Sicherheitsbedenken

Ist normales Grundrauschen. Sichere deine Admin Bereich per .htaccess ab, deaktiviere xmlrpc und Ruhe ist

Ohne Gegenmaßnahme ist der Benutzername einfach über http://deinedomain/?author=1 herauszufinden, weil standardmäßig der User Slug mit dem Login übereinstimmt. Mit einem Plugin wie z.B. https://de.wordpress.org/plugins/edit-author-slug/ kann man den Slug ändern und somit den echten Benutzernamen unsichtbar machen.

Zitat von Baumhoff

Ich hatte mehrere Angriffe über Joomla auf dem Webserver, so dass es mir leid war und ich jetzt meine Seite mit WordPress erstellen möchte. Gesagt getan, eineVorlage gekauft und installiert.

Aber gibt es da ein Problem?

Ich würde unbedingt die eigene Umgebung mit _richtigen_ Werkzeugen auf Trojaner untersuchen. Oft kann man sich seinen Rechnern an gehackten WebSiten leider auch verseuchen.

2. WordPress kann man wurderbar falsch installieren. Ich würde dort auch keinen Profi dranlassen.
3. Wenn der Admin auch Artikel schreibt kann man sicherlich im Html Core von dem gekauften Theme den Namen von dem Admin lesen? Quellcode mal prüfen und nicht als Admin Beiträge schreiben?
4. Den Admin Bereich würde ich absichern, so dass keine weitere Person Zugriff erhält. Dies geht zum Beispiel mit HTTP-Authentifizierung

https://de.wikipedia.org/wiki/HTTP-Authentifizierung

evtl. fragst du auch mal auf der offiziellen WordPress Seite http://de.wordpress.org nach aktuellen Tipps.

Viel Glück

Ralf

Werden die meisten Wordpress Installationen nicht durch Sicherheitslücken gehackt, statt durch erraten von Passwörter?

Wordpress immer aktuell halten, dann sollte man auch auf der sicheren Seite sein.

Naja schlecht geschriebene Plugins tragen sicher auch ihren Teil dazu bei und sowas wie das hier findet man auch zu genüge wenn man mit den richtigen Tools sucht. Man muss oft gar nicht so viel super speziell absichern sondern einfach die üblichen Fehler vermeiden.

Gruß Tobi

Zitat von Baumhoff

(...)
Dabei habe ich sofort 'WP Security' installiert, damit die bösen Buben es schwerer haben. Die Erweiterung sendet mir auch Mails, wenn jemand erfolglos versucht sich anzumelden.
Jetzt kommt's: ein paar Tage nach der Installation erhalte ich mehrere Mails in längerem Abstand, dass jemand verucht sich mit meinem Benutzernamen einzuloggen. (...)

http://forum.wpde.org/allgemeines/14…html#post644357

http://forum.wpde.org/allgemeines/14…html#post635989

http://forum.wpde.org/plugins-und-wi…html#post648419

Zitat von Baumhoff

Aber gibt es da ein Problem???

Grundsätzlich sollte der Benutzername (mit dem du dich anmeldest) immer ein anderer sein, als der öffentliche Name.

Zum reinen Erstellen und Bearbeiten von Inhalten würde ich außerdem ein eigenes Benutzerkonto mit verminderten Rechten verwenden.
https://codex.wordpress.org/Roles_and_Capabilities

Als Administrator nur dann einloggen, wenn es wirklich administrative Aufgaben gibt.

Mit "WP Security" meinst du vermutlich das "All-in-one WP-Security"?
https://wordpress.org/plugins/all-in…y-and-firewall/

Die reine Installation des Plugins hilft allerdings nichts, du musst es auch konfigurieren.

Sehr effektiv (aber nur dann ratsam, wenn die Zahl der Benutzer überschaubar ist), ist es, das wp-admin Verzeichnis per hataccess passwortzuschützen.
Achte dabei darauf, eine Ausnahme für wp-ajax.php zu erstellen, sonst funktionieren manche Plugins nicht.

Sei dir außerdem immer bewusst, mit welchem Gerät und in welchem Netzwerk du dich mit Wordpress, FTP, MySQL, control-panel verbindest.

