie WordPress

Praktische WordPress-Härtung: Updates, wp-config, Rechte, Logins, SSL, Plugins, XML-RPC, .htaccess, Firewall, Scanner und Sicherungen, in einer Reihenfolge, der Sie folgen können.

Themen Hardening & checklists Beginner guides

Aktualisiert Veröffentlicht

So härten Sie WordPress Bild größer öffnen: So härten Sie WordPress

WordPress härten heißt, die Konfiguration so zu ändern, dass die üblichen Türen geschlossen bleiben. Diese Anleitung ist das Wie der Einrichtung. Gewohnheiten und die monatliche Routine stehen in gute Praktiken (auf Englisch). Die Liste zum Abhaken steht in der Sicherheits-Checkliste.

Was Sie härten

Denken Sie in Schichten:

  1. Kern und Konfiguration (wp-config.php, Updates, Sperre der Dateibearbeitung)
  2. Plugins und Themes (weniger, aktuell, vertrauenswürdig)
  3. Personen und Logins (Passwörter, 2FA, Rollen, Limit für fehlgeschlagene Versuche)
  4. Hosting und Rand (HTTPS, ein brauchbares Hosting, Firewall)
  5. Erkennung und Wiederherstellung (Scanner, Ereignisse, Sicherungen, die Sie wiederherstellen können)

Die meisten Kompromittierungen beginnen weiter bei veralteten Plugins oder bei einem schwachen Administratorzugang. Fangen Sie dort an, auch wenn Sie die Apache-Konfiguration nie anfassen.

1. Software aktuell halten

  • Aktualisieren Sie den WordPress-Kern bald, vor allem Sicherheitsversionen
  • Aktualisieren Sie Plugins und Themes nach einem Zeitplan
  • Löschen Sie ungenutzte Plugins und Themes. Deaktiviert ist nicht gelöscht
  • Halten Sie PHP auf einer unterstützten Version, die Ihr Hosting empfiehlt

Nutzen Sie Staging auf empfindlichen Websites. Schalten Sie automatische Updates für Plugins ein, denen Sie vertrauen, wenn Sie können. Starten Sie nach großen Updates die Sicherheitstests und einen Scan auf Sicherheitslücken erneut.

2. wp-config.php härten

Erzeugen Sie neue WordPress-Salts und Schlüssel nach einem Vorfall oder wenn Sie eine Website übernehmen.

In der Produktion:

define( 'WP_DEBUG', false );
define( 'WP_DEBUG_DISPLAY', false );

Verhindern Sie das Bearbeiten von Theme- und Plugin-Dateien aus wp-admin. Das lohnt sich auf fast jeder Live-Website:

define( 'DISALLOW_FILE_EDIT', true );

Nutzen Sie DISALLOW_FILE_MODS nur, wenn Sie Updates bewusst außerhalb von wp-admin verwalten. Es blockiert das Installieren und Aktualisieren von Plugins und Themes aus dem Panel.

Ein eigenes Tabellenpräfix hilft ein wenig gegen dumme automatische Skripte. Es ersetzt keine Updates und keinen starken Login. Das Präfix auf einer Live-Website zu ändern braucht Sorgfalt. Bei neuen Installationen machen Sie es, wenn Sie können.

3. Dateirechte und Schutz von wp-config

Die genauen Werte hängen vom Hosting ab, eine übliche Basis ist:

  • Verzeichnisse: 755
  • Dateien: 644
  • wp-config.php: enger, wenn es geht (600 oder 640)

Vermeiden Sie 777. Bricht die Website, wenn Sie die Rechte enger setzen, fragen Sie das Hosting, was sein WordPress-Stack erwartet, statt alles zu öffnen.

Unter Apache können Sie den Webzugriff auf wp-config.php auch in .htaccess verweigern. Ändern Sie eine Regel nach der anderen, testen Sie die Startseite und /wp-admin/, und bewahren Sie eine Kopie der Datei. Schnipsel und Notizen zum Zurücknehmen: Sicherheit von .htaccess (auf Englisch). Der Generator steht unter Werkzeuge .htaccess (auf Englisch).

Der Core Scanner hilft, unerwartete Änderungen an den WordPress-Dateien nach dem Härten zu sehen.

