suche Info zum "sicheren Betrieb"

Na ja, so wahnsinnig viel ist das ja nicht.
1) Updates: Je nachdem wie viele Plugins du nutzt, wird das wahrscheinlich der größte Posten sein. Im Grunde solltest du täglich nachsehen, vor jedem Update ein Backup machen und vorher/ nachher vergleichen. Da du ja schließlich auch einen Job haben wirst und "Updaterin" nicht dein Einkommen sichert, kannst du auch ein Plugin installieren, das das macht. Allerdings würde ich dir empfehlen, die großen Versionssprünge manuell durchzuführen. Aber die kommen ja nicht so häufig vor. Bei den guten Plugins kann man das auch einstellen, dass diese Updates nicht automatisiert werden.

2) Backup, Backup, Backup. Nimm dir ein beliebiges Backup-Plugin, und mache regelmäßig Backups. Je nachdem wie oft sich dein Content ändert alle paar Stunden oder auch nur ein Mal in der Woche. wichtig dabei: Lass dir die Daten zusätzlich an ein externes Ziel schicken. (Dropbox oder Vergleichbares). Dann hast du immer eine zusätzliche Fallbacklösung.

3) An das SSL-Zertifikat erinnert dich der Hoster ohnehin. und ein Mal im Jahr das Zertifikat per Mausklick zu erneuern ist ja nicht sooooo schwer.

Zitat von bronzeton

Ich plane eine Seite mit Wordpress aufzusetzen und selbst zu administrieren.

Selbst zu administrieren ist keine gute Idee, Ausser man ist, Postmaster, Webmaster, DatenbankAdministrator, SystemAdministrator, PHP Entwickler, Webdesinger und WordPress Expertin in einer Person - die berühmt berüchtigte eierlegende Wollmilchsau.

Es gibt WordPress Agenturen die für kleines Geld die Wartung übernehmen und auch in der Haftung stehen.

Zitat von bronzeton

Hierfür wollte ich mir eine Aufgabenliste zusammenstellen, was an einmaligen sowie an regelmäßigen sicherheitsrelevanten/sonstwie empfehlenswerten Tätigkeiten ansteht. (Zum Beispiel: um ssl Zertikfikat kümmern, updaten, sonstige Schutzmaßnahmen etc.)
Daher meine Frage, wie trage ich mir solche Infos am besten zusammen. Gibt es irgendwo z.B. eine empfehlenswerte "FAQ: Ersteinrichtung, Schutz und Wartung"

Bei der Einrichtung von WordPress kann man bereits viele Fehler - sicherheitsrelevante Fehler - machen. Mike Kuketz hat in seinem Blog einmal eine Artikelserie über WordPress Sicherheit geschrieben.[size=24]https://www.kuketz-blog.de/der-richtige-h…cherheit-teil1/[/SIZE]
https://www.kuketz-blog.de/der-richtige-h…cherheit-teil1/

Es ist ein Blick von einem Sicherheitsexperten auf WordPress.

WordPress ist von der Wartung her ein sehr aufwendiges Projekt. An irgendeiner Stelle schraubt irgendeiner immer einen Fehler in das System und gibt nach wenigen Monaten rumbasteln dann auf. Vor diesem Hintergrund haben wir sehr viele Blogs mit vielen WordPress Plugins und Themes, die von den Entwickler schon lange nicht mehr gepflegt werden. Rein aus dem Bauch - WordPress Plugin Entwickler geben nach 2 Jahren auf und WordPress Theme entwickler nach 3-4 Jahren. Und das richtige blöde ist, dass du keine Nachricht darüber erhälst, ob das Plugin oder Theme noch gepflegt wird oder nicht.

Wir installieren in der Regel zwei identische Systeme. Bei Updates von WordPress können wir dann in einer "Testumgebung" prüfen, ob Kompatibilitätsprobleme auftreten. Plugins, die nicht mehr funktioneren enben suchen oder auch Probleme mit Themes beseitigen... besonders beliebt sind hier jQuery updates. WordPress lebt bei jQuery die Steinzeit und man selbst fährt die aktuellen Versioen...

Ein anderes Problem sind die PHP Versionen. WordPress hält leider an sehr alten PHP Versionen fest. Beispiel:
Der Support für PHP 5.6 und PHP 7.0 im Dezember 2018 eingestellt. Diese Versionen werden nicht weiterentwickelt und sind somit zu einem Sicherheitsrisiko geworden.

Am 1 Dec 2019 endet PHP 7.1
https://www.php.net/supported-versions.php

Und wenn man kein PHP Entwickler ist kann die Migration auf eine neue PHP version schon ein Problem werden.

So sieht die Migration Hilfe von PHP von 7.2 auf 7.3 aus
https://www.php.net/manual/de/migration73.php

In weinigen Wochen gibt es PHP 7.4.

Der entwickler.de schreibt
8<-
Der WordPress-Standardeditor Gutenberg ist in Version 5.7 mit einem neuen Block-Appender erschienen. Die Planung für WordPress 5.3 läuft und einige Features stehen bereits fest. Wir haben die Highlights im Blick.
8<-
https://entwickler.de/online/php/gut…-579893402.html

Die Sicherheitsexprten lesen hier jeden morgen die Nachrichten vom CVE
https://de.wikipedia.org/wiki/Common_Vu…s_and_Exposures

Da wir eingene Server (Hardware) betreiben. Werden täglich System updates durchgeführt. Backup und Systemsicherheit überlasse ich keinen PHP Scriptchen sondern richtigen Tools.

