Hushfort
Menü

Kann ein einziges Plugin mehrere WordPress-Sicherheitsplugins ersetzen?

Von Eureka Studio · Aktualisiert

Kurze Antwort

Oft ja. Login verstecken, Login-Limits, Zwei-Faktor, XML-RPC, durchsickernde Benutzernamen, Spam, Fake-Registrierungen und Bot-Fluten werden in WordPress meist von getrennten Plugins abgedeckt. Ein einziges Sicherheitsplugin kann all das mit einem Protokoll und einer Zulassungsliste erledigen. Notiere, was jedes aktuelle Plugin tut, schalte die passenden Ebenen ein und mustere die alten Plugins dann einzeln aus.

Schritte

  1. 1Schritt 1

    Notieren, was jedes Sicherheitsplugin tut

    Öffne Plugins und schreib für jedes sicherheitsrelevante Plugin eine Zeile auf. Oft findest du zwei Plugins, die dieselbe Aufgabe erledigen – und eine Aufgabe, um die sich keines kümmert.

    Die WordPress-Seite Plugins mit allen installierten Plugins

  2. 2Schritt 2

    Die passenden Ebenen in Hushfort einschalten

    Schalte nur die Ebenen ein, die etwas ersetzen, das du schon hast. Die Übersicht zeigt pro Ebene eine Karte: grün, wenn sie schützt, rot, wenn sie aus ist oder Aufmerksamkeit braucht.

    Hushfort-Übersicht, Sicherheitsebenen: eine Statuskarte pro Ebene, etwa Login verstecken, Login-Limits & Warnungen, Zwei-Faktor-Authentifizierung, Angriffsflächen-Härtung, Spam-Schutz und Registrierungsschutz

  3. 3Schritt 3

    Alte Plugins einzeln ausmustern

    Deaktiviere ein altes Plugin, teste die Aufgabe, die es erledigt hat, und mach dann mit dem nächsten weiter. Klicke nach jedem unter Angriffsflächen-Scan auf „Erneut scannen“, um zu sehen, dass die Türen noch geschlossen sind. Lass nie zwei Plugins zum Login-Verstecken oder zwei Login-Limit-Plugins gleichzeitig laufen; sie streiten sich um dieselben Anfragen.

    Angriffsflächen-Scan nach erneutem Scannen: XML-RPC, REST-Benutzerliste, Autoren-Scan und Autorenliste in der Sitemap weiterhin geschlossen

  4. 4Schritt 4

    Entrümpeln bestätigen lassen, was übrig ist

    Starte Entrümpeln, um zu sehen, welche Plugins jetzt nichts mehr tun. Leg sie beiseite, teste und lösche sie über die WordPress-eigene Bestätigung.

    Entrümpeln scannt die Inhalte und Live-Seiten der Website und zeigt dann die Zusammenfassung und die Plugins, die entfernt werden können

Warum das wichtig ist

Sicherheit wächst bei WordPress meist Sorge für Sorge. Bots finden die Login-Seite, also kommt ein Plugin zum Login-Verstecken dazu. Dann Passwort-Raten, also ein Login-Limit-Plugin. Dann ein 2FA-Plugin, ein Plugin zum Abschalten von XML-RPC, ein Dienst gegen Kommentar-Spam, ein Honeypot für jedes Formular-Plugin, etwas gegen Fake-Registrierungen und etwas gegen aggressive Bots.

Jedes dieser Plugins ist für sich genommen vernünftig. Zusammen verursachen sie leisere Probleme:

  • Viele getrennte Protokolle. Ein blockierter Login steht in einem Plugin, eine blockierte Registrierung in einem anderen, ein blockierter Bot in einem dritten. Niemand sieht das Gesamtbild.
  • Viele Zulassungslisten. Du lässt deine eigene IP an einer Stelle zu und wirst von einer anderen ausgesperrt.
  • Unterschiedliche Sicht auf denselben Besucher. Ein Plugin liest die echte IP hinter Cloudflare, ein anderes die des Proxys. Das eine sperrt einen Bot aus, das andere alle.
  • Mehr zu aktualisieren. Jedes Plugin ist Code, der aktuell gehalten werden muss, und bedeutet mehr Türen, die du im Blick behalten musst.
  • Konflikte. Zwei Plugins, die beide die Login-URL umschreiben oder denselben fehlgeschlagenen Login zählen, erzeugen seltsame Fehler.

Häufige Fehler

  • Alles auf einmal umstellen. Verlege eine Aufgabe nach der anderen und teste dazwischen.
  • Unterwegs Einstellungen verlieren. Schreib dir deinen alten versteckten Login-Pfad, die zugelassenen IPs und die Limits auf, bevor du irgendetwas deaktivierst.
  • Eine Lücke lassen. Hat das alte Setup XML-RPC geschlossen und das neue noch nicht, hast du eine Tür geöffnet. Schalte die neue Ebene ein, bevor du das alte Plugin ausschaltest.
  • Erwarten, dass ein Plugin alles kann. Kein einzelnes Plugin deckt Malware-Bereinigung, Firewall-Regeln, Backups und Login-Härtung gleich gut ab. Sei dir klar darüber, welche Aufgabe welches Werkzeug übernimmt.