4. Starke Passwörter, wenige Logins, 2FA

Orientierung für ein starkes Passwort

  • Lange, eindeutige Passwörter in einem Manager (keine Wörterbuchwörter, nicht zwischen Websites wiederverwendet)
  • Kein gemeinsames Konto “Admin des Teams”
  • Wenige Administratoren. Der Rest bekommt die niedrigste Rolle, die funktioniert
  • Zwei-Faktor-Authentifizierung für Administratoren
  • Begrenzen Sie fehlgeschlagene Versuche und prüfen Sie, ob Sie die Login-URL mit dem Login-Schutz umbenennen

Umbenennen reicht nicht. Es gehört zu einem Ratenlimit und zu 2FA. Mehr Tiefe: WordPress-Login absichern.

5. Plugins, Themes und ungenutzte Software

  • Bevorzugen Sie WordPress.org oder bekannte kommerzielle Anbieter
  • Sehen Sie das Datum des letzten Updates an, bevor Sie installieren
  • Nutzen Sie nie “Premium”-Pakete aus nulled Quellen
  • Entfernen Sie aufgegebene Plugins, die Sie nicht bald ersetzen können
  • Löschen Sie auch ungenutzte Themes. Standard-Themes, die Sie nicht brauchen, zählen mit

Scannen Sie installierte Software nach bekannten Problemen mit dem Scanner für Sicherheitslücken, enthalten in Free. Längere Plugin-Hygiene: Sicherheitsrisiken von Plugins (auf Englisch).

6. HTTPS, Hosting und Schutz am Rand

  • Erzwingen Sie HTTPS für die ganze Website. Die meisten Hostings enthalten ein kostenloses Zertifikat. Schalten Sie die Weiterleitung ein
  • Wählen Sie ein Hosting mit Sicherungen, die funktionieren, mit Support und mit dem Ruf, den Stack gepatcht zu halten
  • Setzen Sie ein Firewall-Plugin für WordPress oder die Cloud Firewall vor WordPress, um Rauschen von Exploits und Brute Force abzuschneiden (Pro: über 600 Millionen schlechte IP-Adressen, Länderregeln und eigene Regeln)
  • Halten Sie Server-Stack und PHP aktuell. Bei verwalteten Tarifen ist das meist Sache des Hostings

Serverdetails (eigene TLS-Chiffren, Eingriffe in Datenbankrechte, Eingriffe in Apache-Module) helfen, wenn Sie den VPS kontrollieren. Auf Shared Hosting oder verwaltetem WordPress stecken Sie die Zeit zuerst in Updates, Logins, Firewall und Sicherungen.

Sicherheits-Header (sinnvoll, keine Magie)

Wenn Hosting oder ein Sicherheitsplugin Header setzen kann, gehören die nützlichen dazu:

  • Strict-Transport-Security (HSTS), wenn HTTPS schon solide ist
  • X-Content-Type-Options: nosniff
  • Referrer-Policy mit einem vernünftigen Wert
  • Content-Security-Policy nur, wenn Sie sie pflegen können (die Website lässt sich leicht damit kaputt machen)

Header helfen dem Browser, sich besser zu verhalten. Sie ersetzen das Patchen von Plugins nicht.

Datenbankgewohnheiten, die sich lohnen

  • Starkes, eindeutiges Datenbankpasswort (das Hosting-Panel setzt es meist)
  • Teilen Sie den Datenbankbenutzer nicht zwischen Anwendungen, die nichts miteinander zu tun haben
  • Vermeiden Sie exotische Rechte, die die Website nicht braucht
  • Nehmen Sie nach einem Vorfall an, dass die Datenbank Müll-Benutzer, Optionen oder injizierten Inhalt haben kann. Stellen Sie wieder her oder bereinigen Sie vorsichtig

7. XML-RPC: Vorsicht, kein Standardschalter

XML-RPC hilft manchen mobilen Apps, Abläufen mit Jetpack und entfernten Werkzeugen. Es ist auch ein üblicher Weg für Brute Force und Pingback-Missbrauch.

  • Wenn nichts, das Sie nutzen, es braucht, ist Blockieren oder Abschalten vernünftig
  • Wenn etwas nach dem Blockieren bricht, nehmen Sie die Änderung zurück
  • Bevorzugen Sie Limits in der Firewall und starke Authentifizierung, bevor Sie Funktionen abschalten, die Sie noch nutzen

Unter Apache fügen Sie Regeln einzeln hinzu und testen. Detail und sicherere Muster: Anleitung zu .htaccess (auf Englisch).

8. Probleme früh erkennen

Härten ohne Beobachtung scheitert weiter still.

