Die .htaccess Datei ist ein mächtiges Konfigurationswerkzeug für einen Webserver oder ein Webhosting-Paket und sollte überall dort im Einsatz sein, wo man WordPress selbst hosten kann. Die Datei sollte sich im Hauptverzeichnis einer WordPress-Installation finden lassen, also dort, wo die Ordner wp-content, wp-admin usw. liegen. In diesem Beitrag zeigen wir Ihnen, welche Grundeinstellungen in diese Datei gehören, damit WordPress sicherer und besser wird.
Die Vorbereitung
Zuerst einmal muss die Datei gefunden werden. Der folgende Screenshot zeigt, wo die Datei liegt.
Ganz wichtig ist es, vor dem Bearbeiten der .htaccess Datei ein Backup selbiger zu erstellen. Dazu kopieren Sie die Datei einfach in einen neuen/anderen Ordner. Eine Besonderheit unter Mac OS X: Der Mac sieht alle Dateien mit einem Punkt vor dem Dateinamen als Systemdateien an, also auch die .htaccess. Das bedeutet, dass er sie ausblendet, sobald Sie sie auf den Schreibtisch gezogen haben. Abhilfe schafft hier das kleine Dashboard Widget Hidden Files, mit dem man nach Belieben die versteckten Dateien ein- und wieder ausblenden kann. Das Widget funktioniert auch unter Yosemite.
Nach jeder Änderung an der .htaccess-Datei sollte ein Refresh des Browsers durchgeführt werden, um feststellen zu können, ob die Webseite noch erreichbar ist. Denn bei nur einem fehlerhaften Zeichen wird die betreffende Webseite nicht mehr angezeigt werden, die .htaccess ist sehr empfindlich. Sollte Ihre Webseite also nicht mehr darstellbar sein, laden Sie bitte die Backup-Version wieder hoch. Das behebt den Fehler dann zumeist augenblicklich.
Die nun folgenden Code-Schnipsel fügen Sie bitte einfach an das Ende der .htaccess an.
1. Zugriff von außen auf .htaccess Datei verbieten
Damit die wichtige Serversteuerungs-Datei .htaccess keinesfalls von außerhalb des (S)FTP Zugangs erreichbar und damit verändert werden kann, verbieten wir als erstes den Zugriff darauf.
1 2 3 4 5 | # Zugriff auf .htaccess und .htpasswd verbieten, falls in Benutzung <FilesMatch "(\.htaccess)"> Order deny,allow Deny from all </FilesMatch> |
2. Bild-Hotlinking verbieten
Das sogenannte Hotlinking von Bildern kann für Sie zum echten Problem werden. Hierbei laden andere Menschen die Bilder aus Ihrer Webseite nicht herunter, um sie dann anschliessend zu verlinken, sondern es wird nur der Pfad zu Ihrem Bild angegeben. Dies könnte Ihre Webseite verlangsamen und wichtige Bandbreite stehlen. Externe Verlinkung Ihrer Bilder können Sie mit dem folgenden Code jedoch ganz leicht verhindern.
Der Platzhalter deinewebseite.com muss durch die URL Ihrer Webseite ersetzt werden. Ganz unten ist der Pfad zu einer Grafik zu finden, die anstatt des verlinkten Bildes angezeigt wird. Diese Grafik kann durch jede andere ersetzt werden.
1 2 3 4 5 | RewriteEngine on RewriteCond %{HTTP_REFERER} !^$ RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?deinewebseite.com [NC] RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?deinewebseite.com [NC] RewriteRule \.(jpg|jpeg|png|gif)$ http://i.imgur.com/g7ptdBB.png [NC,R,L] |
Bitte beachten: Sollten Sie einen externen Feedanbieter wie zum Beispiel Feedburner benutzen, könnte es sein, dass keine Bilder im Feed landen.
