WordPress schützen und die Zugänge unter Kontrolle halten

Die Sicherheit von WordPress hängt von Wartung, Berechtigungen und der Fähigkeit ab, die Website wiederherzustellen. Diese Maßnahmen ergänzen sich; keine garantiert für sich allein, dass kein Einbruch erfolgt.

Kern, Plugins und Themes pflegen

Prüfen Sie Updates und Sicherheitshinweise der installierten Komponenten. Bewahren Sie vor einer größeren Änderung ein überprüfbares Backup auf und testen Sie die wichtigsten Funktionen in einer Staging-Umgebung. Lassen Sie eine bekannte Schwachstelle nicht aus Angst vor einem Update unbegrenzt offen: Bereiten Sie eine kontrollierte Korrektur oder einen Ersatz vor.

Entfernen Sie Komponenten, die Sie nicht nutzen, auch deaktivierte Plugins, die noch auf der Festplatte liegen. Prüfen Sie die Pflege jedes Plugins, seine Herkunft und Kompatibilität; ein altes Datum allein beweist nicht, dass es aufgegeben wurde.

Konten und Wiederherstellung

Verwenden Sie ein eigenes Konto pro Person und die geringste nötige Rolle. Die Standardrolle Redakteur muss weder Plugins installieren noch Benutzer verwalten; prüfen Sie von Erweiterungen hinzugefügte Fähigkeiten und Konten, die keinen Zugang mehr haben sollten.

Vergeben Sie lange, eindeutige Passwörter und aktivieren Sie 2FA für alle, die die Website verwalten. Bewahren Sie die Wiederherstellungsmittel, die die Integration bietet, außerhalb von WordPress auf und testen Sie sie. Die 2FA des Kundenbereichs aktiviert nicht automatisch die Ihrer Website.

Prüfen Sie Sitzungen, Anwendungspasswörter und Tokens von Integrationen. Wenn ein Mitarbeiter ausscheidet, widerrufen Sie je nach Umfang auch seine Zugänge zu Hosting und Deployment.

Das Anmeldeformular schützen

Begrenzen Sie Anmeldeversuche und prüfen Sie die Sperren, damit legitime Zugriffe nicht verhindert werden. Sie können den Pfad mit einem kompatiblen Plugin ändern, sollten aber wp-login.php nicht umbenennen.

HTTP-Authentifizierung oder eine IP-Beschränkung können eine weitere Schicht hinzufügen, müssen aber mit AJAX, Passwortwiederherstellung und Integrationen getestet werden. Schützen Sie sensible Endpunkte, ohne allgemeine Ausnahmen zu öffnen, um einen einzelnen Fehler zu beheben.

Kontrollen wählen und Änderungen überwachen

Prüfen Sie, was jedes Sicherheits-Plugin beiträgt. Vermeiden Sie doppelte aufwendige Scans und behalten Sie gezielte Kontrollen wie 2FA oder ein Änderungsprotokoll bei, wenn sie einen echten Bedarf abdecken.

Prüfen Sie neue Administratoren, Plugin-Installationen, Änderungen und unerwartete Versendungen. Eine Warnung verdient eine Untersuchung; es genügt nicht, die Datei zu löschen oder den Hinweis abzuschalten.

Backups und Reaktion auf einen Einbruch

Bewahren Sie Dateien und Datenbank in unabhängigen Backups auf und testen Sie deren Wiederherstellung. Ein Backup, das nur im öffentlichen Verzeichnis liegt, kann offengelegt oder zusammen mit der Website verändert werden.

Vermuten Sie eine Kompromittierung, sichern Sie Beweise, schränken Sie den Zugriff ein und folgen Sie der Anleitung zur Bereinigung von WordPress. Ein Update nach einem Angriff entfernt Hintertüren oder hinzugefügte Benutzer nicht automatisch.