Ihr WordPress-Administrationsbereich ist so etwas wie der Kontrollraum Ihrer Website. Wenn Hacker eindringen, können sie Einstellungen ändern, Daten stehlen oder Sie sogar aussperren. Deshalb gehört es zu den klügsten Dingen, die Sie tun können, diesen Bereich zu sichern.
Wir haben gesehen, dass viele Website-Besitzer mit Sicherheitsbedrohungen konfrontiert sind, ohne zu wissen, wie verwundbar ihr Verwaltungsbereich ist. Brute-Force-Angriffe, Malware-Injektionen und unbefugte Anmeldungen sind häufiger, als Sie vielleicht denken.
Die gute Nachricht? Sie müssen kein Sicherheitsexperte sein, um Ihre Website zu schützen. Ein paar einfache Anpassungen können es Angreifern sehr viel schwerer machen, auf Ihre Website zu gelangen.
In diesem Leitfaden geben wir Ihnen wichtige Tipps und Hacks zum Schutz Ihres WordPress-Administrationsbereichs. Diese Schritte werden Ihnen helfen, Ihre Website und Ihre Daten zu schützen und Ihre Gedanken zu beruhigen.
Wir werden viele Tipps behandeln, und Sie können die nachstehenden Links verwenden, um zwischen ihnen zu wechseln:
- Use a Website Application Firewall
- Password Protect WordPress Admin Directory
- Always Use Strong Passwords
- Use Two Step Verification on WordPress Login Screen
- Limit Login Attempts
- Limit Login Access to IP Addresses
- Disable Login Hints
- Require Users to Use Strong Passwords
- Reset Password for All Users
- Keep WordPress Updated
- Create Custom Login and Registration Pages
- Learn About WordPress User Roles and Permissions
- Limit Dashboard Access
- Log out Idle Users
1. Verwenden Sie eine Firewall
Eine Firewall überwacht den Website-Verkehr und verhindert, dass verdächtige Anfragen Ihre Website erreichen.
Es gibt zwar mehrere WordPress Firewall Plugins, wie z.B. Wordfence, aber wir empfehlen die Verwendung von Cloudflare.
Es ist die größte und leistungsfähigste Cloud-basierte Firewall zum Schutz Ihrer Website.
Der gesamte Datenverkehr Ihrer Website durchläuft zunächst den Cloudflare-Cloud-Proxy, der jede Anfrage analysiert und verdächtige Anfragen davon abhält, Ihre Website zu erreichen.
Dies schützt Ihre Website vor möglichen Hacking-Versuchen, Phishing, Malware und anderen bösartigen Aktivitäten. Eine schrittweise Anleitung zur Einrichtung finden Sie in unserem Artikel über die Einrichtung des kostenlosen Cloudflare CDN für Ihre Website.
Eine weitere großartige Option ist Sucuri, das wir zuvor verwendet haben. Weitere Einzelheiten finden Sie in unserem Artikel darüber , warum wir von Sucuri zu Cloudflare gewechselt haben.
2. Passwort-Schutz für das WordPress-Administrationsverzeichnis
Ein weiterer Tipp, der sich als äußerst effektiv erwiesen hat, ist das Hinzufügen eines Passwortschutzes für das WordPress-Verzeichnis.
Standardmäßig ist der Admin-Bereich bereits durch Ihr WordPress-Passwort geschützt. Durch das Hinzufügen eines Passwortschutzes für das Verzeichnis der Administratoren wird jedoch eine weitere Sicherheitsebene für Ihre Anmeldeseite geschaffen.
Zunächst müssen Sie sich in Ihr WordPress-Webhosting cPanel-Dashboard einloggen und dann auf das Symbol „Passwortgeschützte Verzeichnisse“ oder „Verzeichnisschutz“ klicken.
Als nächstes müssen Sie Ihren wp-admin-Ordner auswählen, der sich normalerweise im Verzeichnis /public_html/ befindet.
Auf dem nächsten Bildschirm müssen Sie das Kästchen neben der Option „Passwortschutz für dieses Verzeichnis“ aktivieren und einen Namen für das geschützte Verzeichnis angeben.
Klicken Sie anschließend auf die Schaltfläche „Speichern“, um die Berechtigungen festzulegen.
