Teil 3: Wie man WordPress ohne Verwendung von Plugins sichert

Es ist auch möglich, die Sicherheit deiner Webseite zu verbessern, ohne Plugins zu verwenden. Die meisten dieser Aufgaben beinhalten die Anpassung des Codes deiner Seite, aber keine Sorge – wir zeigen dir Schritt für Schritt, wie du das machen kannst.

1. PHP-Fehlerberichterstattung deaktivieren

Die PHP-Fehlerberichterstattung zeigt die vollständigen Informationen über die Pfade und Dateistruktur deiner Webseite an, was sie zu einer großartigen Funktion für die Überwachung der PHP-Skripte deiner Seite macht.

Allerdings ist es ein ernsthaftes Sicherheitsproblem von WordPress, wenn die Schwachstellen deiner Webseite auf dem Backend angezeigt werden.

Zum Beispiel, wenn ein spezifisches Plugin angezeigt wird, bei dem die Fehlermeldung aufgetreten ist, könnten Cyberkriminelle die Schwachstellen dieses Plugins ausnutzen.

In WordPress kannst du die PHP-Fehlerberichterstattung in der php Konfigurationsdatei deaktivieren.

Befolge diese Schritte, um deine PHP-Datei zu ändern:

• Öffne die wp-config.php-Datei deiner Seite mit einem FTP-Client wie FileZilla oder dem Datei-Manager deines Hosting-Anbieters.
• Füge den folgenden Code-Schnipsel in die Datei ein. Achte darauf, ihn vor jeder anderen PHP-Anweisung hinzuzufügen.

error_reporting(0);
@ini_set('display_errors', 0);

• Klicke auf Speichern, um die Änderung anzuwenden.

2. Wechsel zu einem sichereren Webhost

Mehrere WordPress-Sicherheitsmaßnahmen bringen nicht viel, wenn die Hosting-Umgebung anfällig für Cyberangriffe ist. Dein Hosting-Anbieter sollte einen sicheren Speicherplatz für alle Daten und Dateien deiner Webseite auf seinem Server garantieren, daher ist es entscheidend, einen Anbieter mit einem hervorragenden Sicherheitsniveau zu wählen.

Wenn du denkst, dass deine aktuelle Webhosting-Firma nicht sicher genug ist, ist es an der Zeit, deine WordPress-Webseite zu einer neuen Hosting-Plattform zu migrieren. Hier sind einige Punkte, die du bei der Suche nach einem sicheren Webhost berücksichtigen solltest:

• Art des Webhostings – Shared und WordPress Hosting sind aufgrund der Ressourcenteilung anfälliger für Cyberangriffe als andere Hosting-Arten. Wähle einen Webhost, der auch VPS oder dediziertes Hosting anbietet, um deine Ressourcen zu isolieren.
• Sicherheit – ein guter Hosting-Anbieter überwacht sein Netzwerk auf verdächtige Aktivitäten und aktualisiert regelmäßig seine Server-Software und -Hardware. Sie müssen auch Server-Sicherheit und Schutz gegen alle Arten von Cyberangriffen haben.
• Funktionen – unabhängig von der Art des Hostings, sind automatische Backups und Sicherheitstools zur Verhinderung von Malware ein Muss, um deine WordPress-Seite zu schützen. Im schlimmsten Fall kannst du sie verwenden, um eine kompromittierte Website wiederherzustellen.
• Support – die Wahl eines Hosting-Unternehmens mit einem 24/7 Support-Team mit ausgezeichnetem technischen Wissen ist unerlässlich. Sie werden dir helfen, deine Daten zu schützen und alle technischen und sicherheitsrelevanten Probleme, die auftreten können, zu bewältigen.

3. Dateibearbeitung ausschalten

WordPress hat einen eingebauten Datei-Editor, der das Bearbeiten von WordPress PHP-Dateien erleichtert. Diese Funktion kann jedoch zu einem Problem werden, wenn Hacker die Kontrolle darüber erlangen.

Aus diesem Grund ziehen es einige WordPress-Benutzer vor, diese Funktion zu deaktivieren. Füge die folgende Codezeile zur wp-config.php-Datei hinzu, um die Dateibearbeitung zu deaktivieren:

define( 'DISALLOW_FILE_EDIT', true );

Wenn du diese Funktion auf deiner WordPress-Seite wieder aktivieren möchtest, entferne einfach den vorherigen Code aus der wp-config.php mit einem FTP-Client oder dem Datei-Manager deines Hosting-Anbieters.

4. Zugriff mit der .htaccess-Datei einschränken

Die .htaccess-Datei stellt sicher, dass WordPress-Links ordnungsgemäß funktionieren. Ohne diese Datei, die die richtigen Regeln festlegt, erhältst du viele 404-Fehlermeldungen auf deiner Seite.

Darüber hinaus kann .htaccess den Zugriff von bestimmten IPs blockieren, den Zugriff auf nur eine IP beschränken und die PHP-Ausführung in bestimmten Ordnern deaktivieren. Im Folgenden zeigen wir dir, wie du .htaccess zur Verbesserung der Sicherheit deiner WordPress-Seite nutzen kannst.

Deaktivierung der PHP-Ausführung in bestimmten Ordnern

Hacker laden oft Backdoor-Skripte in den Uploads-Ordner hoch. Standardmäßig beherbergt dieser Ordner nur hochgeladene Mediendateien, daher sollte er keine PHP-Dateien enthalten.

