Den WordPress-Administrator-Login abseits von /wp-admin zu legen, ist die wirkungsvollste Sicherheitsmaßnahme, die die meisten Websites ergreifen können. Die Standard-URL ist die erste Zeile im Handbuch jedes Angreifers. Sie zu ändern verbessert die Sicherheit nicht im Alleingang, aber sie entfernt die Website vollständig aus dem Pool automatisierter Angriffe. Dieser Leitfaden erklärt, warum und wie.
Wie automatisierte Angriffe Sie finden
Botnetze durchsuchen das Web und rufen /wp-login.php bei jeder Domain auf. Websites, die antworten, landen in der Angriffswarteschlange. Websites, die einen 404 zurückgeben, nicht. Die Entscheidung ist binär.
Entweder signalisieren Sie, dass Sie eine WordPress-Website sind, oder nicht. Die URL zu ändern ist genau dieser Umschalter.
So ändern Sie die URL
Ein Login-Sicherheits-Plugin übernimmt das. Defyn Security Manager ersetzt /wp-admin und /wp-login.php durch eine benutzerdefinierte URL Ihrer Wahl. Die alten URLs liefern einen 404, eine Weiterleitung oder eine Köder-Login-Seite, die Bots Zeit kostet.
Das Plugin Defyn Security Manager protokolliert außerdem jeden Versuch an der alten URL, sodass Sie Ihre Abwehr in Aktion sehen können.
Wiederherstellung, falls Sie die URL vergessen
Das Plugin bietet eine Notabschaltung über eine Konstante in der wp-config.php. Sie bearbeiten die wp-config.php, um die Konstante hinzuzufügen, das Plugin deaktiviert sich, und die ursprünglichen URLs kehren zurück. Sie melden sich normal an und richten es neu ein.
Bei Websites ohne Serverzugriff erreicht das Umbenennen eines Ordners per SFTP dasselbe. Dokumentieren Sie das Vorgehen im Wiki Ihres Teams.
Kombinieren Sie sie mit weiteren Login-Abwehrmaßnahmen
Die URL zu verbergen stoppt das automatisierte Rauschen. Brute-Force-Sperren, 2FA und Audit-Protokolle fangen ab, was durchkommt. Jede Schicht verstärkt die nächste.
Das Verbergen ist notwendig, aber allein nicht ausreichend.
Überwachen Sie die alte URL
Aktivität an der alten URL ist per Definition unerwünscht. Das Audit-Protokoll zeigt die IP-Adressen, die sie weiterhin ansteuern. Viele dieser IPs verdienen eine dauerhafte Sperre in der Firewall.
Diese Daten sind verwertbare Erkenntnisse.
Häufig gestellte Fragen
Ist ein WordPress-Administrator-Login abseits von /wp-admin für sich allein sicher?
Nein. Es ist eine wichtige erste Schicht. Kombinieren Sie es mit 2FA und Brute-Force-Sperren für echte Sicherheit.
Wird das Verbergen meinen Arbeitsablauf stören?
Nein. Setzen Sie ein Lesezeichen auf die neue URL. Speichern Sie sie in Ihrem Passwort-Manager. Nutzen Sie sie wie jede andere URL.
Was, wenn ich die neue URL vergesse?
Die Notabschaltung über die wp-config.php stellt die Standard-URL vorübergehend wieder her.
Sollte die neue URL schwer zu erraten sein?
Ja. Zufällig wirkende Zeichenfolgen schlagen /secret-login. Behandeln Sie die URL wie ein Geheimnis.
Bei Defyn unterstützen wir australische Unternehmen dabei, ihre WordPress-Websites mit mehrschichtigen Abwehrmaßnahmen zu sichern und zu pflegen – beginnend bei den Grundlagen, die wirklich funktionieren. Erfahren Sie mehr über unsere Arbeitsweise bei Defyn.