Als nächstes müssen Sie auf die Schaltfläche „Zurück“ klicken und dann einen Benutzer anlegen. Sie werden aufgefordert, einen Benutzernamen und ein Kennwort einzugeben und dann auf die Schaltfläche „Speichern“ zu klicken.
Wenn nun jemand versucht, das WordPress-Admin- oder wp-admin-Verzeichnis auf Ihrer Website zu besuchen, wird er aufgefordert, den Benutzernamen und das Passwort einzugeben.
Ausführlichere Anweisungen finden Sie in unserer Anleitung zum Passwortschutz des WordPress-Admin-Verzeichnisses (wp-admin).
3. Verwenden Sie immer sichere Passwörter
Wir haben gesehen, dass Benutzer einfache Wörter aus dem Wörterbuch als Passwörter verwenden, und einige waren zu klein und leicht zu erraten.
Verwenden Sie stets sichere Passwörter für alle Ihre Online-Konten, auch für Ihre WordPress-Website. Wir empfehlen, eine Kombination aus Buchstaben, Zahlen und Sonderzeichen in Ihren Passwörtern zu verwenden. Dadurch wird es für Hacker schwieriger, Ihr Passwort zu erraten.
Wir werden oft von Anfängern gefragt, wie man sich all diese Passwörter merken kann.
Die einfachste Antwort ist, dass Sie das nicht müssen. Es gibt einige wirklich gute Passwortmanager-Apps, die Sie auf Ihrem Computer und Ihrem Telefon installieren können.
Weitere Informationen zu diesem Thema finden Sie in unserem Leitfaden über die beste Passwortverwaltung für WordPress-Anfänger.
4. Zwei-Schritt-Verifizierung auf dem WordPress-Anmeldebildschirm verwenden
Die Zwei-Schritt-Verifizierung, auch bekannt als Zwei-Faktor-Verifizierung, Zwei-Faktor-Authentifizierung oder 2FA, ergänzt Ihre Passwörter um eine weitere Sicherheitsebene.
Wir verwenden den 2FA-Schutz nicht nur auf unseren WordPress-Websites, sondern auf all unseren Konten, für die die Option 2FA verfügbar ist.
Anstatt nur das Passwort zu verwenden, werden Sie aufgefordert, einen Verifizierungscode einzugeben, der von der Google Authenticator-App auf Ihrem Telefon generiert wird.
Selbst wenn jemand in der Lage ist, Ihr WordPress-Passwort zu erraten, benötigt er den Google Authenticator-Code, um Zugang zu erhalten.
Eine detaillierte Schritt-für-Schritt-Anleitung finden Sie in unserer Anleitung zur Einrichtung der 2-Schritt-Verifizierung in WordPress mit Google Authenticator.
5. Anmeldeversuche begrenzen
Standardmäßig erlaubt WordPress seinen Nutzern, Passwörter so oft einzugeben, wie sie wollen. Das bedeutet, dass jemand immer wieder versuchen kann, Ihr WordPress-Passwort durch Eingabe verschiedener Kombinationen zu erraten. Außerdem können Hacker automatisierte Skripte verwenden, um Passwörter zu knacken.
Um dies zu beheben, müssen Sie das Plugin Limit Login Attempts Reloaded installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Einstellungen “ Anmeldesperre, um die Einstellungen des Plugins zu konfigurieren.
Detaillierte Anweisungen finden Sie in unserem Leitfaden, warum Sie die Anmeldeversuche in WordPress begrenzen sollten. Um mehr über das Plugin zu erfahren, können Sie auch unseren ausführlichen Testbericht Limit Login Attempts lesen.
6. Login-Zugang auf IP-Adressen beschränken
Ein anderer Trick, der gut funktioniert, ist, wenn alle Benutzer mit Zugang zum Verwaltungsbereich feste IP-Adressen haben. Im Grunde können Sie den Zugang zum Verwaltungsbereich auf bestimmte IP-Adressen beschränken.
Fügen Sie einfach diesen Code in Ihre .htaccess-Datei ein:
AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "WordPress Admin Access Control"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# whitelist Syed's IP address
allow from xx.xx.xx.xxx
# whitelist David's IP address
allow from xx.xx.xx.xxx
</LIMIT>
Vergessen Sie nicht, xx-Werte durch Ihre eigene IP-Adresse zu ersetzen. Wenn Sie mehr als eine IP-Adresse für den Internetzugang verwenden, müssen Sie diese ebenfalls hinzufügen.