  • Starten Sie Malware-Scans nach Zeitplan (Pro)
  • Sehen Sie das Ereignisprotokoll nach ungewöhnlichen Logins, Sperren und Änderungen an
  • Schalten Sie Meldungen ein (E-Mail oder Webhooks) für das, was zählt
  • Prüfen Sie die Search Console, wenn Verkehr oder Warnungen schlecht aussehen
  • Starten Sie die Sicherheitstests nach großen Änderungen erneut, damit Rückschritte nicht ungesehen bleiben

Geplante Scans zählen, weil die meisten Website-Betreiber das Panel nicht jeden Tag öffnen. Setzen Sie den Zeitplan und sehen Sie danach die Fehler an.

9. Sicherungen, die Sie wiederherstellen können

Härtung senkt das Risiko. Sicherungen begrenzen den Schaden.

  • Automatische Sicherungen von Dateien und Datenbank
  • Sicherungen außerhalb der Website, wenn es geht
  • Aufbewahrung, die reicht, um vor den Beginn einer Infektion zurückzugehen
  • Ein Wiederherstellungstest, damit Sie den Ablauf kennen

Detail: Sicherungsplan nach einem Angriff (auf Englisch).

Bewahren Sie die Zugangsdaten der Sicherung außerhalb der Website auf. Wenn Malware Ihr wp-admin lesen kann, wollen Sie nicht, dass der einzige Wiederherstellungsweg in demselben Vorfall liegt.

10. Ein Sicherheitsplugin, das zur Aufgabe passt

Ein gutes Sicherheitsplugin muss helfen, die Härtung anzuwenden und zu prüfen. Es ersetzt keine Updates und keinen starken Login.

Ein Plugin wie Security Ninja deckt Sicherheitstests, Sicherheitslücken und Kern-Integrität in Free ab. Pro ergänzt Cloud Firewall (über 600 Millionen), Malware-Scanner, geplante Scans, Login-Schutz und 2FA. Der Installationsassistent schaltet sinnvolle Vorgaben ein, damit Sie nicht raten, welche Schalter zuerst zählen. Stapeln Sie keine drei überlappenden Sicherheitsplugins. Sie streiten sich. Sehen Sie Konflikte zwischen Sicherheitsplugins (auf Englisch) und WordPress-Sicherheitsplugins (auf Englisch), wenn Sie noch wählen.

Eine Umsetzungsreihenfolge, der Sie folgen können

Tag 1

  1. Sicherungen bestätigt
  2. Alles aktualisieren und ungenutzte Plugins und Themes löschen
  3. Administratorkonten, Passwörter und 2FA in Ordnung bringen
  4. Login-Schutz und Firewall aktivieren, wenn Sie Pro haben

Diese Woche

  1. DISALLOW_FILE_EDIT und Debug in der Produktion aus
  2. Rechte prüfen und den Zugriff auf wp-config schützen, wenn Apache das erlaubt
  3. Scan auf Sicherheitslücken und auf Malware, und beheben, was herauskommt
  4. Sicherheitstests und die Härtungs-Checkliste in Security Ninja
  5. XML-RPC erst entscheiden, wenn Sie wissen, was es nutzt

Danach

  1. Monatliche Prüfung von Updates und Administratoren (die Gewohnheiten stehen in gute Praktiken (auf Englisch))
  2. Geplante Scans und Prüfung, dass die Sicherungen gelingen

Häufige Fragen

Muss ich den Ordner wp-content umbenennen? In der Regel nein. Es bricht Dinge, und Bots sondieren schon viele andere Pfade. Konzentrieren Sie sich auf Updates, Logins und Scan.

Soll ich XML-RPC abschalten? Nur wenn nichts, das Sie nutzen, es braucht. Blindes Abschalten kann Integrationen brechen. Wenn Sie die Funktion noch brauchen, bevorzugen Sie Limits in der Firewall und starke Authentifizierung.

Reicht es, die Login-URL umzubenennen? Nein. Es senkt Rauschen. Es gehört zu einem Limit für fehlgeschlagene Versuche und zu 2FA.

Kann ich einmal härten und es vergessen? Nein. Plugin-CVEs kommen ständig. Härtung ist eine Basis plus eine Wartungsgewohnheit.

Wenn die Website schon kompromittiert ist

Härten Sie nicht über aktiver Malware und erklären Sie es für erledigt. Wenn Sie unsicher sind, sehen Sie zuerst ob Ihre WordPress-Website gehackt wurde (auf Englisch). Entfernen Sie die Malware oder stellen Sie wieder her, und härten Sie danach, damit sie nicht wieder hineinkommen. Anleitung: gehackte WordPress-Website (auf Englisch). Brauchen Sie Hilfe? Bereinigung oder eine Prüfung beauftragen.

Weiterlesen

Nützlich? Teilen Sie den Link.

Larger screenshot

Enlarged image