Sicherheit nur über functions.php?

Autor33

Hallo,
wenn man nicht will, dass die WP-Version im Code erscheint und außerdem der Benutzername nicht als CSS-Klasse (im Kommentar) erkennbar sein soll, dann lässt sich beides durch entsprechenden Code in der functions.php eliminieren.

Aber ohne functions.php geht das wohl nicht? Zum einen ist das beim nächsten Theme- oder WP-Update wieder weg und zum anderen sollte man gerade als Laie nicht an den Templates rumdoktern...

Darauf verzichten will ich aber nicht, also Risiko und jedes Mal wieder ergänzen, bleibt mir nichts anderes übrig?

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

Michi91

Selbst wenn die Version nicht im Code erscheinen würde, ein hacker könnte einfach nach der Reihe alte Bekannten sicherheitslücken durchtesten ;) Ausserdem hat jede Version bestimmte Merkmale, sodass es für ein Profi kein Problem sein wird die Version zu bestimmen.

Ausserdem ist Wordpress eher weniger das Sicherheitsrisiko, viel mehr sind es Plugins die von Hans und Franz geschrieben wurden...

Das mit der CSS-Klasse verstehe ich nicht, hast du mal ein Beispiel

maxe

musst du nicht in die functions.php schreiben, kannst du auch in ein eigenes Plugin packen.

Autor33

Zitat von Michi91

Selbst wenn die Version nicht im Code erscheinen würde, ein hacker könnte einfach nach der Reihe alte Bekannten sicherheitslücken durchtesten ;) Ausserdem hat jede Version bestimmte Merkmale, sodass es für ein Profi kein Problem sein wird die Version zu bestimmen.
Ausserdem ist Wordpress eher weniger das Sicherheitsrisiko, viel mehr sind es Plugins die von Hans und Franz geschrieben wurden...

Das mit der CSS-Klasse verstehe ich nicht, hast du mal ein Beispiel

Schau mal da bei
http://www.drweb.de/magazin/eine-w…rekt-absichern/ am Ende von "1."

Alles lässt sich irgendwie knacken, aber man macht es halt den Hackern so schwer wie möglich, damit sie sich auf die leichten Opfer konzentrieren.

Autor33

Zitat von maxe

musst du nicht in die functions.php schreiben, kannst du auch in ein eigenes Plugin packen.

Selbst ein einfaches Plugin schreiben, das die Einträge dann in die functions.php schreibt oder an dessen Stelle für die gewünschten Effekte sorgt?

maxe

welches für die Effekte sorgt. Dann ist es nicht Theme abhängig und wird auch bei keinem Update überschrieben.
Mal auf die schnelle ein Plugin-Kopf mit den entsprechenden Codes. Da kannst du dann alles mit reinpacken was du willst.:

PHP

<?php
/*
Plugin Name: WP-Sec
Description: Entfernt die WP-Version und die comment-author-Class
Author: maxe
Author URI: 
Plugin URI: 
Version: 1.0
*/


if (!function_exists ('add_action')) {
  header('Status: 403 Forbidden');
  header('HTTP/1.1 403 Forbidden');
  exit();
}




// Remove wp_generator
remove_action('wp_head', 'wp_generator');




// Remove the Class comment-author-
function remove_comment_author_class( $classes ) {
  foreach( $classes as $key => $class ) {
    if(strstr($class, "comment-author-")) {
    unset( $classes[$key] );
    }
  }
  return $classes;
}
add_filter( 'comment_class' , 'remove_comment_author_class' );
?>

Alles anzeigen

Aber gibt ja auch schon längst solche Security-Plugins.

Autor33

Cool, einfach mal schnell ein Plugin geschrieben:). Danke.

Mit "...alles reinpacken, was du willst" meinst du noch weitere, andere Sachen?
Zum Beispiel der Code zum Abschalten der Login-Fehlermeldung, der ebenfalls in die functions.php käme üblicherweise.

Die beiden restlichen Punkte auf meiner "Sicherheitsliste", nämlich "Zugriff auf Ordner verhindern" und "Schutz der wpo-config.php" müssen wohl zwingend in die .htacess?

maxe

ja genau, so meinte ich es.
Das andere kommt in die .htaccess, die beim Update ja auch unberührt bleibt.

Autor33

WO man solche Ergänzungen in der functions.php hinterlegt, ist wieder egal, d.h. da kan man nichts falsch machen?

Ein "paar" solche Ergänzungen in der htaccess schaden der Performance nicht?

Michi91

Nein, die Änderungen sollten die Performance nicht verschlechtern :)

Wichtig ist zudem das du wirklich sichere Passwörter verwendest, Groß / Kleinschreibung Zahlen Umlaute und Sonderzeichen und natürlich angemessen lang

Autor33

Ja, gute PW. Der Tipp, einen Spruch oder längeren Songtitel ect. mit dessen Anfangsbuchstaben zu nehmen, ist eine gute Idee, Merkbarkeit mit Sicherheit zu kombinieren.

Die Sachen für die functions.php dann einfach direkt in WP mit dessem Editor eintragen, irgendwo, z.B. ganz am Schluss. Dort alle Ergänzungen sammeln, das fördert die Übersichtlichkeit und lässt sich schön extern abspeichern, um nach Theme-Updates wieder dort einzutragen. Kommentarzeilen nicht vergessen.
Alles korrekt so?

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Sicherheit nur über functions.php?

Jetzt mitmachen!