Detaillierte Anweisungen finden Sie in unserer Anleitung zur Beschränkung des Zugriffs auf den WordPress-Admin mit .htaccess.
7. Login-Hinweise deaktivieren
Bei einem fehlgeschlagenen Anmeldeversuch zeigt WordPress Fehlermeldungen an, die den Benutzern mitteilen, ob ihr Benutzername oder das Passwort falsch war. Diese Anmeldehinweise können von jemandem für böswillige Versuche wie Brute-Force-Angriffe verwendet werden.
Sie können diese Login-Hinweise ganz einfach ausblenden, indem Sie den folgenden Code in die Datei functions.php Ihres Themes einfügen oder ein Code-Snippets-Plugin wie WPCode verwenden (empfohlen):
function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );
Weitere Einzelheiten finden Sie in unserem Leitfaden zum Hinzufügen von benutzerdefiniertem Code in WordPress, ohne Ihre Website zu zerstören.
8. Benutzer zur Verwendung sicherer Passwörter verpflichten
Wenn Sie eine WordPress-Website mit mehreren Autoren betreiben, können diese Benutzer ihre Benutzerkonten bearbeiten und ein schwaches Passwort verwenden. Diese Passwörter können geknackt werden und jemandem Zugriff auf den WordPress-Administrationsbereich geben.
Um dies zu beheben, können Sie das SolidWP-Plugin installieren und aktivieren. Dann können Sie die Schritte in unserer vollständigen Anleitung zum Erzwingen sicherer Passwörter für Benutzer in WordPress befolgen.
9. Passwort für alle Benutzer zurücksetzen
Machen Sie sich Sorgen um die Passwortsicherheit auf Ihrer WordPress-Website mit mehreren Benutzern? Sie können ganz einfach alle Benutzer auffordern, ihre Passwörter zurückzusetzen.
Zunächst müssen Sie das Plugin “ Emergency Password Reset“ installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Benutzer “ Notfallkennwort zurücksetzen und klicken Sie auf die Schaltfläche „Alle Kennwörter zurücksetzen“.
Detaillierte Anweisungen finden Sie in unserer Anleitung zum Zurücksetzen von Passwörtern für alle Benutzer in WordPress
10. WordPress auf dem neuesten Stand halten
WordPress veröffentlicht häufig neue Softwareversionen. Jede neue Version des WordPress-Kerns enthält wichtige Fehlerbehebungen, neue Funktionen und Sicherheitskorrekturen.
Wenn Sie eine ältere Version von WordPress auf Ihrer Website verwenden, sind Sie anfällig für bekannte Sicherheitslücken und potenzielle Schwachstellen. Um dies zu beheben, müssen Sie sicherstellen, dass Sie die neueste Version von WordPress verwenden.
Weitere Informationen zu diesem Thema finden Sie in unserem Leitfaden darüber, warum Sie immer die neueste Version von WordPress verwenden sollten.
Auch die WordPress-Plugins werden häufig aktualisiert, um neue Funktionen einzuführen oder Sicherheits- und andere Probleme zu beheben. Stellen Sie sicher, dass auch Ihre WordPress-Plugins auf dem neuesten Stand sind.
💡 Hinweis: Möchten Sie Ihre WordPress-Wartung lieber den Profis überlassen? Unsere WPBeginner Wartungsdienste können sich um alles kümmern, von Updates bis zur Entfernung von Malware, damit Sie sich ganz auf den Betrieb Ihrer Website konzentrieren können.
11. Benutzerdefinierte Anmelde- und Registrierungsseiten erstellen
Viele Websites von WordPress erfordern eine Registrierung der Benutzer. Auf Websites für Mitglieder, Lernmanagement-Sites und Online-Shops müssen Benutzer beispielsweise ein Konto erstellen.
Diese Benutzer können sich jedoch mit ihren Konten in den WordPress-Administrationsbereich einloggen. Dies ist kein großes Problem, da sie nur die Dinge tun können, die ihre Benutzerrolle und ihre Fähigkeiten zulassen.
