Was ist WordPress?
Wie kann man WordPress angreifen?
Man will Spam- und Viren-Mails versenden.
Webseitenbesucher Schadsoftware aufspielen.
Private Daten ausspionieren.
Hacker benutzten spezielle Scripte und automatisierte Hacker-Software zum Angreifen.
Es gibt Distributed Denial of Service (DDoS)-Attacken: Server mit massenhaft Anfragen überlasten.
Es gibt Brute-Force-Angriffen: systematisches Durchtesten von Passwortlisten.
Der Code von den Dateien index.php and wp-settings.php kann verändert sein.
Wie kann man WordPress designen?
WordPress Titel .Man kann Seiten oder Beiträge nutzen.
Grafik mit gutem Dateinamen, auf für die Maße der Webseite passend groß und mit TinyPNG oder Smush komprimiert, einfügen.Plugins dienen dazu, sofort neue Inhalte auf allen Seiten zu integrieren.
Man kann eine Kommentarfunktion anbieten.
Wie kann man WordPress erweitern?
WordPress.org bietet die Möglichkeit Plugins zu nutzen.
Plugins nur behalten, wenn man sie nutzt, sonst wieder löschen für mehr Sicherheit.
Plugins prüfen und nicht einfach kaufen. Nachher braucht man es doch nicht.
Man kann selber Themes oder Plugins schreiben.
Man kann Veränderungen im Editor vornehmen.
Wo kann man WordPress installieren? Wie kann man WordPress installieren?
1. Möglichkeit
Man braucht eine Domain .
Man braucht Speicherplatz auf einem Webserver .
Man kann ein Angebot bei einem Hoster auswählen.
Man geht auf die Seite zur Verwaltung des Webspaces.
Man sucht vorinstallierte Programme (1-Klick-Installation).
Man sucht sich WordPress heraus.
2. Möglichkeit
Man braucht eine Domain .
Man braucht Speicherplatz auf einem Webserver .
Man kann ein Angebot bei einem Hoster auswählen.
Man braucht die Zugangsdaten zu seinem Webspace-Paket.
Man braucht ein FTP-Programm .
Man braucht die Zugangsdaten zur MySQL-Datenbank.
Man legt eine neue MySQL-Datenbank an.
Datenbankname, Benutzername, Passwort und Hostadresse, wenn sie nicht localhost heisst, aufschreiben.
Man lädt sich im Internet die neueste Version von WordPress herunter.
Man lädt den Inhalt des Verzeichnisses vom Ordner WordPress mit FTP auf seinen Speicherplatz.
Man öffnet die Datei wp-config.php mit einem einfachen Texteditor (Notepad, Windows-Editor, Mac TextEdit, NICHT Word oder OpenOffice Writer!).
Man gibt die Angaben zu seiner eigenen Datenbank ein.
Die Datei wp-config.php speichert man.
Die Datei wp-config.php auf den Server laden per FTP.
Man gibt im Broswser die eigene Domainadresse ein.
Es öffnet sich die Installationsseite von WordPress.
Man gibt Informationen ein.
Wenn nicht, gibt man http://www.ihrewebsite.de/wp-admin/install.php ein.
Wenn alles schon fertig installiert ist kommt: WordPress ist bereits installiert.
Unter http://www.ihrewebsite.de/wp-admin/ kommt man in die Verwaltung von seinem WordPress.
Wie kann man WordPress vor Angriffen schützen?
Eigenen Computer sichern: Der eigene Computer muss gegen Schadsoftware mit Antivirenprogrammen geschützt sein.
Sonst besteht die Gefahr, dass Trojaner Passwörter zum Einloggen im Backend oder per FTP mitlesen können.
Sicherung machen: Backups regelmäßig machen, damit nicht die ganze Arbeit verloren geht.Bilder und andere Dateien sichern.
Immer aktuell sein: WordPress immer die aktuelle Version benutzen, also regelmäßig updaten.Ca 1 bis 2 mal im Monat kontrollieren.
So wenig Plugins wie möglich verwenden.
Plugins immer die aktuelle Version benutzen, also regelmäßig updaten.
Themes immer die aktuelle Version benutzen, also regelmäßig updaten.Nicht genutzte Themes entfernen.
Die PHP-Version aktualisieren.
Sich informieren, was aktuell los ist: Informationen lesen über Sicherheitslücken in WordPress.Sicherheit mit Plugins: Sicherheits-Plugins nutzen:Ithemes : Upload Ordner absichern, 404 Angriffe verhindern, Backend-Angriffe verhindern, Datenbank umbenennen, Login Kontrolle.BBQ: Block Bad Queries : Kontrolliert reinkommenden Traffic.Hide My WP : Firewall, WordPress verstecken.Wordfence : Firewall, Malware Scan, Login Kontrolle, Premium ab 99$ pro Seite im Jahr.NinjaFirewall : FirewallNinjaScanner : Scanner.Limit Login Attempts : Login Kontrolle.All In One WP Security & Firewall Quettera GOTMLS Webmaster Konsolen helfen: Webmaster Konsolen nutzen nutzen:Google Search Console Bing Webmaster Yandex Webmaster Norton Webmaster Durch Sicherheitsschleuse: Vorgeschaltete Web Application Firewall (WAF) von Sucuri mit Überwachung, Reparatur und Sicherheits-Service ab $199.99 im Jahr nutzen.
