wp-signup unterbinden (ruft Login Seite auf)

Tipp: Passwörter raten machen viele Bots über xmlrpc.php, dafür braucht man kein Login-Formular...

Nutze ein sicheres Passwort, in der Kompexität wie unter Deinem Benutzer > Profil > Passwort vorgeschlagen, das ist völlig ausreichend.

Die Möglichkeit zum Anpassen des Tabellen Präfix (das macht man am besten direkt und ausschliesslich zum Zeitpunkt der Erstinstallation) ist dafür da, dass man mehrere WordPress Installationen in einer Datenbank nutzen kann. Das war früher mal interessant, als für zusätzliche Datenbanken beim Hosting hier und da noch richtig viel Geld verlangt wurde.

Oft liest man in irgendwelchen ganz tollen und meist alten "Tutorials", dass eine Änderung des Präfix einen Sicherheitsvorteil bieten würde, das ist mMn. Quatsch. Wenn ein Angreifer bereits in der Lage ist, über Tabellennamen auf Daten zuzugreifen, nutzt er eine sog. eine SQL-Injection (google) Lücke und man hat ganz andere Probleme als Tabellen zu "verstecken".

Was Du wie in welcher Firewall konfigurierst oder nicht, oder ob Du eine nutzt oder nicht, bleibt natürlich Dir überlassen. Manche schwören auf dies, manche auf das, manche auf was ganz anderes, die meisten haben aber keine Ahnung, was sie da nutzen.

Der wichtigste Punkt bei solchen Firewall u.ä. Plugins ist, dass man immer technisch zu 100% versteht, was da genau passiert, also was die entspr. Funktion der Firewall wie "verteidigt", und dazu wie WordPress sonst im Detail funktioniert, also ob/wie man den entspr. Angriffspunkt ggf. auch anderweitig umgehen könnte usw., sonst ist das oft nur "gefühlte" Sicherheit.

Irgendwelche IDs direkt in der Datenbank anpassen führt meist zu Folgeproblemen.

An Benutzernamen kommt man auch anders, sie werden zum Teil z.B. durch die REST-API ausgeplaudert, ein kleiner Nebeneffekt des ach so tollen Gutenberg Editors...

Um die REST API nach aussen abzuschalten gibt es diverse Plugins, wie auch diverse Plugins für das Abschalten von XML RPC. Schau Dir deren Code an, und bau Dir ggf. bei Bedarf ein eigenes kleines Plugin, das nur das macht, was Du willst und verstehst.

Am wichtigsten neben aktuellem Theme/Plugins/PHP/usw. ist ein sicheres Passwort, wie beschrieben so was ähnliches wie wenn man im Benutzerprofil auf "Passwort generieren" klickt.

Benutzer via REST-API sieht man ohne weitere Massnahmen so:

example.com/wp-json/wp/v2/users

Die Version einer WordPress Installation kann man anhand diverser Dinge ermitteln, auch z.B. aus der Kombination von vorhandenen JavaScript oder CSS Dateien mit entspr. unterschiedlichen Inhalten. Das kann niemand blocken.

Allerdings ist es den meisten Botnetzen sowieso völlig egal, welche Version oder ob überhaupt WordPress auf einem Server läuft, er wird mit allen möglichen Dingen bombardiert, vollautomatisiert.

Wenn Bots zu sehr nerven sollten, kann man die IPs eine Weile mitloggen und dann diese bzw. eine entspr. IP-Range direkt in der [FONT=Courier New].htaccess[/FONT] blocken, dann wird WordPress gar nicht mehr davon erreicht.

Wenn Du tatsächlich eine echte DDoS-Attacke exakt zielgerichtet gegen Deinen Server haben solltest, nutzt ein WordPress Firewall Plugin erst recht nichts und ist vielmehr kontraproduktiv, da es nur die Serverlast zusätzlich erhöht.

Wende Dich in so einem Fall am besten an Deinen Hostinganbieter, ein aufmerksamer Anbieter wird sowas aber ohnehin bereits selbst bemerkt haben und eigene Massnahmen ergreifen.

Alternativ blockiere z.B. für eine Weile alle Besucher via [FONT=Courier New].htaccess[/FONT] und werte alle IP-Adressen aus den Access-Logs aus, meist sind die heutzutage wg. DSGVO teilanonymisiert, aber das ist egal, da man in der Regel trotzdem eine IP-Range daraus ableiten kann und sperre dann all diese IP-Ranges grosszügig in der [FONT=Courier New].htaccess[/FONT], das fängt relativ viel ab.

Das hat mit WordPress aber rein gar nichts mehr zu tun. Dafür gibt es andere Foren, die sowas viel detaillierter und nicht nur so grob zusammengefasst behandeln.

Jedes System das fertige Seiten mit rein statischem HTML/JS/CSS generiert ist sicherer.

Voraussetzung ist natürlich, dass die FTP-, bzw. besser SFTP-Zugangsdaten nicht abhanden kommen...

XML-RPC geht an [FONT=Courier New]wp-login.php[/FONT] vorbei. Zugriffe auf [FONT=Courier New]wp-login.php[/FONT] werden auch für normale passwortgeschütze Seiten in WordPress benötigt. Zugriffe auf [FONT=Courier New]/wp-admin/..[/FONT] werden u.a. für AJAX-Aufrufe im Frontend von diversen Plugins und auch Themes benötigt. Eine wie auch immer geartete [FONT=Courier New].htaccess[/FONT] Sperre hat meistens unerwünschte Folgen. Daher sicheres Passwort, fertig.

Poste einen Beitrag o.ä. mit dem zweiten Admin.

Ich nutze dieses Plugin: https://de.wordpress.org/plugins/limit-…empts-reloaded/
Hab mich damit auch schon mal selbst ausgesperrt. Zudem habe ich die Api deaktiviert. Damit fahre ich eigentlich ganz gut.

Ich erstelle auf all meinen Kundenseiten folgende Konfiguration:
1. xmlrpc per htaccess unterbinden (im Gegensatz zu @b3317133 kann ich auf keiner Seite Probleme feststellen)
2. plugin limt-login (wie von @RTW auch vorgeschlagen)
3. wp-hide-login (Umleitung der loginseite)
4. iq-block-country (allen IPs außerhalb De den Zugriff auf das Backend verwehren)

Das ist für mich die bisher bestmögliche Sicherheitskombi und lässt 95% der Angriffe ins Leere laufen. Auch Bruteforce kommt da mE nicht durch. Natürlich gilt als 1. Regel das von @b3317133 angemerkte sichere Passwort, diese Regel hilft aber wenig, wenn man nie sicher sein kann, dass Kunden, Mitarbeiter und Redakteure sich daran halten, weshalb zumindest ich mich lieber auf meine eigene Sicherheitskombi verlasse.

Vielleicht sollte man an dieser Stelle auch nochmal anmerken, dass ein Backup eigentlich ein guter Garant ist, dass man seine Seite im Falle einer feindlichen Übernahme auch wiederherstellen kann.

Zitat von RTW

Vielleicht sollte man an dieser Stelle auch nochmal anmerken, dass ein Backup eigentlich ein guter Garant ist, dass man seine Seite im Falle einer feindlichen Übernahme auch wiederherstellen kann.

Auf jeden Fall! Fast genauso schlimm ist allerdings, wenn der Hacker deinen Webauftritt kopiert hat und als Fakeseiten online stellt. Dann hat man richtig stress.