Dadurch können Sie jedoch den Zugriff auf die Anmelde- und Registrierungsseiten nicht richtig einschränken, da Sie diese Seiten benötigen, damit sich die Benutzer anmelden, ihre Profile verwalten und sich einloggen können.
Dies lässt sich leicht beheben, indem Sie benutzerdefinierte Anmelde- und Registrierungsseiten erstellen, so dass sich die Benutzer direkt von Ihrer Website aus anmelden und registrieren können.
Eine detaillierte Schritt-für-Schritt-Anleitung finden Sie in unserem Leitfaden zum Erstellen von benutzerdefinierten Anmelde- und Registrierungsseiten in WordPress.
12. Erfahren Sie mehr über WordPress-Benutzerrollen und Berechtigungen
WordPress verfügt über ein leistungsstarkes Benutzerverwaltungssystem mit verschiedenen Rollen und Berechtigungen. Wenn Sie einen neuen Benutzer zu Ihrer WordPress Website hinzufügen, können Sie eine Benutzerrolle für ihn auswählen. Diese Rolle des Benutzers legt fest, was er auf Ihrer WordPress Website tun kann.
Die Zuweisung falscher Benutzerrollen kann dazu führen, dass Personen mehr Fähigkeiten erhalten, als sie benötigen. Um dies zu vermeiden, müssen Sie verstehen, welche Fähigkeiten mit verschiedenen Benutzerrollen in WordPress verbunden sind.
Weitere Informationen zu diesem Thema finden Sie in unserem Leitfaden für Einsteiger zu WordPress-Benutzerrollen und -Rechten.
13. Beschränkung des Zugriffs auf das WordPress-Dashboard
Einige WordPress-Websites haben bestimmte Benutzer, die Zugang zum Dashboard benötigen, und einige Benutzer, die dies nicht tun. Standardmäßig können sie jedoch alle auf den Admin-Bereich zugreifen.
Um dies zu beheben, müssen Sie das Plugin Remove Dashboard Access installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Einstellungen “ Dashboard-Zugang und wählen Sie aus, welche Benutzerrollen Zugriff auf den Admin-Bereich Ihrer Website haben sollen.
Ausführlichere Anweisungen finden Sie in unserer Anleitung zur Einschränkung des Dashboard-Zugriffs in WordPress.
14. Untätige Benutzer abmelden
WordPress meldet Benutzer nicht automatisch ab, bis sie sich ausdrücklich abmelden oder ihr Browserfenster schließen. Dies kann für WordPress-Websites mit sensiblen Daten ein Problem darstellen. Aus diesem Grund melden Websites und Anwendungen von Finanzinstituten Benutzer automatisch ab, wenn sie nicht mehr aktiv waren.
Um dies zu beheben, können Sie das Plugin Inactive Logout installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Einstellungen “ Inaktive Abmeldung und geben Sie die Zeit ein, nach der die Benutzer automatisch abgemeldet werden sollen.
Weitere Einzelheiten finden Sie in unserem Artikel über das automatische Abmelden untätiger Benutzer in WordPress.
Wir hoffen, dass dieser Artikel Ihnen geholfen hat, einige neue Tipps und Hacks zum Schutz Ihres WordPress-Administrationsbereichs zu lernen. Vielleicht interessieren Sie sich auch für unseren ultimativen Schritt-für-Schritt-Leitfaden für WordPress-Sicherheit für Anfänger und unsere Expertenauswahl der besten WordPress-Sicherheits-Plugins.
Wenn Ihnen dieser Artikel gefallen hat, dann abonnieren Sie bitte unseren YouTube-Kanal für WordPress-Videotutorials. Sie können uns auch auf Twitter und Facebook finden.
Danang Sukma
Thanks for your post.
Im using password protect for my wp-admin folder in cpanel, is it enough?
mby
uh what a useful info guys, it can help surely!!
thanks for posting! ^_^
anthony
This is great information which I will be implementing ASAP!I have already experienced having my blog hacked so have been worried about these issues.Many thanks!!
shoaib hussain
man m moving from one post to the other in your blog and m loving it it.thnx a lot.guess i’ll have to subscribe now.
tzutzu
AWESOME post!! Thank you for this info
Marlin
Thanks Nice list this will surely help to secure wordpress admin panel.
