← Alle Artikel

Eine WordPress-Sicherheitshärtungs-Checkliste, die wirklich zählt

Die meisten "WordPress-Sicherheits-Checklisten" bestehen aus Plugin-Empfehlungen und vagen Ratschlägen wie "starke Passwörter verwenden". Dies ist die tatsächliche Liste, die ich auf einer echten WooCommerce- und LearnDash-Plattform mit echten Zahlungen abgearbeitet habe — in der richtigen Reihenfolge, inklusive des einen Rollout-Fehlers, der Ihren Checkout zerstört, wenn Sie einen Schritt überspringen.

Zuerst die Nutzerenumeration schließen

Standardmäßig gibt /wp-json/wp/v2/users Benutzernamen an jeden heraus, der fragt — genau wie ?author=1. Beides ist trivial zu skripten. Das ist Schritt eins, weil es der günstigste Angriff zum Blockieren ist und der, den die meisten Websites nie anfassen.

Versionsnummern nicht mehr ausposaunen

Generator-Tags im HTML verraten jedem, der den Quelltext ansieht, Ihre genaue WordPress- und Plugin-Version — auch auf der Login-Seite, die die meisten "Härtungs"-Anleitungen komplett auslassen. Wenn für eine Ihrer Plugin-Versionen eine Sicherheitslücke bekannt wird, haben Sie gerade jedem Scanner im Internet mitgeteilt, dass Sie ein Ziel sind. Entfernen Sie diese sitewide, Login eingeschlossen, und entfernen Sie gleich den X-Powered-By-Header — er tut dasselbe für Ihre PHP-Version.

Die fünf Header, die den meisten Websites fehlen

Bei einem aktuellen Crawl einer Kundenwebsite (74 Seiten, 410 URLs) fehlten allen URLs dieselben fünf Sicherheitsheader. Das ist kein Einzelfall — es ist der WordPress-Standard:

• HSTS — erzwingt HTTPS, keine Ausnahmen
• X-Content-Type-Options: nosniff — verhindert, dass Browser Content-Types auf ausnutzbare Weise erraten
• X-Frame-Options — blockiert Clickjacking über iframes
• Referrer-Policy (strict-origin-when-cross-origin) — verhindert URL-Lecks bei Downgrade
• Content-Security-Policy — der große Brocken, und der, der Ihre Website zerstört, wenn Sie ihn überstürzen

Der CSP-Fehler, der Stripe zerstört

Content-Security-Policy ist der Header, der eingeschleuste Skripte tatsächlich am Ausführen hindert. Er ist auch derjenige, der am wahrscheinlichsten Ihren Checkout, Ihr eingebettetes Video oder den Admin-Bildschirm eines Plugins stillschweigend zerstört, wenn Sie ihn direkt auf Durchsetzung schalten. Rollen Sie ihn zuerst im Report-Only-Modus aus. Sie erhalten einen Strom von Verstoßberichten, die genau zeigen, was die Policy blockiert hätte — Stripe.js, Google Fonts, den Videoanbieter Ihrer LMS — und können diese spezifischen Quellen auf die Allowlist setzen, bevor Sie zur vollständigen Durchsetzung wechseln. Diesen Schritt zu überspringen ist der Weg von "wir haben die Sicherheit gehärtet" zu "warum ist der Checkout kaputt".

XML-RPC schließen, außer Sie brauchen es wirklich

XML-RPC ist ein Legacy-Protokoll, das standardmäßig noch aktiviert ist, und ein beliebter Brute-Force- und Verstärkungsvektor. Sofern Sie nicht aktiv die Jetpack-Mobile-App oder eine spezifische Integration nutzen, die es benötigt, deaktivieren Sie es vollständig.

Härtung auf Kontoebene

Zwei-Faktor-Authentifizierung und Login-Versuchsbegrenzung für jedes Konto mit Publish- oder Admin-Zugriff — nicht nur das Hauptadmin-Konto. Den Standard-"admin"-Benutzernamen umbenennen oder neu vergeben, falls noch in Gebrauch. readme.html und license.txt entfernen, die stillschweigend Ihre genaue WordPress-Version gegenüber jedem bestätigen, der nachsieht.

Bei WooCommerce: jetzt HPOS-Kompatibilität prüfen

WooCommerces High-Performance Order Storage (HPOS) ändert, wie Bestelldaten gespeichert werden. Jeder eigene Code, der direkt auf Bestellungen zugreift — statt über WooCommerces CRUD-Funktionen — muss HPOS-kompatibel sein, bevor Sie es aktivieren, nicht erst, nachdem in Produktion etwas kaputtgeht.

Das hier vor dem Abhaken erledigen

Jeder obige Punkt wurde auf einer live laufenden E-Commerce- und Kursplattform ohne Ausfallzeit angewendet, durch korrekte Reihenfolge: erst read-only Prüfungen, Header-Rollout im Beobachtungsmodus vor der Durchsetzung, Kontohärtung durchgehend. Sicherheitsarbeit, die am ersten Tag den Checkout zerstört, lehrt den Kunden, dem nächsten Update zu misstrauen — die Reihenfolge ist nicht optional.

Betreiben Sie WordPress oder WooCommerce und wissen nicht, wo Sie stehen? Ich prüfe die Plattformsicherheit als Teil eines Plattform-Reviews — kostenloses 30-Minuten-Gespräch buchen.