Eigene Anmelde-Adresse und WordPress-Spuren

Wozu eine eigene Anmelde-Adresse?

Viele automatische Angriffe probieren einfach /wp-login.php. Mit einer eigenen Adresse, zum Beispiel /zugang, laufen diese Versuche ins Leere. Das ersetzt keinen Login-Schutz, nimmt aber viel Last und Lärm weg.

Anmelde-Adresse ändern

Für eine Website: Öffne die Website, dann „Sicherheit“ › „Schutz“, und schalte „Eigene Anmelde-Adresse“ ein. Für alle Websites: „Einstellungen“ › „Richtlinien“ › „Schutz“, gleiche Zeile. Beim Einrichten des Schutzes gibt es dafür die eigene Option „Anmelde-Adresse ändern“; sie ist nicht vorausgewählt.

Wir schlagen eine gut lesbare Adresse vor, zum Beispiel zugang-4821. Mit „Neuer Vorschlag“ bekommst du eine andere, du kannst sie auch selbst anpassen. Erlaubt sind 4 bis 40 Kleinbuchstaben, Ziffern und Bindestriche. Namen, die WordPress selbst belegt oder die leicht zu erraten sind (alles mit wp-, admin, login), nehmen wir nicht an. Mit „Adresse speichern“ gilt sie, sobald die Website sie übernommen hat. Ändern kannst du sie jederzeit über „Ändern“ in derselben Zeile.

Wir schicken allen Admins der Website die neue Adresse. Die Funktion ist standardmäßig aus, weil sich alle Lesezeichen deines Teams ändern.

Die Adresse sehen in Patchnight nur Inhaber, Admins und Mitglieder. Wer nur lesen darf, sieht lediglich, dass sie an ist.

Was sich ändert

Wer nicht angemeldet ist und /wp-login.php oder /wp-admin aufruft, sieht die normale „Seite nicht gefunden“ deines Themes. Passwort-Links aus E-Mails, das Abmelden, passwortgeschützte Seiten und die Zwei-Faktor-Abfrage funktionieren über die neue Adresse weiter. Auch Login-Formulare von WooCommerce oder deinem Theme funktionieren weiter.

Patchnight kennt die neue Adresse. Unter „Sicherheit“ › „Schutz“ steht sie als Link bei der Website, und alle Wege aus Patchnight nach WordPress (zum Beispiel „In WordPress“ bei Updates) führen über sie. Updates, Sicherungen und Prüfungen laufen unverändert.

Adresse vergessen?

Die Adresse steht in der E-Mail an alle Admins und in Patchnight bei der Website unter „Sicherheit“ › „Schutz“. Kommst du gar nicht weiter, schaltet der Notfallmodus die eigene Adresse ab, siehe Ich bin ausgesperrt.

WordPress-Spuren entfernen

Diese Funktion entfernt typische Hinweise, an denen Angreifer WordPress und seine Version erkennen. Dazu gehören die Versionsangabe im Quelltext und in Feeds, Dateien wie readme.html und license.txt und überflüssige Links und Header. Die Zeile heißt „WordPress-Spuren reduzieren“ und ist standardmäßig an. Einzelne Punkte schaltest du unter „Einzelne Hinweise“ ab, für alle Websites in den Richtlinien oder als Ausnahme für eine Website.