Abhilash Thekkel
Very useful tips. Thank you
Jessica
I’m currently learning wp development. I want to make a ecommerce site with wordpress using the WP e-Commerce plugin. Does anyone know if these tips will keep my ecommerce site secure.
Editorial Staff
Make sure that you have SSL Protection on your e-commerce site for all transactions. These are only to protect your admin area.
Admin
Ursula Comeau
Wow – this is an AWESOME post! Thank you so much for sharing all this information – and some great plugins as well!
In a world where security has become top priority, these are very important things to be aware of with a WordPress installation. Really appreciate your transparency and willingness to share this information! I’ll be tweeting this one.
Lilia
The problem with plugins is that they’re not always compatible with every version, and they aren’t always updated.
Editorial Staff
Most plugins are compatible with newer versions, and if the developer decides to leave development of the plugin, others often pick up and create a plugin with fixes for the future releases. You just have to stay active in the community.
Admin
Smashing Themes
Seriously guys, change your site name to WP ROCKER, you guys rock hard. I installed three plugins to protect my admin panel after reading this great post.
Dagmar
There are also some paid plugins – i.e. „WP Secure“ which also claims it is going to make your WP secure from hackers. It also works on the summary of couple of the principles above – i.e. custom made login page, one IP confirmation etc.
Is it worthy to purchase? = anybody knows if it is easier to use for non-techie than some of the above mentioned?
Editorial Staff
If you can do the work for free then what is the point in paying?
Admin
iHacks
Link to WordPress Firewall Plugin?
Editorial Staff
It is working now.
Admin
Kjetil
Hi
Thanks a lot for your tips.
Regarding tip 8, I wonder how to insert the code
`add_filter(’login_errors’,create_function(’$a’, “return null;”));`
What is the complete function to use?
I’d like to try since I already use AskApache Password Protect and that plugin is incompatible with Secure WordPress.
Thanks,
Kjetil
– http://www.dolcevita.no
Editorial Staff
You go to functions.php and insert that code. Thats all if we understand your question clearly. If this has not answered it, then please reply to the comment and we will surely take a look at it.
Admin
Robinoz
Thanks for this invaluable information. I’ve just suffered a malware attack that put my blog off line for a day or two while I had my WordPress programmer sort it out. Ver inconvenient.
I’ll be implementing some of the suggestions you’ve made in the next day or so.
Robinoz
http://www.e1jobs-blog.com (All About Jobs blog“
secure server
good tips for securing wordpress. as time goes we are going to see hosts either become more stringent and secure or cms packages need to implement on install a few more security initiatives.
abbie
Hi. You’ve written a very good post.
I’ve rewrote this great post in Indonesian language.
I really hope you dont mind.
Editorial Staff
We have sent you an email regarding this. We do not allow full article translation. Please summarize it and link to our article if your users want to read the full tips.
Admin
abbie
Thanks for your response.
I’ll revise my post.
Arie
Hi there..
I want to ask something for you.
Besides i has to use askimet, captcha word, storng psswrd, is any other way for hacker to sabotage our web.
Thats my question, please repp to my mail
Regards,
Arie
Editorial Staff
Yes, if your host has vulnerabilities, then the hacker can get you down as well.
John Macpherson
It took me a few minutes to work this one out but you have the wrong kind of quotes around this function
add_filter(’login_errors’,create_function(’$a’, “return null;”));
It should be:
add_filter(‚login_errors‘,create_function(‚$a‘, “return null;”));
Other than that, great post.
jakesjohn
What you can from Wp-PreventCopyBlogs WordPress Plugin
1.Track the visitors who try to copy your content.
2.Record the ip of the user who tries to do fraudulent copy with their landing url of your site and referral url.This can help you to do necessary measures if you notice something bad.
3.Enable Message displayed to your user upon user’s choice.
4.Disable Selection of you text and Right Click for users depending on the option.
Srecko Bradic
I must congratulate with this excellent article!!! To be honest I know for some tips but some very important info was unknown for me until now!
Keep on good work
Soxialize
Excellent post! Will be testing several of the security tips you provided. Thanks for putting all this together!
Heather
Brilliant post, I think I’ll sleep better tonight!
