📊 Schutzübersicht
Schnellansicht des Status jeder Härtungsschutzmaßnahme. Grüne Karten zeigen aktive Schutzmaßnahmen; rote benötigen Aufmerksamkeit.
🔐 Admin-Bereich-Sicherheit
Schützen Sie den Zugriff auf das WordPress-Admin-Panel, indem Sie die Login-URL ändern und wp-admin vor Angreifern verbergen.
🔑 Login-URL verbergen (wp-admin)
Ändern Sie die Standard-Login-URL (/wp-admin, /wp-login.php) in eine benutzerdefinierte URL, die nur Sie kennen. Jeder Zugriffsversuch auf die ursprüngliche URL gibt einen 404-Fehler zurück und verbirgt die Existenz von wp-admin.
Benutzerdefinierter Slug
Wählen Sie einen beliebigen Slug (z.B. mein-login, admin-zugang, sicheres-backend). Ihre neue Login-URL lautet https://ihreseite.de/mein-login/.
🔁 Automatische Weiterleitung
Wenn ein authentifizierter Benutzer /wp-admin/ besucht, wird er automatisch ohne Unterbrechung zu Ihrem benutzerdefinierten Slug weitergeleitet.
🚨 Notfall-Wiederherstellungs-URL
Wenn Sie aus dem Admin ausgesperrt werden, können Sie über eine Notfall-URL sofort sowohl "wp-admin verstecken" als auch "wp-login.php verstecken" deaktivieren und zur normalen Anmeldung zurückkehren. Es ist keine generische oder erratbare URL: Sie enthält einen einzigartigen, zufälligen 64-Zeichen-Schlüssel, der nur für Ihre Website generiert wird, in diesem Format:
Kopieren Sie Ihre echte URL (mit Ihrem echten Schlüssel bereits enthalten) von der Karte "Verbergen des Administrationsbereichs" auf der Hardening-Seite selbst, bevor Sie eine der beiden Schutzfunktionen aktivieren, und speichern Sie sie an einem sicheren Ort. Wenn Sie jemals vermuten, dass diese URL durchgesickert ist, können Sie den Schlüssel mit der Schaltfläche "Regenerieren" auf derselben Karte neu erzeugen — die alte URL funktioniert dann sofort nicht mehr.
🌐 APIs und Dienste
Kontrollieren Sie den Zugriff auf die Webdienste von WordPress: XML-RPC und REST API. Durch Deaktivieren oder Einschränken dieser Dienste wird die Angriffsfläche verringert.
📡 XML-RPC
Durch Deaktivieren von XML-RPC werden mobile Apps, Jetpack, WooCommerce und andere Dienste blockiert, die auf diesem Protokoll basieren. Prüfen Sie, ob Ihre Site es benötigt, bevor Sie es deaktivieren.
🔗 REST API
Schränken Sie den REST-API-Zugriff auf authentifizierte Benutzer ein. Öffentliche Endpunkte werden für anonyme Besucher unzugänglich und schützen so Benutzerdaten, Beiträge und Einstellungen.
⚠️ Auswirkungen der Deaktivierung von XML-RPC
- Mobile Apps: Die offizielle WordPress-App kann keine Verbindung zu Ihrer Site herstellen.
- Jetpack: Viele Jetpack-Funktionen funktionieren nicht mehr.
- WooCommerce: Einige Zahlungsgateways und Versanderweiterungen verwenden XML-RPC.
- Pingbacks/Trackbacks: Vollständig deaktiviert, was zur Vermeidung von DDOS-Angriffen positiv ist.
📁 Dateien und Verzeichnisse
Schützen Sie die Dateien und Verzeichnisse Ihrer WordPress-Installation vor unbefugtem Zugriff, der Ausführung von schädlichem Code und der Offenlegung sensibler Informationen.
🚫 Verzeichnislisting
Deaktiviert das Server-Verzeichnislisting über die Options -Indexes-Direktive in .htaccess. Verhindert, dass Besucher den Inhalt von Verzeichnissen ohne index.php sehen.
🔒 Sensible Dateien
Blockiert den direkten Zugriff auf kritische Dateien wie wp-config.php, .htaccess, error_log und andere Systemkonfigurationsdateien.
🚫 PHP in Uploads
Blockiert die Ausführung von PHP-Dateien (.php, .phtml, .php5) im Verzeichnis wp-content/uploads/. Verhindert, dass Angreifer als Bilder hochgeladene schädliche Shells ausführen.
📄 Versteckte Dateien
Versteckt Installations- und Informationsdateien wie readme.html, changelog.txt, license.txt und wp-config-sample.php. Diese Dateien geben die WordPress-Version und Systemdetails preis.