Um deine WordPress-Seite zu sichern, deaktiviere die PHP-Ausführung im Ordner, indem du eine neue .htaccess-Datei in /wp-content/uploads/ mit diesen Regeln erstellst:

<Files *.php>
 deny from all
</Files>

Schutz der wp-config.php-Datei

Die wp-config.php-Datei im Hauptverzeichnis enthält die Kern-Einstellungen von WordPress und die Details der MySQL-Datenbank. Daher ist diese Datei meist das Hauptziel eines Hackers.

Schütze diese Datei und halte WordPress sicher, indem du diese .htaccess-Regeln implementierst:

<files wp-config.php>
 order allow,deny 
 deny from all
</files>

5. XML-RPC deaktivieren

XML-RPC ist eine WordPress-Funktion zum Zugriff und zur Veröffentlichung von Inhalten über mobile Geräte, ermöglicht Trackbacks und Pingbacks und die Verwendung des Jetpack-Plugins auf deiner WordPress-Website.

XML-RPC hat jedoch einige Schwachstellen, die Hacker ausnutzen können. Die Funktion ermöglicht es ihnen, mehrere Anmeldeversuche durchzuführen, ohne von der Sicherheitssoftware erkannt zu werden, was deine Seite anfällig für Brute-Force-Angriffe macht.

Hacker können auch die XML-RPC-Pingback-Funktion nutzen, um DDoS-Angriffe durchzuführen. Sie ermöglicht es Angreifern, Pingbacks an Tausende von Websites gleichzeitig zu senden, was die angegriffenen Seiten zum Absturz bringen kann.

Um festzustellen, ob XML-RPC aktiviert ist, führe deine Seite durch einen XML-RPC-Validierungsdienst und sieh nach, ob du eine Erfolgsmeldung erhältst. Das bedeutet, dass die XML-RPC-Funktion läuft.

Du kannst die XML-RPC-Funktion entweder mit einem Plugin oder manuell deaktivieren.

XML-RPC mit einem Plugin deaktivieren

Die Verwendung eines Plugins ist der schnellere und einfachere Weg, die XML-RPC-Funktion auf deiner Website zu blockieren. Wir empfehlen das Plugin Disable XML-RPC Pingback. Es schaltet automatisch einige der XML-RPC-Funktionen aus und verhindert so, dass Hacker Angriffe über diese WordPress-Sicherheitslücke durchführen.

XML-RPC manuell deaktivieren

Eine andere Möglichkeit, alle eingehenden XML-RPC-Anfragen zu stoppen, besteht darin, dies manuell zu tun. Finde die .htaccess-Datei in deinem Hauptverzeichnis und füge den folgenden Code-Schnipsel ein:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
 order deny,allow
 deny from all
 allow from 000.00.000.000
</Files>

Um XML-RPC den Zugriff auf eine bestimmte IP zu erlauben, ersetze die 000.00.000.000 durch die IP-Adresse oder lösche die Codezeile komplett.

6. Verstecke die WordPress-Version

Hacker können leichter in deine Seite eindringen, wenn sie wissen, welche WordPress-Version du verwendest. Sie können die Schwachstellen dieser Version nutzen, um deine Seite anzugreifen, besonders wenn es sich um eine ältere WordPress-Version handelt.

Glücklicherweise ist es möglich, die Informationen auf deiner Seite mit dem WordPress Theme Editor zu verbergen. Füge den folgenen Code in ein Child Theme oder mit einem Plugin wie WPCode.

function wp4e_remove_version() {
    return '';
} 
add_filter('the_generator', 'wp4e_remove_version');

Das WordPress-Generator-Meta-Tag zeigt auch die WordPress-Versionsnummer an. Füge diese Zeile hinzu, um sie loszuwerden:

remove_action('wp_head', 'wp_generator');

7. Hotlinking blockieren

Hotlinking ist der Begriff, der verwendet wird, wenn jemand ein Asset deiner Website, normalerweise ein Bild, auf seiner Website anzeigt. Jedes Mal, wenn Leute eine Website mit Hotlinks zu deinem Inhalt besuchen, werden die Ressourcen deines Webservers verbraucht, was deine Seite verlangsamt.

Um zu sehen, ob dein Inhalt hotlinked wurde, gib die folgende Abfrage in Google Images ein und ersetze dabei yourwebsite.com durch deinen Domainnamen:

inurl:yourwebsite.com -site:yourwebsite.com

Um Hotlinking zu verhindern, verwende einen FTP-Client, ein WordPress-Sicherheitsplugin, ein CDN oder ändere die Einstellungen des Control Panels.

8. Dateiberechtigungen verwalten

Verhindere, dass Hacker Zugang zu deinem Admin-Konto erhalten, indem du festlegst, welche Benutzer deine WordPress-Dateien oder -Ordner lesen, schreiben oder ausführen können.

Du kannst den Datei-Manager deines Webhosts, einen FTP-Client oder die Befehlszeile verwenden, um Datei- und Ordnerberechtigungen zu verwalten.

Im Allgemeinen sind Berechtigungen standardmäßig gesetzt, was je nach Datei oder Ordner variieren kann. Speziell für den wp-admin-Ordner und die wp-config-Datei, stelle sicher, dass nur der Eigentümer sie schreiben kann.

Hast du auch die anderen Teile unserer WordPress-Sicherheitsserie gelesen?

• Teil 1: Allgemeine Best Practices zur Verbesserung der Website-Sicherheit
• Teil 2: Wie man WordPress Sicherheits-Plugins einsetzt