3. Browser-Caching aktivieren
Kaum eine andere Tuning-Maßnahme bringt mit so wenig Aufwand so viel Ergebnis. Viele der größten Dateien Ihrer Webseite ändern sich im Grunde genommen nie, deshalb ist es eine gute Idee, diese für eine lange Zeit in den Browser-Cache zu befördern. Dateien, wie zum Beispiel das CSS oder das JavaScript einer Webseite, werden dann nur beim ersten Besuch einmal vom Browser geladen. Bei jedem weiteren Besuch (oder aber auch beim Aufruf weiterer Seiten beim ersten Besuch) muss der Browser diese Dateien nicht mehr laden. Dementsprechend wird die Webseite viel schneller aufgerufen.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 | ## EXPIRES CACHING ## <IfModule mod_expires.c> ExpiresActive On ExpiresByType image/jpg "access 1 year" ExpiresByType image/jpeg "access 1 year" ExpiresByType image/gif "access 1 year" ExpiresByType image/png "access 1 year" ExpiresByType text/css "access 1 month" ExpiresByType text/html "access 1 month" ExpiresByType application/pdf "access 1 month" ExpiresByType text/x-javascript "access 1 month" ExpiresByType application/x-shockwave-flash "access 1 month" ExpiresByType image/x-icon "access 1 year" ExpiresDefault "access 1 month" </IfModule> ## EXPIRES CACHING ## |
4. IP-Adressen dauerhaft bannen
Es kann schon mal vorkommen, dass man spezielle IP-Adressen einfach bannen möchte. Sei es, weil derjenige versucht hat, den Administrationsbereich zu hacken, oder aber, weil er vielleicht nur böswillige (Spam) Kommentare hinterlässt. Wenn Sie die IP-Adresse desjenigen wissen, nutzen Sie folgenden Code um ihn für immer, zumindest unter dieser IP-Adresse, auszusperren.
1 2 3 4 5 6 | <Limit GET POST> order allow,deny deny from 123.456.78.9 deny from 987.654.32.1 allow from all </Limit> |
Bitte beachten: Die IP-Adressen im obigen Code müssen natürlich noch angepasst werden.
5. Include Only Dateien blocken
Etliche, wirklich wichtige Dateien sollten niemals zugänglich sein, außer von WordPress selbst. Auch davor kann man sich mit folgendem Code schützen. Bitte beachten: Haben Sie eine WordPress-Multisite-Installation, dann funktioniert der Code nicht.
1 2 3 4 5 6 7 8 9 10 | # Block the include-only files. <IfModule mod_rewrite.c> RewriteEngine On RewriteBase / RewriteRule ^wp-admin/includes/ - [F,L] RewriteRule !^wp-includes/ - [S=3] RewriteRule ^wp-includes/[^/]+\.php$ - [F,L] RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L] RewriteRule ^wp-includes/theme-compat/ - [F,L] </IfModule> |
6. Den wp-content Ordner schützen
Der WordPress Ordner wp-content ist der wichtigste Ordner, da er Ihre Themes, die Plugins und Bilder, gecachte Dateien usw. enthält. Für Hacker ist dieser Ordner das Hauptangriffsziel, deshalb sollte er gut geschützt sein.
Erstellen Sie eine separate .htaccess Datei, fügen den folgenden Code hinein und laden die Datei in den wp-content Ordner hoch (www.deinewebseite/wp-content/).
1 2 3 4 5 | Order deny,allow Deny from all <Files ~ ".(xml|css|jpe?g|png|gif|js)$"> Allow from all </Files> |
7. Die XML-RPC Schnittstelle abschalten
Die XML-RPC Schnittstelle in WordPress dient dazu, WordPress mit externen Programmen verwalten zu können; zum Beispiel, um Artikel zu veröffentlichen oder Kommentare zu bearbeiten. Zu den Programmen gehören unter anderem die mobilen Anwendungen für iOS, Android und Co, aber auch der Windows LiveWriter. Diese Schnittstelle kann aber auch für DDoS-Angriffe genutzt werden, die dafür sorgen, dass Ihre Webseite lahm gelegt wird. Mit einem kurzen Eintrag in die .htaccess kann die Schnittstelle komplett abgeschaltet werden:
1 2 3 4 | <Files xmlrpc.php> Order Deny,Allow Deny from all </Files> |
Diesen Eintrag sollten Sie allerdings nur verwenden, wenn Ihre Webseite keine Blog-Funktionalität hat, da auch keine Trackbacks mehr durch gelassen werden. Sollten Sie einen Blog betreiben oder Ihr WordPress mit mobilen Anwendungen betreiben wollen, nutzen Sie den folgenden Code, um die Schnittstelle abzusichern:
1 2 3 4 5 6 7 8 9 10 11 12 | <IfModule mod_setenvif.c> <Files xmlrpc.php> BrowserMatch "Poster" allowed BrowserMatch "WordPress" allowed BrowserMatch "Windows Live Writer" allowed BrowserMatch "wp-iphone" allowed BrowserMatch "wp-android" allowed Order Deny,Allow Deny from All Allow from env=allowed </Files> </IfModule> |
Im Beispiel-Code sind Zeile für Zeile folgende Clients freigegeben:
- Poster
- WordPress-Blogs
- Windows Live Writer
- WordPress for iOS
- WordPress for Android
Nicht benötigte Freigaben gehören zeilenweise entfernt. Neue User Agents können hinzugefügt und somit freigeschaltet werden.