🌐 Ordner außerhalb von WordPress
Jeder Ordner, der im Root deines Hostings außerhalb von WordPress liegt, wird direkt vom Server ausgeliefert, ohne jemals WordPress oder die Firewall zu durchlaufen — die Firewall bekommt ihn nie zu sehen. Dieser Schutz deckt diese Ordner mit denselben Schutzmaßnahmen wie den Rest deiner Website ab: IP-Sperren, Rate Limiting, Geo-Blocking und DDoS-Modus.
wp-admin, wp-content und wp-includes) geschützt werden sollen. Für Ordner mit viel Traffic ist dies nicht geeignet: jeder Besuch durchläuft vor der Auslieferung des Inhalts eine zusätzliche Sicherheitsprüfung, genau wie beim Rest deiner Website, was eine kleine zusätzliche Serverlast bedeutet. SeenSecure wendet diesen Schutz automatisch an und macht ihn rückgängig: beim Deaktivieren, beim Deaktivieren des Plugins oder bei der Deinstallation wird alles automatisch in den ursprünglichen Zustand zurückversetzt.
🗄️ Datenbanksicherheit
Schützen Sie Ihre Datenbank vor Benutzer-Enumeration und anderen Angriffsvektoren, die sensible Informationen über registrierte Benutzer preisgeben.
🚫 Benutzer-Enumeration deaktivieren
WordPress gibt Benutzernamen über URLs wie /?author=N preis. Ein Angreifer kann die Zahl N (1, 2, 3...) ändern, um alle registrierten Benutzernamen zu ermitteln und diese Informationen dann für Brute-Force-Angriffe zu nutzen.
🔍 Wie der Angriff funktioniert
Der Angreifer erhält die Benutzernamen und verwendet sie für Passwortangriffe.
🛡️ Wie SeenSecure es blockiert
Gibt einen 404-Fehler zurück, wenn ein Enumeration-Versuch über ?author=N oder ?author_name= erkannt wird. Es blockiert auch den REST-API-Endpunkt, der Benutzernamen preisgibt.
📡 Autor in Feeds Schützen (RSS/RDF/Atom)
Wofür: neben ?author=N-URLs gibt es einen weiteren Weg, über den Benutzernamen durchsickern und den viele Websites übersehen: die RSS-, RDF- und Atom-Feeds, die WordPress automatisch erzeugt. Jeder Feed-Eintrag zeigt den öffentlichen Namen des Autors — und ist dieser öffentliche Name identisch mit dem Benutzernamen für den Zugang zum Panel, erhält jeder, der den Feed liest, den echten Benutzernamen, ohne irgendetwas zu scannen.
Warum das Brute-Force erleichtert: ein Brute-Force-Angriff braucht zwei Dinge — einen gültigen Benutzernamen und Passwörter, die dagegen ausprobiert werden. Ohne den Benutzernamen müsste der Angreifer auch diesen erraten, was den nötigen Aufwand vervielfacht. Sobald er den echten Benutzernamen aus dem Feed erhält, bleibt ihm nur noch ein Problem zu lösen (das Passwort) statt zwei, und er kann den Angriff direkt gegen dieses konkrete Konto starten.
🔍 Wann es ein Risiko gibt
Nur wenn der «Öffentlich anzuzeigende Name» eines Kontos (Benutzer > Dein Profil) mit seinem Login-Benutzernamen identisch ist. Viele Websites lassen es unbewusst so, weil dies der Standardwert ist, den WordPress bei der Kontoerstellung einträgt.
🛡️ Wie SeenSecure es schützt
Prüft, nur innerhalb von Feeds, ob der anzuzeigende Name mit dem echten Benutzernamen dieses Kontos übereinstimmt. Bei Übereinstimmung wird stattdessen der Website-Name angezeigt. Sind sie bereits unterschiedlich, wird nichts verändert — der Rest der Website zeigt den Autorennamen weiterhin normal an.
Wie man sie aktiviert: SeenSecure > Schutzmaßnahmen > Datenbank > Autor in Feeds Schützen (RSS/RDF/Atom). Standardmäßig aktiviert, zusammen mit dem oben beschriebenen ?author=N-Schutz. Es ist ein unabhängiger Schalter — Sie können einen aktiviert haben und den anderen nicht, es wird jedoch empfohlen, beide eingeschaltet zu lassen.
⚙️ Panel- und Dateieinstellungen
Konfigurieren Sie zusätzliche Härtungsoptionen, um häufige Angriffsvektoren im Zusammenhang mit Informationspreisgabe und unbefugter Bearbeitung zu schließen.
🔍 WordPress-Version verbergen
Entfernt das <meta name="generator" content="WordPress X.X" />-Tag aus HTML- und RSS-Feeds. Angreifer verwenden die Version, um nach spezifischen bekannten Schwachstellen zu suchen.
