WordPress-Sicherheitscheck
Die meisten Übernahmen beginnen nicht mit einem Geniestreich, sondern mit offen herumliegenden Dateien und auslesbaren Benutzernamen. Der Check klopft genau die Stellen ab, die automatisierte Angriffe zuerst abfragen.
Prüfung starten
Welche WordPress-Seite soll geprüft werden?
Häufige Fragen
Was wird genau geprüft?
Ob die WordPress-Version im Quelltext steht, ob readme.html und license.txt abrufbar sind, ob Sicherungskopien der wp-config oder eine .env im Web-Root liegen, ob ein .git-Verzeichnis offen ist, ob Benutzernamen über die REST-Schnittstelle ausgelesen werden können, ob xmlrpc.php erreichbar ist, ob Verzeichnisse aufgelistet werden, ob Sicherheits-Kopfzeilen gesetzt sind und ob die Seite über HTTPS läuft.
Ist das ein Angriff auf meine Seite?
Nein. Der Check ruft ausschliesslich Adressen auf, die dein Server ohnehin öffentlich ausliefert, dasselbe, was jeder Besucher und jeder Suchmaschinen-Crawler tut. Es wird nichts verändert, kein Login versucht und keine Lücke ausgenutzt. Genau diese Adressen klappern automatisierte Angriffe allerdings als Erstes ab.
Warum sind auslesbare Benutzernamen gefährlich?
WordPress gibt über /wp-json/wp/v2/users standardmässig die Anmeldenamen preis. Damit kennt ein Angreifer die halbe Anmeldung und muss nur noch das Passwort durchprobieren. Genau so beginnen die meisten automatisierten Übernahmen.
Der Check findet nichts, ist meine Seite sicher?
Nein, nur diese Punkte sind in Ordnung. Veraltete Plugins, schwache Passwörter, fehlende Aktualisierungen oder bereits eingeschleuster Schadcode lassen sich von aussen nicht erkennen. Der Check schliesst die Türen, die offen stehen, er sagt nichts darüber, ob schon jemand drin war.
Meine Seite läuft nicht auf WordPress.
Dann sagt der Check das und bricht ab. Für andere Systeme ist der Website-Check die passende Prüfung.