WordPress-Sicherheitshärtung mit einem Klick
WordPress-Sicherheitshärtung beginnt mit dem Fund: Der Exposure-Scan von Relvato listet auf, womit jeder deine WordPress-Website auskundschaften oder angreifen kann — ein offener XML-RPC-Endpunkt, eine öffentliche Benutzerliste, eine Versionsnummer im Seitenquelltext. Für neun dieser Funde bietet der Lauf direkt daneben einen Fix an, angewendet in WordPress → Relvato: Dort schaltet ein Klick das Problem ab, und ein Klick stellt den vorherigen Zustand wieder her. Diese Seite erklärt, was jeder Fix ändert und was Relvato bewusst nicht für dich ändert. Die Relvato-Oberfläche ist auf Englisch, daher stehen ihre Bezeichnungen hier im Original.
Wo die Fixes zu finden sind
Öffne einen Lauf des Exposure-Scans auf einer WordPress-Website, die mit dem Relvato-Plugin ab Version 1.77.0 verbunden ist. Jeder Fund, den Relvato beheben kann, hat neben „Ignore this warning“ einen Button „Fix in WordPress“.
„Fix in WordPress“ öffnet WordPress → Relvato, wo ein Administrator auf „Apply“ klickt; danach führt Relvato den Monitor erneut aus, um zu bestätigen, dass der Fund verschwunden ist. Jede angewendete Einstellung steht dort mit „Switch off“, das nur diese eine Einstellung abschaltet — alle anderen Fixes, die du angewendet hast, bleiben aktiv.
Was jeder Fix ändert
Jeder Fix ist eine Einstellung, die das Relvato-Plugin bei jeder Anfrage anwendet. Weder eine Theme-Datei noch die wp-config.php wird bearbeitet — deshalb kann „Undo“ den WordPress-Standard sofort wiederherstellen. Die Tabelle unten führt alle neun auf.
Was Relvato nicht für dich behebt
Einen Content-Security-Policy- oder HSTS-Header fügt Relvato nie automatisch hinzu. Eine falsche CSP blockiert deine eigenen Skripte, Zahlungsbuttons oder Einbettungen, und HSTS lässt sich nicht schnell zurücknehmen, sobald Browser es gesehen haben — beides muss ein Mensch passend für deine Website setzen.
Der Server-Header gehört zu deinem Webserver, nicht zu WordPress, deshalb kann ein Plugin ihn nicht entfernen. Und readme.html liefert dein Webserver direkt aus, ohne dass WordPress beteiligt ist; würdest du die Datei löschen, meldete der Dateiintegritäts-Monitor eine fehlende Core-Datei — „Ignore this warning“ ist daher der saubere Weg, diesen Fund stummzuschalten.
Wenn ein Fix den Fund nicht beseitigt
Seiten-Caches liefern die alte Seite aus, bis sie neu aufgebaut werden. Das Relvato-Plugin leert beim Anwenden eines Fixes die Caching-Plugins, die es kennt — und Cloudflare über dessen offizielles WordPress-Plugin —, ein anderswo konfigurierter CDN-Cache kann die alte Version aber eine Weile vorhalten. Führe den Monitor später erneut aus oder leere diesen Cache.
Für PHP-Fehler, die Besuchern angezeigt werden, gibt es seit Plugin 1.70.0 keine Ein-Klick-Lösung mehr, weil WordPress.org Plugins bittet, keine PHP-Einstellungen zu ändern. Setze WP_DEBUG_DISPLAY in der wp-config.php auf false (und lass WP_DEBUG_LOG an, wenn du die Fehler privat protokollieren möchtest).
Die neun Ein-Klick-Härtungs-Fixes
| Fund | Fix | Was sich ändert |
|---|---|---|
| XML-RPC ist aktiviert | „Turn off XML-RPC“ | xmlrpc.php antwortet mit 403. Wird nicht angewendet, solange Jetpack aktiv ist, weil Jetpack es braucht. |
| Benutzer-Enumeration über die REST-API | „Hide the public user list“ | /wp-json/wp/v2/users antwortet nur noch angemeldeten Benutzern. Der Block-Editor funktioniert weiter. |
| Benutzername über Autoren-Enumeration preisgegeben | „Stop username lookups by number“ | /?author=1 führt zur Startseite. Autorenseiten funktionieren weiter. |
| WordPress-Version im Generator-Tag | „Remove the WordPress version tag“ | Das Generator-Meta-Tag wird aus Seiten und Feeds entfernt. |
| Software im X-Powered-By-Header | „Remove the X-Powered-By header“ | Seiten verraten die PHP-Version nicht mehr. |
| Datei-Editor für Plugins & Themes aktiviert | „Turn off the theme and plugin file editor“ | Dieselbe Wirkung wie DISALLOW_FILE_EDIT in der wp-config.php. |
| X-Content-Type-Options, Referrer-Policy oder X-Frame-Options fehlt | „Add safe security headers“ | Ergänzt nur die Header, die deine Website nicht bereits sendet. |
| Directory Listing auf /wp-content/uploads/ | „Stop browsing the uploads folder“ | Eine leere index.php in jedem Uploads-Ordner, der noch keine hat. „Undo“ entfernt nur die Dateien, die Relvato hinzugefügt hat. |
FAQ
Ändern die Fixes Dateien auf meiner Website?
Nur einer: Das Unterbinden des Verzeichnis-Browsings legt eine leere index.php in Uploads-Ordnern an, die keine haben, und „Undo“ entfernt nur die Dateien, die Relvato hinzugefügt hat. Jeder andere Fix ist eine Einstellung, die das Relvato-Plugin bei jeder Anfrage anwendet.
Legt das Abschalten von XML-RPC Jetpack oder die WordPress-App lahm?
Relvato schaltet XML-RPC nie ab, solange Jetpack aktiv ist. Auch die mobile WordPress-App nutzt XML-RPC — wenn du darüber veröffentlichst, lass diesen Fund unangetastet oder nutze „Undo“.
Funktioniert es auf Websites, die nicht auf WordPress laufen?
Der Exposure-Scan läuft auf jeder Website, aber die Ein-Klick-Fixes brauchen das WordPress-Plugin von Relvato, denn das Plugin ist es, das sie anwendet.
Kann ich alles auf einmal rückgängig machen?
Jeder Fix hat sein eigenes „Undo“, sodass du die behalten kannst, die du möchtest. Einen einzelnen Schalter, der alle abschaltet, gibt es nicht.