Sicherheits-Checkliste für WordPress

Nutzen Sie sie als Arbeitsliste. Die Erzählung des Audits steht in So prüfen Sie die Sicherheit einer WordPress-Website. Haken Sie heute ab, was Sie können, planen Sie den Rest und kommen Sie jeden Monat wieder. Die Einrichtung steht in WordPress härten. Gewohnheiten und Routine stehen in WordPress-Sicherheitspraktiken (auf Englisch).

HTTPS und Transport

• Das SSL/TLS-Zertifikat ist installiert und gültig
• HTTPS ist für die ganze Website erzwungen (HTTP leitet auf HTTPS um)
• Auf den wichtigen Seiten bleiben keine Warnungen zu gemischten Inhalten (Start, Login, Checkout)

Kern und Updates

• WordPress ist auf der letzten sicheren Version, oder das Update ist bald geplant
• Automatische kleinere Updates und Sicherheitsupdates sind aktiv, wenn die Website sie verträgt
• Größere Updates werden auf Staging getestet, wenn die Website kritisch ist
• Plugins und Themes sind aktuell, oder bewusst festgehalten, mit einem schriftlichen Grund
• PHP ist auf einer Version, die Ihr Hosting noch unterstützt

Passwörter, 2FA und das Minimum an Rechten

• Lange, eindeutige Passwörter in einem Manager für jedes Konto mit Rechten
• Es gibt kein gemeinsames Konto “Admin des Teams”
• Es gibt keinen Benutzer namens admin, wenn Sie das vermeiden können
• 2FA ist für Administratoren aktiv (und für Redakteure, wenn es geht)
• Die Administratorrolle ist auf die Personen begrenzt, die sie wirklich brauchen
• Redakteure und Autoren können keine Plugins installieren und keine Einstellungen ändern, die sie nichts angehen
• Der Zugang von Personen, die nicht mehr arbeiten, oder von Auftragnehmern, die fertig sind, ist entfernt

Login und Administrationsbereich

• Es gibt ein Limit für fehlgeschlagene Versuche und der Login-Schutz ist aktiv
• Sie haben geprüft, ob Sie die Login-URL umbenennen (das senkt nur Rauschen; 2FA und Limits bleiben nötig)
• In der Produktion wird Debug nicht angezeigt (WP_DEBUG_DISPLAY auf false)
• DISALLOW_FILE_EDIT steht auf true (blockiert das Bearbeiten von Themes und Plugins in wp-admin)
• Die Dateirechte sind vernünftig (nichts auf 777; wp-config.php enger setzen, wenn das Hosting das erlaubt)
• Die Kerndateien stimmen mit den erwarteten WordPress-Kopien überein, oder die Unterschiede sind erklärt

Software entfernen, die Sie nicht nutzen

• Installiert sind nur Plugins, die Sie wirklich nutzen
• Ungenutzte Plugins sind gelöscht, nicht nur deaktiviert
• Ungenutzte Themes sind gelöscht
• Es gibt keine “Premium”-Pakete aus nulled oder raubkopierten Quellen
• Der Scan auf Sicherheitslücken ist sauber, oder die Funde sind sortiert

Sicherungen und Wiederherstellung

• Automatische Sicherungen laufen nach Zeitplan (Dateien und Datenbank)
• Es gibt Sicherungen außerhalb desselben Servers, wenn das möglich ist
• Die Aufbewahrung deckt den Fall “die Infektion begann vor Wochen”
• Sie haben einmal wiederhergestellt, oder jemanden dabei gesehen
• Die Zugangsdaten der Sicherung liegen nicht nur in der Website
• Sie wissen, wen Sie anrufen, wenn die Wiederherstellung scheitert (Bereinigung beauftragen, wenn das Sie selbst sind)

Der längere Sicherungsplan steht in Einen Sicherungsplan erstellen, wenn die Website angegriffen wird (auf Englisch).

Firewall, Scanner und Beobachtung

• Die Cloud Firewall oder ein Firewall-Plugin für WordPress ist aktiv, wenn Sie Pro haben (über 600 Millionen IP-Adressen in der Intelligenz von Security Ninja Pro)
• Der Malware-Scan ist geplant oder läuft regelmäßig, und Sie wissen, wie Sie Malware entfernen, wenn etwas durchkommt
• Die Sicherheitstests werden nach großen Änderungen geprüft
• Ereignisse und Meldungen werden auf ungewöhnliche Logins und Sperren angesehen
• Die Search Console ist bestätigt (hilft bei Problemen mit Safe Browsing)
• Sie öffnen die Website ab und zu ohne Sitzung (dort sehen Sie Weiterleitungen, die nur Besucher treffen)

Hosting und Serverzugang

• Das Hosting bietet Wiederherstellungen, die Sie bedienen können
• Die Support-Daten stehen irgendwo, das nicht WordPress selbst ist
• Sie kommen per SFTP, SSH oder Dateimanager hinein, wenn wp-admin ausfällt
• SFTP- und SSH-Schlüssel oder Passwörter sind stark und werden nicht leichtfertig geteilt

WooCommerce und Formulare (wenn zutreffend)

• Sie haben an Spam-Schutz im Checkout und beim Login gedacht
• Zahlungs- und Versand-Plugins werden gepflegt
• Formular-Plugins sind aktuell und der Spam-Schutz ist aktiv

Vorgeschlagene Reihenfolge, wenn Sie bei null anfangen

1. Sicherungen bestätigen
2. HTTPS erzwingen, wenn das noch nicht gilt
3. Alles aktualisieren und ungenutzte Plugins und Themes löschen
4. Administratoren, Passwörter, 2FA und Login-Limits in Ordnung bringen
5. Firewall und Scan aktivieren, wenn Sie sie haben
6. wp-config und Dateirechte härten
7. Sicherheitstests starten und das Einfache beheben
8. Eine monatliche Erinnerung setzen und einhalten

Monatliche Prüfung (etwa 10 Minuten)

• Gibt es ausstehende Updates?
• Gibt es neue Administratoren, die Sie nicht erwartet haben?
• Ist die letzte Sicherung in Ordnung?
• Bleibt ein Scan-Fund offen?
• Sehen die Ereignisse ungewöhnlich aus?

Security Ninja deckt viele dieser Prüfungen in einem Plugin ab. Free enthält Tests, den Scan auf Sicherheitslücken und die Kern-Integrität. Pro ergänzt Cloud Firewall, Malware-Scan, geplante Scans und stärkere Login-Werkzeuge. Der Installationsassistent hilft, sinnvolle Vorgaben einzuschalten, ohne zu raten. Wenn Sie Suiten vergleichen, bleibt der Leitfaden zu WordPress-Sicherheitsplugins auf Englisch.

Längere Lektüre: WordPress härten, gute Praktiken (auf Englisch), Einsteigerleitfaden (auf Englisch) und Login absichern. Sie wissen nicht, ob die Website kompromittiert ist? Anzeichen einer gehackten WordPress-Website (auf Englisch). Sie wissen es schon? Schritte zur Wiederherstellung (auf Englisch) oder Bereinigung beauftragen.

Weiterlesen

• WordPress-Sicherheitsleitfaden für Einsteiger (auf Englisch)
• WordPress härten
• Gute Praktiken für WordPress-Sicherheit (auf Englisch)
• WordPress-Login absichern
• WordPress-Sicherheitsplugins (auf Englisch)
• Allgemeiner WordPress-Sicherheitsleitfaden (auf Englisch)
• So prüfen Sie die Sicherheit einer WordPress-Website