Das Kapitel "Sicherheit vor WordPress" zeigt Möglichkeiten, bereits "vor" der eigentlichen WordPress-Installation eine Schutzbarriere aufzubauen.

Die zentralen WordPress-Dateien sind die .htacces und die wp-login.php. Geraten diese Dateien in falsche Hände, kann im ungünstigsten Fall die komplette WordPress-Installation gefährdet sein. Unser Ziel ist also zuerst, eben diese Dateien zu schützen.

Alle Codezeilen habe ich in der beigelegten Datei für dich vorbereitet, sodass du nix abtippen musst. 

HINWEIS PDF: Im Video sage ich, dass du die Daten "im beigelegten PDF" findest. Ich habe die Daten jetzt aber lieber als Text-Datei angelegt, sodass du die Inhalte leichter kopieren kannst.

HINWEIS PASSWORTGENERATUR: Der englische Codegenerator hat zuweilen ein paar Probleme (sprich, er kann kein die htpasswd nicht generieren). In diesem Fall nutze bitte diesen: http://www.htpasswdgenerator.de 

HINWEIS "SERVER-PFAD HERAUSFINDEN": Zuweilen ist es schwer, den korrekten (Hoster)Pfad zur .htaccess-Datei herauszufinden. Ich habe hier eine PHP-Datei für dich angelegt. Lade die ZIP-Datei herunter. Entpacke die Datei. Lade die Datei PHPINFO.PHP per FTP in das Hauptverzeichnis (dorthin, wo auch deine htaccess-Datei liegt). Rufe nun den Pfad per Browser zu dieser Datei auf (z.B. www.meinewebseite.de/phpinfo.php) Es öffnet sich  ein Fenster mit deinen Servereinstellungen. Hier siehst du auch den korrekt Pfad zu deinen Installationen.Dieser kann dir den genauen Pfad zur deinem Root-Verzeichnis sagen.   

Alternativ kannst du natürlich auch einfach deinen Hoster fragen :-)

Wer WordPress installiert, sollte ein paar Sicherheits-Grundregeln beachten. Mit einem minimalen Mehraufwand lässt sich bereits bei der Installation ein erheblicher zusätzlicher Schutz erreichen.

Hinweis: PHP-Dateien kann man im Prinzip mit jedem Texteditor (nicht Word, sondern wirklich reinen Texteditoren) bearbeiten. Professionell nutze ich Dreamweaver. Sehr beliebt (preiswert bis kostenlos) sind Notepad++ (http://notepad-plus-plus.org/), Sublime Text 2 (http://www.sublimetext.com/2) und Brackets (http://brackets.io/)

In diesem Teil zeige ich, welche (kostenlosen) Plugins wir für einen umfassenden WP-Schutz benötigen.

Sollte bei der Verwendung des Plugins etwas schief gehen, kannst du dieses leicht wieder zurück setzen und wieder die Standard-WordPress-Einstellungen nutzen.

In der Lektion "Grundlegende Sicherheitseinstellungen" werden wir das Security Plugin für unsere Bedürfnisse voreinstellen.

Als erstes sichern wir unseren eigenen Benutzeraccount ab. Hier zeige ich, wie ihr einerseits einen sicheren Account erstellt – und wir ihr einen bereits erstellten Account absichern könnt.

Ein beliebtes Einfallstor für Hacker ist der Login-Bereich. Wir tuen also gut daran, ein großes Schloss an unsere Tür zu hängen. Je nachdem wie viele Benutzer Zugriff auf eine Seite haben müssen, kann der Schutz von "okay" bis "sehr gut" eingestellt werden.

Der einfachste Weg einen vermeindlich "echten" Login zu bekommen ist die Registrierung. Und so ist es nicht verwunderlich, dass Hacker nichts unversucht lassen, sich bei einer Website als Benutzer zu registrieren. In diesem Kursteil zeige ich, wie man die Registrierung abgesichert erlauben kann (zum Beispiel für Mitgliederseiten) oder gänzlich unterbinden kann (bei Seiten mit nur einem Administrator/Benutzer).

