Administrator besser absichern

Auf einer Word­Press-Sei­te, an der ich betei­ligt bin, ist das Plug­in „Limit Log­in Attempts“ instal­liert. Das sperrt Zugrif­fe von IPs, wenn das Benut­zer­pass­wort zu oft falsch ein­ge­ge­ben wur­de. Seit ein paar Wochen bekom­me ich stän­dig Benach­rich­ti­gun­gen über Sper­run­gen. Von IPs aus aller Welt wird ver­sucht, das Pass­wort des Admi­nis­tra­tors zu erra­ten. Das war Anlass für mich, zu schau­en, was man machen kann, um den Admi­nis­tra­tor bes­ser abzusichern.

1. Wer eine neue Word­Press-Instal­la­ti­on hat, soll­te zunächst einen zwei­ten Benut­zer­ac­count anle­gen und den nur mit Redak­teurs-Rech­ten aus­stat­tet. Der soll­te ein gutes, aber merk­ba­res Pass­wort bekom­men. Mit dem soll­te man dann bloggen.
2. Dann soll­te man einen Account anle­gen, der Admin wird. Und mit dem soll­te man den alten Admin löschen (sie­he). Natür­lich ist das „Secu­ri­ty by Obscu­ri­ty“ und kei­ne ech­te Sicher­heit. Die auto­ma­ti­sier­ten Angrif­fe, die ich fest­ge­stellt habe, ver­su­chen aber immer nur sich mit dem Benut­zer­na­men „Admin“ ein­zu­log­gen. Die hät­ten man allei­ne durch den neu­en Benut­zer­na­men abgewehrt.
3. Den Admin-User soll­te man mit einem wirk­lich guten Pass­wort schüt­zen. Das Pass­wort kann man dann im Pass­wort-Mana­ger speichern.
4. Wer eine bestehen­de Word­Press-Instal­la­ti­on hat und bis­her unter dem Admin-Account gebloggt hat, kann den Account nach­träg­lich in der Daten­bank umbe­nen­nen. Man soll­te dann auch gleich einen neu­en Admin-Account anle­gen und dem eige­nen Account nur noch Redak­teurs-Rech­te geben.
5. Wer eine Word­Press-Mul­ti­in­stal­la­ti­on betreibt, muss dem neu­en Admin dann auch die Super-Admin­rech­te per Daten­bank zurück­ge­ben – war­um das über den Benut­zer­na­men und nicht die ID geht, soll mir mal jemand erklären…
6. Man soll­te dann noch das Limit Log­in Attempts Plug­in instal­lie­ren, damit Skrip­te nicht so ein­fach alle mög­li­chen Pass­wör­ter durch­pro­bie­ren können.

Das alles schützt natür­lich nicht vor rich­ti­gen Hacks, aber es schützt zumin­dest schon ein­mal die „Haus­tür“ ver­nünf­tig vor Skrip­ten, die ein­fach mal aus­pro­bie­ren, ob das Pass­wort viel­leicht zu ein­fach ist.