Login-Verwaltung

wp-login.php ist die meistangegriffene URL jeder WordPress-Website. Nicht weil sie schwach wäre, sondern weil sie auf Millionen von Websites an derselben bekannten Adresse liegt, was automatisierte, ununterbrochene Angriffe lohnend macht. Die meisten Betreiberinnen und Betreiber erfahren davon aus einer Logdatei und nicht aus einem Einbruch.

Diese Anleitungen behandeln die Abwehrmaßnahmen, grob nach ihrer Wirkung geordnet. Die Login-URL zu verlegen entzieht die Website den einfachsten Scans. Versuche zu begrenzen stoppt die geduldigen. Eigene Adressen freizugeben und die auffälligsten zu sperren engt es weiter ein. Ein Captcha unterbindet die meisten automatisierten Übermittlungen, und die Zwei-Faktor-Authentifizierung ist diejenige Maßnahme, die auch dann noch schützt, wenn ein Passwort bereits abgeflossen ist.

Jede davon hat eine Kehrseite, und auch die wird behandelt. Eine eigene Login-URL, die ein Cache der falschen Person ausliefert oder die nach einer Permalink-Änderung 404 liefert. Eine URL, die verlegt und dann vergessen wurde. Versuche, die nach dem Verlegen weiterlaufen, weil etwas die alte Datei weiterhin direkt erreicht.

Eine Gruppe behandelt das Ausgesperrtsein, also das Risiko, das mit dem Härten eines Logins übernommen wird. Das Telefon mit der Authenticator-App geht verloren, nach korrektem Passwort entsteht eine Weiterleitungsschleife, Sitzungen enden nach Minuten, Cookies werden vom Browser nicht gesetzt.

Wer heute eine Website härtet, liest die Wiederherstellungsartikel vor den Härtungsartikeln. Den Weg zurück zu kennen ist das, was alles Übrige gefahrlos macht.