Henry
Regarding #6, if you use the following .htaccess file you will be able to login from other locations in a two-step process. This requires you to add a htpasswd file (read your server documentation).
AuthUserFile ’some htpasswd file‘
AuthGroupFile /dev/null
AuthName “WordPress Admin Access Control”
AuthType Basic
order deny,allow
deny from all
Require valid-user
# whitelist Syed’s IP address
allow from xx.xx.xx.xxx
# whitelist David’s IP address
allow from xx.xx.xx.xxx
# whitelist Amanda’s IP address
allow from xx.xx.xx.xxx
# whitelist Muhammad’s IP address
allow from xx.xx.xx.xxx
# whitelist Work IP address
allow from xx.xx.xx.xxx
Satisfy Any
The „require valid user“ and „satisfy any“ lines will force the Apache Server to request a Username and Password before you can access the WordPress Login screen. Please DO NOT use the same Username and Password in the htpasswd file that you use for your WordPress access, or you will defeat the purpose of the extra level of security.
Editorial Staff
Thanks for the suggestion. Post updated with a link to this way as well
Admin
Laura
Thanks for the great article. I’m looking forward to making my own blog more secure.
A.rnaud
I just made a French translation of your article on my blog (http://bit.ly/19V6YU)
thanks for the tips !
Editorial Staff
Thanks for the translation
Admin
Constantine
Hi, I have been blogging for 3 years. My blog got hacked in June 2009 and google banned for 30 days, my pageviews immediately slide from 800 a day to less than 100 a day.
I highly recommend installing wordpress firewall plugin. The plugin will send your an email every time someone tries to hack your blog together with the hackers IP address. The plugin detects and blocks strange requests, redirecting the attack to the homepage.
On monday i got an email of six attempted hack attempts over the weekend. The hacker tried the admin page three times when that failed he tried searching wordspew plugin which i dont use.
To all newbies good luck
Editorial Staff
Thanks for suggesting this one. Its now added in the post
Admin
Renee Fischer
Once a hack is successful the bot or human hacker will keep your data and keep retrying your website files looking for a way back in. they will continue to be relentless. if they have happened to hack your email or computer or server they will keep going until they have hacked everything you touch. they are like cockroaches that found crumbs that led to your house.
Dirk
In reality 2., 7. and 11. (if not hardened) are the most important things. The other things are nearly unnecessary
Typhoon
Real a very useful article. I tweeted it.
By the way I want to ask one thing; How does Stealth Login works for guest authors?
Editorial Staff
You give them the special URL that you created if you trust them enough. For the most part, guest authors should not even be allowed in the admin panel unless they are authors of your site. If someone has written multiple posts for your site then they can be trustable so you can give them the special url /login or /googlogin or whatever you created.
Most top blogs take guest posts via email and if those guest authors become regular authors, only then they are allowed in the admin panel.
Admin
Misao
Thank you! Very helpful article. I will try your tips and hacks on some of my blogs.
sriganesh
very useful.
:geek: thanks for sharing. i will spred this surely
Yves
Hi
Nice list! You may want to add the nice „One time Password“ plugin for WordPress:
http://wordpress.org/extend/plugins/one-time-password/
quicoto
Thanks for the tips
Tim
Great tips.
For the involved readers there is an inaccuracy in #6.
„The downside to this hack is that if you ever want to access the admin panel from some other place, you won’t be able to do so unless you add that extra IP in your .htaccess file.“
If the ip-address you allow is a box you can can SSH into, you can SSH tunnel through it (I use foxyproxy, because it makes the switch very easy). Also, if you are using nginx instead of apache you can evaluate the URI w/ regular expressions to block everything from wp-app.php to wp-trackback.php (or selectively choose which ones you do not want to block). I cover this @ http://www.phrison.com/securing-arbitrary-uris/ but it is not for the unexperienced.
I have a large collection of tin-foil hats.
Editorial Staff
You are correct.
Warning: New users don’t try this at all. This is for experienced users only.
Admin
SaigonNezumi(Kevin)
Thanks for this piece. I have been waiting for an article like this. Adding a couple of your tips will help secure my WP sites.
Thanks again.
Editorial Staff
You are welcome
Let us know which one you use and your thoughts on the process of implementing it.
