Um schreiben oder kommentieren zu können, benötigen Sie ein Benutzerkonto.
Sie haben schon ein Benutzerkonto? Melden Sie sich hier an.
Jetzt anmeldenHier können Sie ein neues Benutzerkonto erstellen.
Neues Benutzerkonto erstellen
Das ist doch schon mal ein konkreter Ansatzpunkt. Und gleich hat da schon wieder jemand Bedenken, wenn ich suche:
Wo hast du das her? Link?
@threadi
Schaue mir gerne iThemes auch mal an. Kenne ich noch nicht.
Frage 1: Kann iThemes meine o.g. 4 Punkte?
Frage 2: Warum hattest du XML-RPC nicht gleich und grundsätzlich geblockt?
Hallo!
Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.
Wo hast du das her? Link?
Frage 2: Warum hattest du XML-RPC nicht gleich und grundsätzlich geblockt?
Was ist das? o_O
Ich komme jetzt doch in Fahrt dank @meisterleise und @threadi und habe meine Auswahl auf zwei Plugins eingeschränkt. Ich werde die jetzt auf zwei verschiedenen Websites anwenden und das nehmen, das ich als erstes verstehe (was ja auch Jahre dauern kann bei mir ;))
Was ich aber dazu gelernt habe ist, dass das Einloggen maximal erschwert werden soll. Und das werde ich als erstes tun.
Frage 1: Kann iThemes meine o.g. 4 Punkte?
Jain. Geoblocking nicht. Das begründen die Entwickler hier: https://help.ithemes.com/hc/en-us/artic…f-GeoIP-Banning
Frage 2: Warum hattest du XML-RPC nicht gleich und grundsätzlich geblockt?
Da es leider tatsächlich noch von Plugins bei diesem (und anderen Projekten auf dem System) genutzt wird. Liegt leider außerhalb meiner Entscheidungsmacht.
Das trifft den Nagel auf den Allerwertesten :), denn das ist tatsächlich mein Ziel.
Du machst Dir das Leben unnötig schwer. Gegen Brute-Force-Angriffe genügt ein sicher Passwort und der Einsatz von fail2ban auf Serverebene. Dann hast du Ruhe. IP's, welche dann Fehlversuche starten, werden für die nächsten 24 Stunden einfach gebannt. Oder länger.
Für fail2ban gibts sogar ein Plugin. Hab's aber nicht gestesten, da fail2ban bei mir auf Servereben bereits arbeitet.
Ooch geht aber. Aber ich werde nun vor allem mal meine Einloggdaten überarbeiten.
Hast Du einen eigenen Server oder läuft das auf dem Server Deiners Providers?
Hast Du einen eigenen Server oder läuft das auf dem Server Deiners Providers?
Ich habe einen eigenen Server (Debian 11).
Ah ja, das lohnt sich für mein Hobby nicht :). Aber das Plugin werde ich testen. Wird ja wohl ständig gepflegt, zuletzt vor 1 Monat. Danke.
..., weil es der ideale Angriffspunkt für Brute-Force ist, weshalb ich das auf allen Seiten direkt per htaccess deaktiviere.
Und wie geht das? Ist das der Weg?
Meine Frage und die Antworten darauf haben mich auf die Idee gebracht, eine Anleitung für Benutzer nicht gewerblicher Websites zu erstellen. Ich habe auf dieser nicht öffentlich zugänglichen Seite mein bisheriges Wissen zusammengefasst. Wer möchte, kann sich das ja gerne einmal anschauen, mir Änderungsvorschläge machen oder ergänzen. Und meine Idee ist, das dann hier im Forum als von mir aus Sicherheitsratschlag für alle zu veröffentlichen. Wie ist dazu die Meinung? Sollte ich die Absicherung über .htaccess noch dazu nehmen?
Es wäre mir wirklich eine große Hilfe. ;)
Aber dein gefundener Artikel auf die Sicherheitslücke ist von 2020, also in Webzeitrechnung uralt. Der Artikel ist 1. nicht mehr relevant und 2. wenn du keine neuere Warnung findest eher ein Hinweis darauf, dass die Entwickler ihre Arbeit getan haben und seit 2 Jahren es niemand mehr geschafft hat, das Plugin zu hacken.
Jain. Geoblocking nicht. Das begründen die Entwickler hier: https://help.ithemes.com/hc/en-us/artic…f-GeoIP-Banning
Danke für die Antwort, @threadi. Der Argumentation der Entwickler gegen das GeoBlocking würde ich allerdings nicht zustimmen. Durch das Geoblocking konnte ich idR 80-90% der Anmeldeversuche abblocken, da ein Großteil eben doch aus USA, China, Russland, Türkei kommt. Vor dem Krieg war auch die Ukraine sehr stark vertreten. Hier ein aktuelles Beispiel:
XML-RPC Was ist das? Und wie geht das? Ist das der Weg?
XML-RPC ist eine nostalgische Schnittstelle, die idR niemand braucht außer Hacker, weshalb man sich fragen darf, warum die WP Entwickler es nicht wenigstens standardmäßig deaktivieren und dem Ding einen Einschalter spendieren für die, die es nutzen möchten. :confused:
Ja, dein Link ist richtig. Wobei ich jetzt nicht weiß, ob der ganze Kram mit der functions.php wirklich sein muss. Ich deaktiviere XML-RPC nur über htaccess.
Gegen Brute-Force-Angriffe genügt ein sicher Passwort und der Einsatz von fail2ban auf Serverebene.
Liest sich so, als mache fail2ban nur auf eigenen Servern Sinn und nicht auf Hostingpaketen, richtig?
