wp-admin und wp-login.php mit dem Plugin WPS Hide Login schützen

Alle WordPress-Websites haben die Administratoranmeldung unter derselben Adresse: tudominio.com/wp-login.php (oder tudominio.com/wp-admin, das zum selben Ziel führt). Deshalb probieren Bots dort pausenlos Passwörter aus.

Das kostenlose Plugin WPS Hide Login ist der einfachste Weg, diese Adresse durch eine andere zu ersetzen, die nur Sie kennen. Es verändert keine WordPress-Datei, daher machen Updates es nicht rückgängig. Es wird von mehr als zwei Millionen Websites verwendet und weiterhin aktualisiert.

Das Plugin installieren

Gehen Sie im WordPress-Dashboard zu Plugins > Neues Plugin hinzufügen, suchen Sie nach WPS Hide Login, klicken Sie auf Jetzt installieren und danach auf Aktivieren.

Die neue Anmeldeadresse wählen

Gehen Sie zu Einstellungen > Allgemein und scrollen Sie ans Ende der Seite. Geben Sie im Abschnitt WPS Hide Login unter Login-URL die neue Adresse ein. Im Beispiel verwenden wir oculto, besser ist aber etwas schwer zu Erratendes wie acceso-k7m2q.

Klicken Sie auf Änderungen speichern und notieren Sie die vollständige Adresse (zum Beispiel https://tudominio.com/acceso-k7m2q) in Ihrem Passwortmanager oder in den Lesezeichen des Browsers.

Ab dann liefern wp-login.php und wp-admin allen, die nicht angemeldet sind, eine Fehlerseite, und Sie können sich nur noch über Ihre neue Adresse anmelden. Unter dem Feld gibt es ein weiteres, Weiterleitungs-URL, mit dem Sie festlegen, welche Seite statt der Anmeldung angezeigt wird (standardmäßig die 404-Fehlerseite).

Öffnen Sie, bevor Sie sich abmelden, ein privates Fenster und prüfen Sie, dass die neue Adresse das Anmeldeformular anzeigt.

Wenn Sie ein Cache-Plugin verwenden, schließen Sie die neue Adresse vom Cache aus, damit keine Kopie des Formulars gespeichert wird.

Wenn Sie die Adresse vergessen

Es gibt zwei Wege, sie zurückzubekommen:

• In der Datenbank nachsehen. Öffnen Sie die WordPress-Datenbank in phpMyAdmin, gehen Sie in die Tabelle wp_options (das Präfix wp_ kann anders lauten) und suchen Sie die Zeile, deren option_name gleich whl_page ist. Ihr Wert ist Ihre Anmeldeadresse.
• Das Plugin deaktivieren. Gehen Sie im Dateimanager von cPanel oder per FTP in wp-content/plugins und benennen Sie den Ordner wps-hide-login in wps-hide-login-off um. WordPress deaktiviert das Plugin, und Sie können sich wie gewohnt über wp-login.php anmelden. Geben Sie dem Ordner danach seinen ursprünglichen Namen zurück, aktivieren Sie das Plugin unter Plugins erneut und wählen Sie eine andere Adresse.

Den Schutz vervollständigen

Die Adresse zu ändern hält die meisten Bots fern, hilft aber nicht, wenn jemand Ihr Passwort bereits kennt. Verwenden Sie ein langes, einmaliges Passwort, aktivieren Sie die Bestätigung in zwei Schritten für die Administratoren und halten Sie WordPress und seine Plugins aktuell. Weitere Maßnahmen finden Sie in den Sicherheitstipps für WordPress.