Sicherheit: Login-Schutz, Zwei-Schritt-Login und Härtung

Der Tab Sicherheit (Baza Helper > Sicherheit) bündelt die Einstellungen, die eine WordPress-Website schwerer angreifbar machen. Jede ist ein Schalter, Sie schalten also nur ein, was Sie brauchen. Oben prüft die Karte Prüfungen HTTPS, einen Benutzer namens admin, readme- und license-Dateien, WP_DEBUG_DISPLAY und die PHP-Version.

Eine Adresse nach zu vielen fehlgeschlagenen Logins sperren: legen Sie Erlaubte fehlgeschlagene Versuche und Sperren für (Minuten) fest.
Nur „Benutzername oder Passwort ist falsch“ melden: eine allgemeine Fehlermeldung, damit Angreifer nicht erfahren, welche Benutzernamen existieren.
Neue Konten mit Namen wie admin, root, test und ähnlichen ablehnen.
Die Website steht hinter einem Proxy oder CDN: liest die Besucheradresse aus dem Header des Proxys. Schalten Sie das nur ein, wenn die Website wirklich hinter einem Proxy wie Cloudflare steht, sonst könnten Besucher sich als jemand anderes ausgeben.

Gesperrte Adressen listet die letzten 50 Sperren mit der verbleibenden Zeit. Alle entsperren hebt sie auf.

Schalten Sie Beim Login einen Bestätigungscode verlangen ein und speichern Sie. Danach richtet jede Person ihr eigenes Konto ein; Konten, die das nicht getan haben, werden nicht nach einem Code gefragt. Es funktioniert mit jeder Authenticator-App, zum Beispiel Google Authenticator, Microsoft Authenticator, 1Password oder Authy.

Klicken Sie auf Für mein Konto einrichten.
Öffnen Sie den Link auf Ihrem Smartphone mit In Authenticator-App öffnen oder geben Sie den Schlüssel von Hand ein (zeitbasiert).
Geben Sie den 6-stelligen Code ein und klicken Sie auf Bestätigen und aktivieren.
Speichern Sie die Backup-Codes. Sie werden einmal angezeigt, und jeder funktioniert einmal, falls Sie Ihr Smartphone verlieren.

Für mein Konto deaktivieren hebt die Pflicht für Sie auf. Wenn Sie Smartphone und Backup-Codes verlieren, fügen Sie define( 'BAZA_HELPER_TWOFA_OFF', true ); in die wp-config.php ein, melden Sie sich an und entfernen Sie die Zeile danach wieder.

Geben Sie ein Wort im Feld Ein privates Wort für die Login-Adresse ein und speichern Sie. Von da an zeigen wp-login.php und wp-admin allen, die nicht angemeldet sind, einen 404-Fehler, und Sie melden sich unter der neuen Adresse an, die unter dem Feld steht. Notieren Sie sich die neue Adresse, bevor Sie die Seite verlassen. Wenn Sie sich aussperren, fügen Sie define( 'BAZA_HELPER_LOGIN_URL_OFF', true ); in die wp-config.php ein, und die normale Adresse funktioniert wieder.

Härtung

Die WordPress-Version verbergen im generator-Tag und in den Adressen der Assets.
XML-RPC ausschalten.
Den Datei-Editor für Themes und Plugins ausschalten.
Scans nach Benutzernamen verhindern: die Weiterleitung ?author=, die REST-Benutzerliste für Gäste und die Benutzer-Sitemap.
readme.html und license.txt entfernen aus dem Stammverzeichnis. Sie zeigen die WordPress-Version und werden nach jedem Core-Update erneut entfernt.
RSS- und Atom-Feeds ausschalten. Besucher gelangen zur Startseite.
Keine Skripte aus dem Uploads-Ordner ausführen und dessen Dateiliste verbergen. Das schreibt einen markierten Block in uploads/.htaccess und funktioniert auf Apache und LiteSpeed. Fügen Sie auf Nginx die entsprechende Regel in die Serverkonfiguration ein.

Kommentare

Kommentare und Pingbacks auf der ganzen Website ausschalten schließt Kommentare bei allen Beitragstypen, entfernt Kommentarformular und -liste, das Menü „Kommentare“ und die Diskussionseinstellungen im Admin, die Sprechblase in der Admin-Leiste, das Widget „Neueste Kommentare“ und die Kommentar-Feeds. Gespeicherte Kommentare bleiben erhalten und kommen zurück, wenn Sie den Schalter ausschalten. Produktbewertungen sind ebenfalls Kommentare und fallen daher auch weg.

Sicherheits-Header

X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
X-Frame-Options: SAMEORIGIN, damit andere Websites Ihre nicht in einen Frame einbetten können
Permissions-Policy: keine Kamera, kein Mikrofon und keine Zahlungsanfrage

Nach einem Vorfall

Alle anderen Benutzer abmelden beendet alle anderen Sitzungen sofort, und diese Benutzer müssen sich neu anmelden. Ihre eigene Sitzung bleibt bestehen.

Zuletzt geändert: 19.10.2026