Ich habe auf dieser nicht öffentlich zugänglichen Seite mein bisheriges Wissen zusammengefasst.
Vielleicht ein bisschen zu schnell. Vielleicht solltest du die Sachen erst einmal ein Weilchen testen und Erfahrungen sammeln und Erkenntisse gewinnen? Du siehst ja, schon bei nur 3 Leuten: @threadi @B-52 @meisterleise geht die Vorgehensweise in unterschiedliche Richtungen. Der Nächste, der sich hier zu Wort meldet, sieht es möglicherweise wieder ganz anders.
Ich kann nur sagen, ich habe mit meinem 4. Punkte System bisher gute Erfahrungen gemacht. Seiten, die vorher mehrfach gehackt worden waren sind seitdem (seit 2-3 Jahren) nicht mehr gehackt worden. (Kann an meinem System liegen, kann natürlich auch einfach nur Glück sein).
Schonmal technisches Feedback zu deiner Seite @Kurt Singer : ich habe es hier schon mehrmals erwähnt: der DIVI Builder hat irgendwie einen Bug. Webseiten, die mit DIVI gebaut wurden, lassen sich auf einem Macbook mit Trackpad nicht richtig scrollen. :(
@meisterleise Danke für Deine Anmerkungen. Hätte ich am Anfang schon gewußt, wohin der Thread steuert, hätte ich eine andere Überschrift gewählt, z.B. Teststation oder so.
Ja natürlich, auch wenn man im Web surft findet man tausend Anleitungen zum Sichern einer Website. das ist es ja, was dann Leute wie mich und meinesgleichen verunsichert. Was mache ich denn, und zwar so, dass es der weitgehend unbedarfte Websiteersteller auch händeln kann. Der stellt seine Katzen vor, seinen Hund oder sein Blumenbeet, auch seinen Verein oder seine Kaninchen. Der wird sicher auch nur zufällig durch Bots entdeckt. Aber wer seine Website durch einfach durchzuführende Maßnahmen vor Zugriffen schützt, verhindert auch, dass ohne das Wissen des Betreibers ein gemeinsames Ziel angegriffen und dabei Spam-Mails verschickt werden, Malware verbreiten und/oder DDoS-Angriffe durchgeführt werden. Ob da jetzt wirklich jeder auch noch Plugins wie fail2ban einsetzt und die . access bemüht werden muss sei ja dahin gestellt. Vielleicht sollte man noch eine Kurzanleitung hinzufügen, wie man XML-RPC gleich und grundsätzlich blockt.
Dann hat doch die private Website schon mehr Schutz, als jetzt - was weiß ich - 80 % aller privaten Websites.
Und das "langsam mit den Hühnern" mache ich ja dadurch, dass ich diese Ratschläge noch nicht öffentlich mache, sondern erstmal auf der nicht öffentlichen Seite sammele und hier um Hilfe und Unterstützung bitte. Ob dann irgendwann eine solche Anleitung hier im Forum allen Privatiers ampfohlen wird überlasse ich letztendlich der Meinung der Community und der Entscheidung der Admins/Mods.
Und was den Divi Builder betrifft: nach meinem Umstieg von NetObjects Fusion kam ich zu Wordpress und habe mir dann willkürlich einen Pagebuilder gesucht, bin dann haltt da gelandet, wo der Divi Builder als Grundlage dient. Auf meinen Seiten lege ich so gut wie keinen Wert auf Smartphone- oder Tablet - Kombatibilität, ich passe die Seiten meiner Bildschirmgröße an und sorge dafür, dass sie mit Tablet und Smartphone zumindest erreichbar und lesbar sind. Sorry dafür, aber dabei bleibe ich. Zumindest so lange, bis ich meine Kenntnisse weiter entwickelt habe, was ich allerdings für unwahrscheinlich halte.
Und für die Sicherheit meiner Seiten habe ich heute alle Benutzernamen geändert und neue Passwörter mit mindestens 20 Stellen, Groß- und Kleinschreibung und einige Sonderzeichen vergeben. Das muss erstmal reichen. Meine restliche Einstellung ist ja bekannt.
P.s.: leider weiß ich nicht, ob ich diesen Thread irgendwie auf "nichtöffentlich" setzen kann. Gibt es denn so etwas wie einen nichtöffentlichen Raum? Ich kenne das aus anderen Foren.
Liest sich so, als mache fail2ban nur auf eigenen Servern Sinn und nicht auf Hostingpaketen, richtig?
Das weiss ich nicht, da ich das Plugin nicht kenne und nicht nachvollziehen kann, was es genau tut und welche log-Files dies genau ausliest. Auf Serverebene jedenfalls arbeitet das Paket sehr effizient.
@Kurt Singer Deine Thailand Seite hat übrigens kein Scrollproblem wie die Kurt Singer Seite, obwohl beide mit DIVI erstellt sind. Vielleicht gibt es ja in DIVI irgendwo noch eine Einstellung zum Scrollverhalten? :rolleyes:
Also ich habe auf meinem Samsung und dem iPhone keine Scrollprobleme, eher eins mit dem Hamburger Menu o_O
Das glaube ich dir – dafür benötigst du nämlich ein Macbook mit Trackpad und macOS. ;)
Oh je, jetzt soll ich auch noch Mac... berücksichtigen, also den Teil der Bevölkerung, der eh schon alles kann :rolleyes:
Du musst überhaupt nichts berücksichtigen. War nur ein Ansatz, herauszufinden, warum DIVI Webseiten so oft auf Macs verrückt spielen...
Mir im Prinzip egal, ob DIVI Seiten auf Macs laufen. :p
Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!