Nachdem der Registrierungs-, Anmelde- und Loginvorgang abgesichert wurde, wollen wir weitere Sicherheitsvorkehrungen vornehmen. Im Brennpunkt steht immer die Datenbank. Wir müssen diese zum einen schützen und zum anderen sichern (ein Backup für alle Fälle kann ja nicht schaden).

Im letzten Teil der WordPress-Sicherung regeln wir die Zugriffsberechtigungen auf die WordPress-Dateien. Ich zeige euch was die Zahlencodierungen bedeuten – und wir ihr diese sinnvoll einsetzt.

Neben der Absicherung der Installation wollen weitere Maßnahmen ergreifen, um unliebsame Gäste fernzuhalten. Dazu richten wir eine Firewall (Spamschutz) und optional eine Blacklist (gesperrte Benutzer) ein.

Mit Brute Force Angriffen versucht ein Schädlingsprogramm den Zugang zu einer Website zu erraten. In diesem Teil lernen wir, wie man sich wirksam gegen BF-Angriffe schützen kann. An dieser Stelle empfehle ich zudem noch einmal das erste Kapitel "Sicherheit vor WordPress". Den BF-Angriffe gehen zulasten des Servers und bei massiven Angriffen werden Webseiten seitens der Server/Provider gesperrt. Über die Schutzmaßnahmen des Kapitels "Sicherheit vor WordPress" wird dies verhindert, da die Attacken bereits "vor" der direkten Serverabfrage geblockt werden.

Neben dem eigentlichen Schutz kann man auch leicht Bilder und Texte gegen Dritte schützen. Hier werden zwei einfache Wege gezeigt, das Hotlinking (illegales Querverlinken der Bilder) und des Textdiebstahls zu verhindern. Außerdem richten wir ein Monitoring ein, über das illegale Veränderungen an Dateien aufgespürt werden können.

Hinweis: Nach Aussage des Plugin-Herstellers wurde die Funktion DB SCAN vorübergehend deaktiviert. In der Hoffnung, dass dieses bald wieder aktiv ist, erkläre ich im zweiten Teil des Videos dennoch, was sich dahinter verbirgt.

In diesem Kursteile zeige ich, wie man seine Daten im Blick behält und sich über ungewünschte Veränderungen von außen informieren lässt.

Okay. Hier sind wir! An dieser Stelle weist das System einen soliden Schutz gegen Hacker und Spam auf.

Wie versprochen zeige ich abschließend, wie man WordPress auf Grundlage des Gelernten in weniger als 10 Minuten absichert. Dabei gehe ich alle Schritte des Workshops in Echtzeit durch.

Abschließend findet ihr hier eine Auflistung aller Dateien, die ihr zur Absicherung der WordPress-Installation benötigt. Für Fragen, Wünsche oder Verbesserungsvorschläge habe ich wie immer ein offenes Ohr! Beste Grüße, Marco

Hier zeige ich, wie du rasch Spammer und Hacker erkennst und umgehend blocken kannst, bevor sie deine Seite ernsthaft angreifen können.

ANMERKUNG: Bitte nutze dieses Verfahren nur, wenn du einen FTP-Zugang zu deinen Daten hast. Es kann rasch passieren, dass man sich selbst aussperrt. Im nächsten Teil gebe ich dir ein Plugin, mit dem du dich wieer einloggen kannst. ABER du brauchst dazu einen FTP-Zugang, sonst kommst du nicht mehr zu deinem Dashboard. 

Anbei findest du den Link zu dem kostenlosen Plugin, das du für diesen Kursabschnitt benötigst. Außerdem habe ich einen Link zu einer Datei beigefügt, mit der du den Schutz aufheben kannst. Solltest du dich also selbst einmal aussperren, kannst du das Plugin hiermit für dich neutralisieren. Aber Vorsicht: Du benötigst dazu einen FTP-Zugang. Hast du keinen direkten Zugang auf deinen FTP-Bereich, bist du ausgesperrt.