Eine weitere Möglichkeit das Wordpress abzusichern wäre es auf einem localen Rechner zu installieren und dann statische Seite per FTP auf dem Server hosten ;)

Zitat von Woogie-Design

Eine weitere Möglichkeit das Wordpress abzusichern wäre es auf einem localen Rechner zu installieren

Und wie bitte soll man dann die Seite von außerhalb erreichen? Stichwort dynamische IP, Port forwarding [emoji6].

Er meint auch was anderes Hille.

Er meint Wordpress lokal installieren und per Plugin z.B. Simply Static die Seiten als HTML exportieren und auf dem Webspace hochladen. Hat alles seine Vor und Nachteile.

Aber dieses vorgehen widerspricht den Sinn eines CMS :)

Offline bleiben, birgt dann "nur" noch "Gefahr" im Leben :mrgreen:

Hille da hängt bei mir auch mehr dahinter als nur noch der Nutzen eines CMS ;)

Ich erkläre das mal fix. Ich arbeite für einen Abkömmling des größten Vergleichsportal im Internet, das Hauptsystem läuft natürlich nicht mit WP. Aber unsere Tochterfirma hat ein WP für unsere Marketingmitarbeiter, damit die Ihre Seiten und Texte selbst pflegen können, da der Rest der IT keine Zeit hat sich mit Banneraustausch zu beschäftigen oder mal einen Text online zu stellen ;)

Da WP nicht das sicherste System ist haben wir das WP auf internen Servern gehostet, wie Jaba schon sagt mit Simply Static verschieben wir die statischen Seiten auf einen Ordner, der von außen erreichbar ist. Da ich nur von Java Entwicklern umgeben bin, haben wir hierür sogar Jenkins mit eingebunden der uns die Backups macht, eine Preversion der Webseite auf extra Ordnern anlegt und erst nach Test live stellt.

Wir haben das auch erst umgestellt, da die Seite bei Host Europe teilweise mehrere Sekunden am laden war bevor die Seite auf ging. Da bei uns Makler aber einloggen um in das Hauptsystem zukommen kann man sich die Ladezeiten nicht leisten und reine Optimierung hat nicht viel gebracht.

Monika das musst nicht mir erzählen, das WP Theme hat eine Agentur gebaut, die ganze Seite wurde mit den ganzen Plugins so angelegt. Ich kam in die Firma als Webdesigner/Webentwickler ohne großem Plan von Wordpress :D, war auch eigentlich nicht geplant :D
Nun hab ich mir aber das WP unter den Nagel gerissen und hab nun einiges geändert und neu gebaut. Das Theme was davor lief war nen geändertes Twenty Twelve mit Child Theme, was in meinen Augen ja völliger Käse ist, ich hab das Child neu gebaut und das Twenty gelassen wie es sein sollte damit es updatefähig ist.

Und so kommt eins zum anderen und ich zum Wordpress :D aber macht Spaß und fühl mich hier im Forum ja auch wohl :)

Mal eine Frage...
weiter oben wurde erwähnt, dass mit der Abfrage http://www.meinehomepage.de/?author=1 herausgefunden werden kann, wie der Benutzername mit der Zuordnungsnummer 1 einer Homepage lautet. Und das dieser meistens auch der Administrator der jeweiligen Seite mit Adminrechten ist.
Obige Abfrage hat bei mir nicht geklappt - Error 404 - wahrscheinlich weil ich schon einige Security-Plugins installiert habe.
Leider ist es mir bisher nicht gelungen herauszufinden welche Benutzer-ID meinem Admin zugeordnet ist.
Ich möchte das natürlich überprüfen und gegebenenfalls ändern.
Leider habe ich im Backend nirgends bisher eine ID-Zuordnung finden können.
Kann mir jemand auf die Sprünge helfen wie ich die ID's herausfinden kann ohne meine Security-Plugins deaktivieren zu müssen?

Danke fürs lesen.

Gruß Frank

Vielen Dank für die Erklärung - habs nun gefunden und bin schlauer.

Gruß Frank

Darum ist bei uns in der Agentur SSH Standard.
Einzige Ausnahme Hoster mit PHP 5.3 da nicht kompatibel. Aber solche Hoster sollte man sowieso weiträumig umschiffen ;)