Sollten Dateien sich auf dem System ändern (neue hinzu oder alte verändert) erhält der Systemadmin eine Mail und kann prüfen ob die Änderungen von einem Hacker oder gewollt waren.

Ich lege viel Wert auf Weiterbildung... auch für Sicherheit und WordPress werden Schulungen gebucht.

LG

Ralf

Na ja, man muss halt auch schauen, welchen Zweck das WP-Projekt erfüllen soll. Die von mir beschriebenen Anforderungen sind für ein kleineres Projekt gedacht. Wenn bronzeton z. B. eine Hobbyseite oder eine Webvisitenkarte aufsetzen will, ist das, was ich vorschlage, wohl absolut ausreichend. Wenn sie dagegen ein internationales Magazin mit 20 Redakteuren und stündlich neuem Content usw. machen will, wäre es besser mehr zu machen. Dann gehen deine Vorschläge @r23 in die richtige Richtung.

Zitat von Raphael

Na ja, man muss halt auch schauen, welchen Zweck das WP-Projekt erfüllen soll.

Einem gehackten WordPress Blog ist es erst einmal egal ober die Online Reputaion von einem einzelnen Betreiber oder von einem Team vernichtet wird. Schweinkarm und Schadcode in einer gehackten Seiten schadet immer und macht sicherlich keinen Unterschied in der größe dahinter.

Bei Schadenersatz bei nicht Erfüllung von Sorgfaltspflichten macht der Gesetzgeber seit 2014 keinen unterschied mehr sondern hat seit dem noch einiges mehr gefordert und eingeführt
https://www.golem.de/news/innenmini…412-111244.html

Zitat von Raphael

Updates: [...] Im Grunde solltest du täglich nachsehen, vor jedem Update ein Backup machen und vorher/ nachher vergleichen.

Zitat von Raphael

Na ja, man muss halt auch schauen, welchen Zweck das WP-Projekt erfüllen soll. Die von mir beschriebenen Anforderungen sind für ein kleineres Projekt gedacht.

Nur aus Interesse: Bei kleineren Projekten machst du tägliche Updates mit vorherigem Backup und anschließender Funktionsprüfung?
Das wird ja schon bei einer überschaubaren Menge an Kunden schnell ein Fulltime-Job (mit entsprechenden Kosten für den Kunden).

@danielgoehr Nein, natürlich nicht. Das ist ja genau was ich sagte: Man muss sich wohl die Projektgröße ansehen. Bei einer Webvisitenkarte oder einem privaten Blog macht es wohl keinen Sinn diese Prozedur durchzuführen. Wenn die TEin eine Seite managen will, die einen Shop hat oder Abonennten hat, wo vielleicht sensible Daten von mehreren tausend Leuten hinterlegt sind, sind die -Sicherheitsvorkehrungen wohl andere.

Das was ich vorgeschlagen habe (automatische Updates und Backups), halte ich für eine vertretbare Variante Sicherheitsroutinen für kleinere Projekte abzuarbeiten. Das war ja in meinen Augen das Thema: Die Regelmäßigen Routinen.

[EDIT] Ich sehe, es wurde auch nach einmaligen Sachen gefragt. [/EDIT]
OK, also Einmaliges: Darüber hinaus kann man dann z. B. den Hauptadministrator nicht mit der ID=1 und dem Passwort "Passwort" ins Rennen schicken, bzw. sollte auf jeden Fall auf sichere PWer für alle achten. Und ganz allgemein darauf achten, dass Mitarbeiter (falls es welche gibt) nicht Adminrechte haben, sondern nur Rechte für Tätigkeiten, die sie machen müssen. Plugins wie https://wordpress.org/plugins/wordfence/ kann man auch nutzen, die bieten viele Möglichkeiten. Die Datenbank muss man nicht unbedingt mit dem Standardprefix wp_ betreiben und man kann auch ihr ein sehr sicheres Passwort geben. Das fällt mir spontan ein.

Zitat von Raphael

@danielgoehr Nein, natürlich nicht. Das ist ja genau was ich sagte: Man muss sich wohl die Projektgröße ansehen.

Ah ok. Ich hatte das jetzt so verstanden, deswegen die Nachfrage. War aber auch wirklich nur Interesse. :)

Generell gibt auch die entsprechende Seite im Codex einen ganz guten Überblick:
https://wordpress.org/support/article/hardening-wordpress/

Auch wenn man das nicht alles machen muss und auch nicht alles immer wirklich sinnvoll ist. Aber es liefert für den Anfang schon mal einiges an Informationen zu dem Thema.

Zitat von bronzeton

Derzeit bietet er mir PHP 5.4.45 ..

Alleine das sollte für einen sofortigen Wechsel ausreichen, wenn man sich auch nur ansatzweise um "sicheren Betrieb" Gedanken machen möchte. PHP 5.4.45 ist vom September 2015(!).

Zitat von bronzeton

Könnte die veraltete Version der Grund sein, dass Wp 5.2.2 sich gar nicht installieren lässt?

Ja, die älteste noch unterstütze Version ist 5.6.20.

https://wordpress.org/news/2019/04/m…version-update/

Zitat von bronzeton

... kann derzeit nicht geupdatet werden...

Hier sollte man wohl eher über einen Hostingwechsel nachdenken, statt sich mit völlig veralteter Software abzugeben...

Installiere eine WordPress Version, die ähnlich alt wie die vorhandene Serverumgebung ist, dann sollte es keine Probleme geben (ausser dass die Installation dann durch evtl. vorhandene Sicherheitslücken gehackt wird).

Die Anforderungen für die aktuelle WordPress Version stehen hier unter Anforderungen.