WordPress-Sicherheit
WordPress-Brute-Force- & Login-Schutz
Bots attackieren wp-login.php und xmlrpc.php dauerhaft mit gestohlenen Credential-Listen. Login-Lockdown, Versuchslimits, 2FA, XML-RPC-Kontrolle und serverseitiges Rate Limiting verwandeln diese Flut in wirkungsloses Rauschen, während echte Admins sich normal anmelden.
Kernpunkte
- Begrenzen Sie Login-Versuche mit eskalierenden Sperren und Admin-Benachrichtigungen.
- Setzen Sie 2FA auf allen Administrator- und Redakteurskonten ohne Ausnahme durch.
- Deaktivieren Sie XML-RPC oder beschränken Sie es auf konkrete IPs oder benötigte Endpunkte.
- Benennen Sie nichts um (Sicherheit durch Verschleierung scheitert); kontrollieren Sie stattdessen mit echten Limits.
- Begrenzen Sie Login-URLs auf Server-/WAF-Ebene, nicht nur in PHP.
- Nutzen Sie eindeutige Admin-Benutzernamen, niemals 'admin', plus Passwörter mit 16+ Zeichen.
- Alarmier Sie bei erfolgreichen Logins aus neuen Ländern oder von neuen Geräten.
- Protokollieren Sie Authentifizierungs-Events und prüfen Sie sie wöchentlich als Teil des Monitorings.
Praxisnotiz
XML-RPC ist der Login-Endpunkt, den die meisten Owner vergessen: Sichern Sie wp-login so stark Sie wollen — Bots kommen durch die Seitentür, bis xmlrpc.php deaktiviert oder beschränkt ist.
Häufige Fragen
Nervt 2FA meine Redakteure?
Moderne Authenticator-Apps kosten Sekunden. Account-Takeover-Bereinigung kostet Tage — der Trade-off ist trivial.
Sollte ich die Login-Seite verstecken?
Es reduziert Rauschen, ist aber kein Schutz. Behalten Sie Standard-URLs mit echtem Throttling und 2FA.
Was ist mit passwortlosem Login?
Magic Links und WebAuthn sind exzellente Upgrades, wo die Nutzerbasis sie trägt.
Wie handhaben Sie viele Redakteure?
Rollenbasiertes Least Privilege, individuelle Konten und periodische Zugriffs-Reviews.
Wie Kinetikatech bei wordpress-sicherheit hilft
Das haben wir schon hundertfach gelöst: Härtung, Malware-Bereinigung und Dauerschutz für WordPress — Plugins, Themes, Logins und Dateiintegrität. Mit WordPress-Sicherheit und Website-Wartung erhalten Sie den kompletten Kreislauf: Wir bewerten, wir setzen um, wir überwachen rund um die Uhr und wir reagieren innerhalb von 30 Minuten, wenn es darauf ankommt.