Sicherheit - Loginname verbergen

Stell in deinem Profil bitte wieder das ein, was die Leute sehen dürfen und sollen. Also bspw. deinen echten Namen, deinen Spitznamen, oder was auch immer. Dann nimm ein Tool wie phpMyAdmin, öffne die WP-Datenbank und gehe in die wp_users-Tabelle. Dort änderst du das Feld "user_login" auf den Anmeldenamen, der den Leuten eben nicht bekannt sein soll.

So habe ich das gemacht, weil ich die gleiche Idee hatte. Die meisten potentiellen Angreifer versuchen ja den "admin" oder den Namen, den sie im Blog sehen, und genau deswegen habe ich das auch gemacht. Funktioniert exakt so, wie du es wünscht.

Gib mal ein Beispiel für die Behauptung.

Mit anderen Worten: ich habe Recht, oder wie? :mrgreen:

Zitat von marX

Mmh, ich glaube nicht. Also nochmal langsam, wenn ich irgendwo nen Denkfehler hab sag bescheid. ;-)

Ich glaube, dass du einen Denkfehler hast.

Mein Blog läuft nämlich nach der von mir beschriebenen Funktion. Die URL für das Autorenarchiv wird bei WP aus dem "user_nicename" gebildet. Ich sehe es in zwei Blogs, in denen ich aktiv bin. In einem steht mein Vorname als Link zum Autorenarchiv, im anderen meine Initialen. In beiden Blogs logge ich mich jedoch mit ganz anderen Benutzernamen ein.

Die erscheinen dann zwar in der Liste der Benutzer (d.h. wenn ich den Blog nicht selbst betreue, kann der Admin den echten Benutzernamen sehen), aber diese "Lücke" ist idR zu vernachlässigen (PS: Weil der Admin ja sowieso kompletten Zugang zum Blog hat.)

Du kannst mir schon vertrauen. In diesem speziellen Fall weiß ich, wovon ich rede.
Du kannst mir auch vertrauen, Sandra.

Edit: Ich reiche sogar noch den Nachweis nach (für die technisch Interessierten):

function get_author_posts_url($author_id, $author_nicename = '') {
    global $wp_rewrite;
    $auth_ID = (int) $author_id;
    $link = $wp_rewrite->get_author_permastruct();


    if ( empty($link) ) {
        $file = get_option('home') . '/';
        $link = $file . '?author=' . $auth_ID;
    } else {
        if ( '' == $author_nicename ) {
            $user = get_userdata($author_id);
            if ( !empty($user->user_nicename) )
                $author_nicename = $user->user_nicename;
        }
        $link = str_replace('%author%', $author_nicename, $link);
        $link = get_option('home') . trailingslashit($link);
    }


    $link = apply_filters('author_link', $link, $author_id, $author_nicename);


    return $link;
}

(wp-includes/author-template.php)

Du kannst den "user_nicename" auch im Profil ändern (= Spitzname). In der Auswahlliste darunter (Im Blog anzeigen als) legst du nur fest, was der Leser lesen soll; oder in HTML-Code ausgedrückt:

<a href="spitzname">Im Blog anzeigen als</a>

;)

Zu deinem letzten Einwand: Ich bin mir mehr als sicher, dass WordPress meckern wird, wenn du versuchst, Namen einzustellen, die bereits in Benutzung sind. (Werde ich gleich mal testen!) Dieses Feature kann man nur aushebeln, wenn man die Datenbank direkt verändert. Und hier bitte ich noch einmal darum, meinen ersten Beitrag zu beachten! Ich rede davon, dass Sandra in ihrem Profil alles einstellt, was die Leser ihres Blogs ohnehin erfahren dürfen. Und dort (im Profil!) ist das Feld "Benutzername" ausgegraut und nicht änderbar. Darum sollte sie dann ein Tool wie phpMyAdmin verwenden und dort in der genannten Tabelle ausschließlich das erwähnte Feld ändern. Nichts anderes!

Zitat von marX

Genau das eben nicht! Der Spitzname (Nickname) liegt in der Usermeta-Tabelle (meta_key: nickname), und ist eben nicht der user_nicename (gerade getestet, WP 2.6.2 ;-))

Du hast Recht. Sorry, mein Fehler.

Ich ging von mir aus. Ich hatte ursprünglich in meinem Blog einen Benutzer angelegt, dessen Login- und Anzeigename mein echter Name war. Der Spitzname ist auch weiterhin mein Vorname, und in meinem privaten Blog steht der auch als Linktext auf der Seite.
Ich habe dann später via Datenbank (phpMyAdmin) das Feld "user_login" verändert. Ausschließlich dieses Feld, sonst nichts! Und seitdem zeigt mir der Blog zwar weiterhin meinen Namen an, aber anmelden muss ich mich ganz anders.

Bei Sandra ist das Problem ähnlich. Sie muss in der Datenbank das Feld "user_nicename" ändern (und nur das!), damit ihre URL für das Autorenarchiv den erlaubten Namen anzeigt.

Dass du auf die mögliche Gefahr hinweist, finde ich gut und richtig, aber ich möchte anmerken, dass ich beschrieben habe, worauf ich hinauswill, und wie es funktioniert. Mit den normalen Mitteln von WP kannst du den Schutz vor Doubletten nicht aushebeln. Das hast du selbst gemerkt! Und das direkte Ändern in der Datenbank unterscheidet sich nicht vom direkten Ändern von Konfig- o.ä. Dateien anderer Software. Auch hier muss man wissen, was man tut. Und wer wider besseren Wissens irgendwelche Angaben ändert, obwohl er genau weiß, dass sich das mit bereits vorhandenen Daten überschneidet, der handelt grob fahrlässig.

Noch einmal: auf irgendeine Kleinigkeit zu verzichten, nur weil ein Risiko besteht, halte ich für falsch. Wenn es sich umsetzen lässt, und wenn man jeden auf mögliche Gefahren hinweist, dann reicht das meiner Ansicht nach aus. Und wenn sich Sandra strikt an unsere beiden Vorgaben hält, passiert überhaupt nichts.

Das Anliegen von ihr verstehe ich sehr gut, denn ich hatte die gleiche Idee. Auch mir hat es nicht gefallen, dass jemand meinen Benutzernamen sieht und damit nur noch das Passwort erraten muss. Darum habe ich die von mir beschriebene Änderung vorgenommen. Und dank Frank (und einem Artikel in seinem Blog) habe ich auch noch die Anzeige der Fehlermeldung deaktiviert. Ein potentieller Angreifer sieht bei mir nicht, was er falsch gemacht hat. Bei einer Fehlanmeldung erscheint nur noch ein leerer roter Kasten. Die Meldung, ob Benutzername und/oder Kennwort falsch waren, fehlt völlig.