Um schreiben oder kommentieren zu können, benötigen Sie ein Benutzerkonto.
Sie haben schon ein Benutzerkonto? Melden Sie sich hier an.
Jetzt anmeldenHier können Sie ein neues Benutzerkonto erstellen.
Neues Benutzerkonto erstellen
Ich bin dabei, das Thema Sicherheit auszuarbeiten. Darunter fällt ein Punkt: wp-config.php durch einen Eintrag in die .htaccess schützen. Dazu soll dieser Zusatz unterhalb von #END Word Press eingetragen werden:
<Files wp-config.php>
order allow,deny
deny from all
</Files>Mache ich das, gehe auf Einstellungen > Permalinks und dort auf "Änderungen speichern" wird die .htaccess überschrieben und der Zusatzcode ist weg. Kann/darf/muss ich das irgendwie verhindern?
Hallo!
Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.
Wenn der Apache aus der Steinzeit kommt funktioniert der Eintrag. Bei aktuellen WebServern halt nicht. Mehr im Apache Handbuch.
Wie genau sieht die [FONT=Courier New].htaccess[/FONT] mit dem eingefügten Code aus?
und der Zusatzcode ist weg
Dann hast du den Code wahrscheinlich innerhalb und nicht unterhalb # END WordPress platziert (wie auch in deiner Quelle beschrieben). ;)
Generell halte ich diese Maßnahme aber für überaus überflüssig, da die Datei bereits vom Server geschützt ist und auch dem Jonas von Kulturbanause scheinen hierfür die Argumente zu fehlen, sonst hätte er sie vielleicht mal genannt? Auch dass der Nutzen des Codes von der Apache Version abhängig ist, führt er nicht auf. Seltsam. Normalerweise ist Kulturbanause eine gute Quelle. Naja, schaden kann man damit zumindest nicht. :cool:
da die Datei bereits vom Server geschützt
Ist es das? Ich würde nein sagen.
Es kann immer mal vorkommen, dass der PHP Dienst abschmiert. Dann wäre die Config im Klartext auszulesen.
Der Schutz ist nicht dumm, eher Gold wert.
# This file was updated by Duplicator on 2023-09-14 13:22:42.
# See the original_files_ folder for the original source_site_htaccess file.
# BEGIN WordPress
# Die Anweisungen (Zeilen) zwischen „BEGIN WordPress“ und „END WordPress“ sind
# dynamisch generiert und sollten nur über WordPress-Filter geändert werden.
# Alle Änderungen an den Anweisungen zwischen diesen Markierungen werden überschrieben.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress
<Files wp-config.php>
order allow,deny
deny from all
</Files>Bei aktuellen WebServern halt nicht.
Und wo gibt es diese "aktuellen WebServer" bzw. wo liegt die Steinzeit? :eek:
Ist es das? Ich würde nein sagen.
Darum schrieb ich ja auch nicht "das ist überflüssig", sondern "ich halte es für überflüssig".
Soll auch Leute geben, die steigen in ein Auto ohne Seiten-Airbag nicht ein, weil ihnen das zu unsicher ist. ;)
Am Rande:
Da der Code "deny from all" aber seit Apache 2.4 (und damit seit über 10 Jahren) veraltet ist, könnte man schon die Frage stellen, ob Kollege Jonas up to date ist. :oops:
Der Code sollte nicht verschwinden beim Permalinks neu speichern. Welche WordPress Version? Welche Plugins laufen?
A) 6.3.1
B) s. Anhang, installiert, weil ich sie im Tutorial erkläre
Das Verschwinden werde ich aber nochmal testen.
So, nun habe ich mit neuer .htaccess und erneutem Einfügen des Schutzcodes das getestet, und wie in #9 geschrieben bleibt der Code bestehen:
# BEGIN WordPress
# Die Anweisungen (Zeilen) zwischen „BEGIN WordPress“ und „END WordPress“ sind
# dynamisch generiert und sollten nur über WordPress-Filter geändert werden.
# Alle Änderungen an den Anweisungen zwischen diesen Markierungen werden überschrieben.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress
<Files wp-config.php>
order allow,deny
deny from all
</Files>Interessieren würde mich aber nun, wo im Apache Handbuch etwas über Altern steht. Außerdem habe ich bei Jonas danach gefragt, wann eine Antwort kommt, weiß ich natürlich nicht.
wo im Apache Handbuch etwas über Altern steht
Schau mal hier.