Admin
Dana DeFazio
I’m wondering if there is something comparable for my blog because it is a WordPress.com site and also I have a new blog at danaddiamond.BlogSpot.com
Editorial Staff
WordPress.com does not allow you to have a lot of privileges but with their server, you are safe for the most part.
Admin
Tinh
Excellent tips and hacks, I only applied 6 of 11 tips you suggested, let me try the rest
Jo
This site is a happy new find for me (FYI,thanks to @Problogger on Twitter), and I’m looking forward to further exploration. This article is the kind of tight, clear writing that is too rare these days. Thanks for some genuinely helpful information.
Editorial Staff
We are glad that you like our site, and we are also very glad that Darren found the article useful enough to tweet it. We hope you follow us on twitter so you can stay up to date with all the nice tutorials.
Admin
Marc
Wow – I’m fairly new to WP and had no idea there were so many gateways for hackers. I’m sure they won’t find their way in after adding a few of these.
Thanks.
Roger Duck
WordPress security is a growing issue and these steps are critical for securing a WordPress site. Beefing up security helps the entire community as well as your own site to take time to implement these ideas. Well done.
Rob
And to protect all your hard work / security features from your clients….
http://wordpress.org/extend/plugins/hide-admin-panels/
James Morrison
A good list of vital tips to secure your site. I particularly like #8 I’ve never done this before but will from now on!
Regarding #7 – Remove ‚admin‘ username:
I don’t remove the admin username, I create a new admin account then change the ‚admin‘ users account type to subscriber.
That way, even if someone does crack the password it’s a useless account. If you remove it, someone can register that username…
Kathlene
Qwerstion for James Morrison. Can you explain a bit more what you are saying and how to do it?
For the staff, I have tried a number of times to get a number for the akisnet plugin and cannot seem to come by one. How is one obtained.
Very nice post. I will be implementing these directly. I had one of my blogs hacked twice in 30 days once.
Thanks for the great info.
James Morrison
Follow these steps:
1.) Create a new user account with admin access (eg ‚James‘)
2.) Sign in with new account to WP Admin
3.) Edit ‚admin‘ users‘ account and change access to subscriber
That way if someone tries to compromise the admin account and succeeds they still can’t do anything bad to your site.
To get an akismet key you need to sign up for one at http://www.wordpress.com
Hope this helps!
Mathdelane
You can always change the default „admin“ username to anything you wish via phpMyadmin database. Here’s my post about it as well as my experience about blog hacking and security:
http://softwarecritics.info/open-source/blogosphere-alert-prevent-your-wordpress-blogs-from-being-hacked/
Cheap Sites
Thank you for all the suggestions, I’m working on a few big projects and this will certainly help once the blogs are up and running.
First time here and I’m loving the blog, good job!
Dan
Editorial Staff
Glad that you like it here. Feel free to make any suggestions if you ever have a question, or would like some specific topic covered at WPBeginner.
Admin
Flow Interactive
Good tips. You can also move your wp_config.php file outside of the web root to provide an extra layer of security.
Editorial Staff
Yes you can do that, but in this article we were only talking about WordPress Admin Panel not the entire site in general. There are many other ways to protect your site entire WordPress blog.
Admin
Shabayek
But what if you allow your blog visitors to register, and force them to log on before posting comments?
Editorial Staff
Then you cannot use the IP protect and others, but you should still use limit lockdown, not use admin username, and semisecure login.
Admin
Gerald Weber
I use the limit loggin requests to my ip address. This mean that anyone that attempts to access http://www.domainname.com/wp-admin that is not making the request from my ip address will simply get a 404 page.
Blogspot to wordpress
Hey very useful post.
MOst INteresting IDeas blog
Useful post for my blog.
Dreyer
A helpful list. Will be giving these a go. Better paranoid than sorry.
Rafi
Hey this is a wonderful collection of tips and hacks, very useful. I recommend every WP blogger to go through the list and follow the steps as well as any other useful resources available elsewhere. After all we have NOT set up our blogs so someone shall take control of our lives. Damn.
Thanks for sharing, WPBeginner.
Sergej Müller
Link to WordPress AntiVirus Protection?
Editorial Staff
No matter how much you proofread, some thing are always missed. Glad we have users like you. Link added. Thanks again.
Admin
Lolic
What about aksimet and captcha systems?