Das CMS ADMINS Security Check Report Plugin prüft Ihre WordPress-Installation auf 28 sicherheitsrelevante Punkte und bewertet jeden auf einer Skala von 0 bis 10 (0 = kein Risiko, 10 = kritisch).
Installation und Nutzung
- Installieren und aktivieren Sie das Plugin im WordPress-Dashboard.
- Gehen Sie im Admin-Bereich zu Security Check Report.
- Klicken Sie auf Run security check!
- Prüfen Sie den generierten Bericht und beheben Sie die gemeldeten Probleme nach Priorität.
Geprüfte Sicherheitspunkte
WordPress-Kernsystem
- WordPress Version: Prüft, ob WordPress aktuell ist. Veraltete Versionen enthalten oft bekannte Sicherheitslücken.
- PHP-Version: Mindestens PHP 8.2 empfohlen. Ältere PHP-Versionen erhalten keine Sicherheits-Updates mehr.
- WP_DEBUG Modus: Darf auf Live-Seiten nicht aktiv sein, da er interne Konfigurationsdetails preisgibt.
- Datei-Bearbeitung im Admin-Bereich: Theme- und Plugin-Editor sollten deaktiviert sein (
define('DISALLOW_FILE_EDIT', true);inwp-config.php).
Dateiberechtigungen und Verzeichnisse
- wp-config.php Berechtigungen: Die Datei darf nicht beschreibbar sein.
- Uploads-Verzeichnis Berechtigungen: Unsichere Berechtigungen ermöglichen das Hochladen ausführbarer Dateien.
- PHP-Ausführung im Uploads-Verzeichnis: Sollte deaktiviert sein, um Code-Injection zu verhindern.
- .htaccess Datei: Prüft Vorhandensein und sicherheitsrelevante Einträge.
- Directory Indexing: Muss deaktiviert sein, um Verzeichnisinhalte nicht offenzulegen.
- Unerlaubte Dateien im Uploads-Verzeichnis: Sucht nach PHP-Dateien und anderen ausführbaren Dateien im Upload-Ordner.
Zugänge und Authentifizierung
- Admin Benutzername: Das Konto „admin“ ist ein häufiges Ziel für Brute-Force-Angriffe. Umbenennen empfohlen.
- Schwache Passwörter: Prüft Benutzerkonten auf leicht erratbare Passwörter.
- Starke Passwort-Richtlinien: Prüft, ob Passwortrichtlinien für alle Benutzer gelten.
- Zwei-Faktor-Authentifizierung: 2FA reduziert das Risiko kompromittierter Zugänge erheblich.
- Brute-Force-Schutz: Login-Versuche begrenzen, um automatisierte Angriffe abzuwehren.
- Begrenzung der Login-Versuche: Separater Check für Plugin-basierte Login-Beschränkungen.
Schnittstellen und APIs
- XML-RPC Schnittstelle: Sollte deaktiviert sein, sofern kein externer Client darauf angewiesen ist.
- XML-RPC Methoden: Prüft, welche Methoden aktiv sind.
- REST API: Zugriff auf sensible Endpunkte einschränken.
SSL und Server-Konfiguration
- SSL: HTTPS muss aktiv und das Zertifikat gültig sein.
- Server-Header: Sicherheitsrelevante HTTP-Response-Header prüfen (z. B. X-Frame-Options, Content-Security-Policy).
Plugins, Themes und Backups
- Veraltete Plugins: Jedes veraltete Plugin ist eine potenzielle Angriffsfläche.
- Veraltete Themes: Gilt auch für inaktive Themes, die nicht deinstalliert wurden.
- Sicherheits-Plugins: Prüft, ob ein dediziertes Sicherheits-Plugin aktiv ist.
- Regelmäßige Backups: Mindestens tägliche Backups an einen externen Speicherort.
Weitere Checks
- Weitere WordPress-Installationen: Mehrere WP-Instanzen auf demselben Server erhöhen die Angriffsfläche.
- Datenbank-Präfix: Das Standard-Präfix
wp_ändern erschwert SQL-Injection-Angriffe. - Malware-Überprüfung: Scannt wichtige Dateien und Verzeichnisse auf bekannte Malware-Signaturen.
Verwandte Anleitungen
Support: support@cms-admins.de | +49 89 215505888