Ja, danke, aber wo habe ich auf die Apache Version Einfluss?
Ja, danke, aber wo habe ich auf die Apache Version Einfluss?
was machst du eigentlich noch hier?
https://forum.wpde.org/threads/accoun…-12#post-832553
Hier geht es um WordPress und nicht um WebServer.
das Handbuch vom Apache gibt es hier
https://httpd.apache.org/
Ja, danke, aber wo habe ich auf die Apache Version Einfluss?
Durch Aktualisierung der Software am Server. Sprich: dein Hoster ist verantwortlich.
was machst du eigentlich noch hier?
Bist Du hier Admin oder Moderator? Wenn beides nein - dann geht Dich das einen feuchten Kehricht an.
Hier geht es um WordPress und nicht um WebServer.
Und was hat KI mit Wordpress zu tun?
Sprich: dein Hoster ist verantwortlich.
Ok, danke. Wie dumm ist dann dieser Kommentar?
Wenn der Apache aus der Steinzeit kommt funktioniert der Eintrag. Bei aktuellen WebServern halt nicht. Mehr im Apache Handbuch.
Ich habe inzwischen Antwort von Jonas, die ich hier gerne komplett veröffentliche.
Hallo Kurt,
vielen Dank für deine Nachricht.
In deinem Forum wird geschrieben, dass die Maßnahme »überaus überflüssig« sei – das kann ich tatsächlich nicht beurteilen und Infos dazu waren mir bisher nicht bekannt.
Details und Quellen hätten mich jetzt natürlich sehr interessiert. Solange es überflüssig und nicht schädlich ist, finde ich es noch nicht arg schlimm, würde darauf in unserem Artikel allerdings gerne eingehen können. Der Artikel ist einige Jahre alt und inhaltlich nicht mein Spezialgebiet. Wir stützen uns hier auf die offiziellen Infos in der WordPress-Dokumentation, in der die beschriebene Maßnahme nach wie vor unter dem Sicherheitsaspekt aufgeführt wird.
https://codex.wordpress.org/de:WordPress_a…r_wp-config.php
Auch auf WordPress spezialisierte Server-Anbieter, die die im Forum beschriebenen Aspekte besser beurteilen können als ich, schreiben dazu:
https://kinsta.com/de/blog/wp-config-php/
Wenn du fundierte Details in Erfahrung bringen kannst, freue ich mich sehr unseren Inhalt dahingehend zu korrigieren, zu ergänzen bzw. zu konkretisieren.
Vielleicht kann das Forum dabei helfen, seine Ausführungen zu überarbeiten, zumal ja die Meinung geäußert wurde, dass sie normalerweise eine gute Quelle sind.
Ich werde mich auch mit seinen verlinkten Quellen beschäftigen und sie im Tutorial verwenden.
Hmm, ich dachte, die wesentlichen Argumente seien ausgetauscht? :rolleyes: Wie:
Man könnte sich also auf die Formel einigen:
Wer maximale Sicherheit und alle Eventualitäten abdecken möchte, setzt den Befehl ein, da er nicht schaden kann.
Man könnte dann höchstens noch anmerken, dass – auch wenn der Code in dieser Form funktioniert – er nicht mehr der aktuellen Syntax* entspricht (wobei "aktuell" stark übertrieben wäre, da Apache 2.4 schon an die 10 Jahre alt ist und ein Hostinganbieter mit einem älteren Apache wohl kaum noch zu finden sein dürfte). Die aktuelle Syntax wäre demnach:
<Files wp-config.php>
Require all denied
</Files>* Quelle: apache.org
p.s.: Das sind Dinge, die ich im Laufe der Zeit gelernt und aufgeschnappt habe. Ich bin Webdesigner. Serverkonfiguration im allgemeinen und Apache im besonderen sind überhaupt nicht mein Fach. :cool:
Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!