Quelle: Sergej Müller - XML-RPC-Schnittstelle in WordPress via .htaccess absichern
8. PHP – Fehlermeldungen unterdrücken
Dies ist ein ganz wichtiger Punkt, denn sobald PHP eine Fehlermeldung heraus gibt, wird damit auch der Dateipfad sichtbar. Sergej Müller schreibt zu diesem Problem:
In WordPress-Blogs ist es recht simpel, einen PHP-Fehler (indirekt) zu erzeugen, um an die Fehler-Ausgabe inklusive Pfad heran zu kommen. Dafür muss man weder Administrator noch Experte sein. Durch einen direkten Aufruf bestimmter WordPress-Core- wie Plugins-Dateien in der Adresszeile des Browsers werden PHP-Fatal-Fehler generiert (weil notwendige und referenzierte WordPress-Funktionen fehlen).Erlauben Server- bzw. PHP-Einstellungen die Darstellung von Fehlern, erscheinen Fehler der Anwendung im Browser. Kaum jemand kann etwas mit der Fehlerausgabe anfangen, für Angreifer ist es jedoch eine sehr wertvolle Information, um nach Hintertüren zu suchen und diese auszunutzen.
Mit einem simplen Eintrag in der .htaccess Datei können Sie das Problem lösen:
1 | php_flag display_errors Off |
Zugabe – denn Sicherheit geht über alles
Blocken wir nun den Zugriff von außen auf wichtige Dateien, denn schließlich sollten nur Sie Zugriff auf diese Dateien haben. Der untere Punkt schützt Ihre Webseite zusätzlich gegen URL Exploits, also gegen Hackversuche über die URL. Dieser Code befindet sich in jeder .htaccess Datei meiner Webseiten.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 | # ---------------------------------------------------------------------- # Wichtige Sicherheitseinstellungen # ---------------------------------------------------------------------- #wichtige Dateien gegen Zugriff von außen Blocken <files install.php> Order allow,deny Deny from all </files> <files wp-config.php> Order allow,deny Deny from all </files> # PROTECT readme.html <files readme.html> Order Allow,Deny Deny from all Satisfy all </Files> # PROTECT liesmich.html für DE Edition <Files liesmich.html> Order Allow,Deny Deny from all Satisfy all </Files> <files error_log> Order allow,deny Deny from all </files> # Keine URL based exploits zulassen RedirectMatch 403 \[ <IfModule mod_rewrite.c> RewriteEngine On RewriteBase / # Double slashes in allen URLs verbieten RewriteCond %{THE_REQUEST} ^[A-Z]+\ /(([^/\ ]+/)*)/+([^\ ]*) RewriteRule ^ /%1%3 [L,R=301] </IfModule> |
Fazit
Mit nur ein paar Minuten Zeitaufwand machen Sie mit dem Code dieses Artikels Ihre WordPress-Webseite wesentlich sicherer und auch schneller. Hacker haben jetzt bedeutend weniger Chancen, Ihre Webseite zu kompromittieren und Ihre Leser werden es Ihnen danken, dass die Webseite durch das Aktivieren von Browser-Caching schneller geworden ist.
Links zum Beitrag
- Hidden Files Dasboard Widget für Mac OS X
- Sergej Müller: XML-RPC-Schnittstelle in WordPress via .htaccess absichern
- Sergej Müller: Full Path Disclosure Verwundbarkeit in WordPress unterdrücken
(dpe)