Ohne Plugin

Du kannst die Zahl der Plugins auch ohne neues Plugin senken, indem du einfache Aufgaben in Code verlagerst:

  • XML-RPC-Login: der Filter xmlrpc_enabled (siehe XML-RPC deaktivieren).
  • Durchsickernde Benutzernamen: ein paar Filter für REST, Autoren-Scans und die Sitemap (siehe Benutzernamen verbergen).
  • Kommentare: Schließe sie unter Einstellungen → Diskussion, wenn du sie nicht brauchst.

Jedes Snippet ist klein, aber zusammen ergeben sie ein eigenes Plugin, das nur du pflegst – ohne Protokoll, ohne gemeinsame Zulassungsliste und ohne Tests. Für einen Entwickler mit einer Website kann dieser Tausch in Ordnung sein. Mit jeder weiteren Website, die du betreust, wird er schwieriger.

Wenn etwas schiefgeht

  • Du kannst dich nach dem Wechsel des Login-Versteck-Plugins nicht anmelden. Der Pfad des alten Plugins funktioniert nicht mehr. Füge define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' ); in die wp-config.php ein oder lies Ausgesperrt nach dem Ändern der Login-URL.
  • Formulare senden nicht mehr. Möglicherweise prüfen zwei Spam-Ebenen dasselbe Formular. Schalte das alte Honeypot-Add-on ab und leere dann deinen Seiten-Cache.
  • Doppelt so viele Sperren. Zwei Login-Limit-Plugins zählen dieselben Versuche. Deaktiviere das alte.

Mit Hushfort

Hushfort vereint zehn Aufgaben in einem Plugin: Login verstecken, Login-Limits, Zwei-Faktor, Hintertür-Sperre für XML-RPC, Benutzernamen-Schutz, Angriffsflächen-Scan, Anti-Spam, Fake-Registrierungssperre, Flut- & Fake-Bot-Schutz und Entrümpeln. Jede davon ist ein Modul, das du einzeln einschaltest. Login verstecken, Angriffsflächen-Scan und der grundlegende Spam-Schutz stecken in Hushfort Security, dem kostenlosen WordPress-Sicherheitsplugin; die übrigen Ebenen gibt es mit Hushfort Pro.

  • Ein Dashboard mit einer Statuskarte pro Ebene.
  • Ein gemeinsamer, filterbarer Verlauf fehlgeschlagener und blockierter Versuche.
  • Eine IP-Ermittlung und eine Zulassungsliste für alle Module.
  • Keine Drittanbieterdienste, kein CAPTCHA, keine Telemetrie.

Was es nicht kann, ganz offen: Malware-Scans, Firewall-Regelsätze, Ländersperren, Backups. Behalte dafür eigene Werkzeuge; Hushfort ergänzt sie gut.

Häufige Fragen

Wie viele Sicherheitsplugins sollte eine WordPress-Website haben?

So wenige, wie deine Anforderungen erlauben. Sich überschneidende Plugins können kollidieren, Versuche doppelt zählen oder sich gegenseitig blockieren. Ein Plugin pro Aufgabe, und nie zwei für dieselbe Aufgabe – das ist eine gute Regel.

Kann ich Hushfort neben einem anderen Sicherheitsplugin betreiben?

Ja, solange sie nicht dieselbe Aufgabe erledigen. Ein Malware-Scanner oder ein Backup-Plugin ergänzen es gut. Vermeide zwei Plugins zum Login-Verstecken oder zwei Login-Limit-Plugins gleichzeitig.

Ersetzt Hushfort einen Malware-Scanner oder eine Firewall?

Nein. Es scannt keine Dateien auf Malware, nutzt keine Regelsätze gegen SQL-Injection oder XSS und sperrt keine Länder. Behalte für diese Aufgaben ein eigenes Werkzeug.

Verliere ich die Einstellungen meiner alten Plugins, wenn ich sie entferne?

Möglicherweise, je nach Plugin. Notiere dir vorher deine alten Einstellungen, etwa den versteckten Login-Pfad, damit du sie wiederverwenden kannst.

Ist ein All-in-one-Plugin schwerer als mehrere kleine?

Nicht unbedingt. Jede Ebene ist ein Modul, und ausgeschaltete Module arbeiten nicht. Mehrere kleine Plugins laden jeweils ihren eigenen Code und führen ihre eigenen Protokolle.

Verwandte Anleitungen

Fehler melden oder Funktion wünschen

Deine Nachricht geht direkt an das Team, das Hushfort entwickelt.

Worum geht es?

Nur für unsere Antwort an dich.

Wir nutzen diese Angaben nur, um dir zu antworten. Datenschutz