✏️ Datei-Editor deaktivieren
Deaktiviert den Theme- und Plugin-Editor im Admin-Panel. Setzt die Konstante DISALLOW_FILE_EDIT auf true in wp-config.php. Verhindert, dass Angreifer mit Admin-Zugriff PHP-Dateien direkt ändern.
🚫 Plugin-/Theme-Installation
Deaktiviert die Installation, Aktualisierung und Löschung von Plugins und Themes im Admin-Panel. Nützlich bei verwalteten Sites, bei denen Änderungen durch einen kontrollierten Prozess laufen.
🔗 Generator-Meta-Tags entfernen
Entfernt das <meta name="generator">-Tag, das WordPress automatisch im <head> und in den RSS-Feeds mit der genauen Versionsnummer einfügt.
🔌 API-Sicherheit
Schützt XML-RPC und REST-API vor DDoS-Verstärkungsangriffen, Brute-Force und Benutzeraufzählung.
🔒 REST-API einschränken
Beschränkt den Zugriff auf die WordPress-REST-API nur auf authentifizierte Nutzer und steuert, welche Endpunkte zugelassen sind, um Aufklärung zu verhindern.
👤 REST-API-Nutzer deaktivieren
Blockiert den Endpunkt /wp/v2/users für nicht authentifizierte Nutzer und schließt damit einen Aufklärungsweg, den Angreifer nutzen, um vor gezielten Angriffen gültige Benutzernamen aufzuzählen.
💬 Kommentarsicherheit
Schützen Sie das WordPress-Kommentarsystem vor automatisiertem Spam und Injektionsangriffen mit intelligentem CAPTCHA und Aktivitätsüberwachung.
🧩 CAPTCHA für Kommentare
Fügt eine CAPTCHA-Herausforderung zum Kommentarformular hinzu, um zu überprüfen, ob der Besucher ein Mensch ist. Verfügbar in drei Modi:
👁️ Visuelles CAPTCHA
Zeigt 4 Bilder (zum Beispiel Auto, Baum, Haus und Blume) an, aus denen der Benutzer das richtige auswählen muss. Es muss kein verzerrter Text eingegeben werden.
🔢 Mathe-CAPTCHA
Stellt eine einfache Rechenoperation dar (z.B. 7 + 3 = ?). Einfach für Menschen, schwer für Bots. Keine Bildunterstützung erforderlich.
😀 Emoji-CAPTCHA
Bittet den Benutzer, das richtige Emoji aus einer Reihe auszuwählen. Moderne und unterhaltsame visuelle Erfahrung für Besucher.
📊 Statistik-Dashboard
Das System zeigt Echtzeit-Statistiken zur CAPTCHA-Leistung und blockierten Spam-Versuchen an:
🚫 Heute blockiert
47
Spam-Versuche in den letzten 24 Stunden blockiert
✅ Erfolgsrate
98.7%
Prozentsatz legitimer Kommentare, die das CAPTCHA bestehen
📦 Insgesamt blockiert
12,843
Spam-Versuche insgesamt seit Aktivierung blockiert
Häufig Gestellte Fragen
Ich wurde nach dem Verstecken von wp-admin aus dem Panel ausgesperrt, was tue ich? Verwenden Sie Ihre Notfall-Wiederherstellungs-URL (die Sie mit Ihrem einzigartigen Schlüssel von der Karte "Verbergen des Administrationsbereichs" kopiert haben) — sie deaktiviert das Verstecken sofort, damit Sie sich wieder anmelden können. Speichern Sie sie an einem sicheren Ort, bevor Sie den Schutz aktivieren, nicht danach: ohne sie gibt es keinen anderen Weg zurück außer direktem Serverzugriff.
Ein Plugin lädt keine Bilder mehr hoch, nachdem ich "Keine PHP-Ausführung in Uploads" aktiviert habe Dieser Schutz verhindert, dass PHP-Dateien im Upload-Ordner AUSGEFÜHRT werden, nicht das Hochladen normaler Dateien (Bilder, PDFs usw.) — wenn ein legitimes Plugin etwas nicht mehr hochlädt, prüfen Sie, ob es versucht, ein ausführbares Format statt einer normalen Inhaltsdatei hochzuladen.
Kann ich nur einige Schutzfunktionen dieser Seite aktivieren, nicht alle? Ja, jede Karte in der Übersicht der Schutzfunktionen wird unabhängig aktiviert/deaktiviert; Sie müssen sie nicht alle gleichzeitig einschalten.
Ich habe XML-RPC deaktiviert, und jetzt sind Jetpack oder meine WordPress-App defekt Das ist zu erwarten: XML-RPC ist das Protokoll, das die offizielle WordPress-App, ein Großteil von Jetpack und manche WooCommerce-Zahlungs-/Versand-Gateways nutzen. Wenn Sie eines dieser Tools brauchen, schalten Sie es wieder ein.