Wie ändere ich die Login-URL von WordPress und verstecke wp-admin?

Warum das wichtig ist

Jede WordPress-Website der Welt antwortet unter denselben zwei Adressen: /wp-login.php und /wp-admin. Bots wissen das. Sie müssen deine Login-Seite nicht suchen; sie rufen sie einfach auf jeder Website auf, die sie erreichen, und fangen an, Passwörter zu raten. Wer die WordPress-Login-URL ändert, nimmt ihnen dieses feste Ziel.

Verlegst du den Login auf einen Pfad, den nur du kennst, nimmst du deine Website aus dieser Masse heraus. Automatisierte Rate-Skripte landen auf einem 404 und ziehen weiter. Deine Protokolle werden ruhiger, dein Server hat weniger zu tun, und die verbleibenden Versuche sind leichter zu deuten.

Was das nicht leistet. Den Login zu verstecken ist eine Verschleierungsebene. Sie entfernt das leichte Ziel, schließt aber nichts ab. WordPress hat weitere Türen, allen voran xmlrpc.php, das Benutzernamen und Passwörter eigenständig annimmt. Eine versteckte Login-Seite mit offener XML-RPC-Tür ist wie ein verstecktes Haupttor neben einer unverschlossenen Seitenpforte. Betrachte diesen Schritt als den ersten von mehreren:

• fehlgeschlagene Anmeldeversuche begrenzen,
• Zwei-Faktor-Anmeldung für Administratoren hinzufügen,
• den XML-RPC-Login und Lecks bei Benutzernamen schließen,
• starke, einzigartige Passwörter verwenden und WordPress aktuell halten.

Häufige Fehler

• Abmelden vor dem Test. Teste den neuen Pfad immer in einem privaten Fenster, während dein Haupt-Tab noch angemeldet ist. Ist etwas falsch, kannst du es noch korrigieren.
• Die URL nicht speichern. „Das merke ich mir schon“ ist die häufigste Ursache für Aussperrungen. Leg sie in deinem Passwort-Manager ab.
• Einen naheliegenden Pfad wählen. /login, /admin und /secure probieren Bots als Erstes aus. Nimm etwas, das für sich allein kein gängiges Wort ist.
• Die anderen Türen vergessen. Ist der XML-RPC-Login noch offen, verlagert sich das Passwort-Raten einfach dorthin. Siehe XML-RPC sicher deaktivieren.
• Den neuen Pfad cachen. Speichert ein CDN oder Seiten-Cache die Login-Seite, kann das Formular kaputtgehen. Nimm den Pfad vom Caching aus, so wie du es für wp-login.php tun würdest.

Ohne Plugin

In WordPress gibt es keine Einstellung, um die Login-URL zu ändern. Die manuellen Methoden sind:

wp-login.php umbenennen. Manche Anleitungen empfehlen, wp-login.php unter einem neuen Dateinamen zu kopieren und jede Referenz darin zu ersetzen. Das geht kaputt, sobald WordPress aktualisiert wird, denn das Update stellt die Originaldatei wieder her und deine Kopie veraltet. Wir raten davon ab.

Die Datei auf dem Server einschränken. Unter Apache kannst du wp-login.php in der .htaccess auf deine eigene IP-Adresse beschränken:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

Das ist solide, wenn du immer von einer festen Adresse aus arbeitest. Es sperrt dich an dem Tag aus, an dem sich deine IP ändert, und hilft bei Nginx- oder LiteSpeed-Setups ohne passende Regel nicht. Außerdem versteckt es die Weiterleitungen von wp-admin nicht.

HTTP-Basic-Auth verwenden. Viele Hoster lassen dich wp-login.php über ihr Control Panel mit einem Passwort schützen. Das funktioniert, fügt aber für alle ein zweites Login-Fenster hinzu und kann admin-ajax.php-Aufrufe aus dem Frontend kaputtmachen, wenn es zu breit angewendet wird.

Ehrlich zusammengefasst: Die manuellen Wege gehen entweder bei Updates kaputt oder hängen von einer festen IP ab. Ein Plugin, das die Anfrage abfängt, ist einfacher und übersteht Updates.

Wenn etwas schiefgeht

• Der neue Pfad zeigt einen 404. Prüfe den Pfad auf Tippfehler, leere dann deinen Seiten-Cache und CDN-Cache und versuche es in einem frischen privaten Fenster erneut.

• Du bist ausgesperrt. Füge diese Zeile in die wp-config.php ein, oberhalb von „That's all, stop editing!“ (bzw. „Das war’s, Schluss mit dem Bearbeiten!“):

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  Das Login-Formular öffnet sich sofort unter yoursite.com/new-path.

• Kein Dateizugriff auf die wp-config.php? Lösche den Ordner hushfort-security aus /wp-content/plugins/ per FTP oder über den Dateimanager deines Hosters. WordPress kehrt zu seinem Standard-Login zurück.

Die vollständige Anleitung zur Wiederherstellung findest du unter Ausgesperrt nach Änderung der Login-URL.

Mit Hushfort

Login verstecken ist in Hushfort Security enthalten, dem kostenlosen WordPress-Sicherheitsplugin.

Die Ebene Login verstecken von Hushfort tut nichts, bis du einen Pfad wählst – das Einschalten kann dich also nicht versehentlich aussperren. Sobald du einen Pfad festlegst:

• liefern wp-login.php und wp-admin einen 404 (oder leiten, wenn du willst, zu deiner Startseite oder einer URL deiner Wahl weiter);
• funktionieren admin-ajax.php, die REST-API, WP-Cron und XML-RPC weiter, sodass sich dein Theme und deine Plugins wie vorher verhalten;
• zeigt das Dashboard eine Karte „Falls du den Zugang verlierst“ mit deiner aktuellen Login-URL und der Notfallzeile;
• stellt das Deaktivieren des Plugins den normalen WordPress-Login wieder her.

„Login verstecken“ ist im kostenlosen Plugin enthalten. Hushfort Pro ergänzt Login-Limits, Zwei-Faktor-Authentifizierung und die Hintertür-Sperre für XML-RPC, damit der versteckte Login eine Mauer unter mehreren ist, nicht die einzige.