Einloggen erschweren: Neuen Administrator-Namen vergeben (admin ist Standart und wird zu knacken versucht).Passwort sicher: keine richtigen Wörter, Namen, Geburtsdaten, mindestens eine Zahl und ein Sonderzeichen beinhalten (!“§$%&/()=@+*#-).Passwörter erneuern, vor allem nach Hacker -Angriffen, vor allem bei Administratoren.
FTP/SFTP-Passwort ändern.
CPANEL-Passwort ändern (phpMyAdmin).
MYSQL-Passwort ändern.
Das gilt für alle Nutzer, die Zugang zur Webseite haben.
Plugins, damit Nutzer ihr Passwort ändern: iThemes Security , Force Strong Passwods
Will man aktuell eingeloggte Besucher zum neuen Einloggen zwingen, ändert man in der Datei config.php den alten Schlüssel, generiert unter wordpress.org durch Ersetzen.
Besseren Schutz bietet eine Multi-Faktor-Authentisierung.
Plugins dafür: Rublon , Duo
Dateien einrichten: Vor der Installation den Ordner wp-content umbenennen: Manuell oder Plugin Ithemes .
Wenn man an die wp-config.php-Datei geht, macht man vorher eine Kopie auf seinem Rechner.
Diese Datei ist wichtig für die Steuerung und enthält sensible Daten.
Schreiben soll man nur vor „stop Editing!“. Am besten gleich oben hinter dem <?php
Den Authentication Unique Keys and Salts Schlüssel erneuern.
Die Datei wp-config.php aus dem Root Verzeichnis verschieben.
Man legt sie in ein nicht öffentliches Verzeichnis.
require_once(ABSPATH . '../config/wp-config.php');
Die Datei wp-config.php Dateiberechtigung auf 444 setzen.
Das Anzeigen der Datei wp-config.php , normalerweise nicht sichtbar im Browser (Forbidden), kann man unterbinden.
Man schreibt in die Datei .htaccess folgendes:
<files wp-config.php>
order allow,deny
deny from all
</files>
Die Datei .htaccess Dateiberechtigung auf 644 setzen.
Hat man ein SSL-Zertifikat sollte man SSL für den Login und den Adminbereich aktivieren:
Man schreibt in die Datei wp-config.php folgendes:
define( 'FORCE_SSL_ADMIN', true );
Man kann den alten Schlüssel durch einen Neuen ersetzen.
Unter secret-key kann man einen neuen Generieren.
Cookies sind dann gelöscht. Man muss sich ganz neu einloggen.
Info WordPress-Version verstecken: Die Version des installierten WordPress soll nicht sichtbar sein.
Folgenden Code in die Datei functions.php schreiben:
function no_generator() { return ''; }
add_filter( 'the_generator', 'no_generator' );
Zusätzlich die Dateien Readme.html und Liesmich.html löschen, die auch die Version nennen.
Backend-Editieren verbieten: Man kann verbieten, dass im Backend Themes und Plugins unter Design > Editor verändert werden können.
Aus Sicherheitsgründen ändert man dann nur noch per FTP.
Folgenden Code in die Datei wp-config.php schreiben:
define('DISALLOW_FILE_EDIT', true);
Zum Verbieten von Installationen und Aktualisierungen von Plugins und Themes:
define( 'DISALLOW_FILE_MODS', true );
Bei Problemen kann man ins Default-Theme wechseln und die Plugins deaktivieren.
Datenbankname umbenennen: Den Präfix der Datenbank kann man bei der Installation umbenennen: Etwas anderes als wp_, aber nur Nummern, Buchstaben und Unterstrich.
Bei einem bereits installierten WordPress kann man den Präfix der Datenbank mit einem Plugin umbenennen:
Acunetix WP Security .FTPS oder SFTP statt FTP: FTPS oder SFTP ist sicherer.
Wenn man diese Datenübertragungsarten nutzen kann, kann man FTP verbieten:
Folgenden Code in die Datei wp-config.php schreiben:
define('FTP_SSL', true);
Das Programm Filezilla macht FTP und SFTP.
Debug-Modus ausschalten: Für die Arbeit zur Fehlersuche während der Website-Entwicklung gut.
Ansonsten abschalten.
In die Datei wp-config.php schreiben:
define('WP_DEBUG', false);
XML-RPC Schnittstelle deaktivieren: Aus der Ferne auf das WordPress-System zuzugreifen und Pingbacks zu empfangen.
Wenn man das nicht nutzt und an WordPress im Backup arbeitet, kann man es deaktivieren.
Man kann ein Plugin benutzen.
Oder man schreibt in die .htaccess-Datei im Root:
<Files xmlrpc.php>
Order allow,deny
Deny from all
</Files>
Unter Nginx schreibt man:
server { location = /xmlrpc.php { deny all; access_log off; log_not_found off; } }
Wie kann man WordPress auf Malware überprüfen?
Welches WordPress gibt es?
1. WordPress.com: wordpress.com : Blogger Plattform.
2. WordPress.org: wordpress.org : Selbst gehostete Plattform mit mehr Möglichkeiten.
Wofür kann man WordPress verwenden?
Homepage machen.Plugins nutzen für viele Funktionen.
zu meinen persönlichen Favoriten hinzufügen! 0
Definition
angreifen
designen
erweitern
installieren
schützen
überprüfen
unterscheiden
verwenden
