Prüfe deine WordPress-Installation auf typische Konfigurations-Lecks.
Ich untersuche exponierte REST-APIs, aktive XML-RPC-Schnittstellen und Performance-relevante Plugins.
Häufige Fragen zu diesem Tool
Wichtiges Hintergrundwissen und SEO-Tipps kurz für dich erklärt.
Welche Sicherheitsmaßnahmen sind für WordPress prioritär?
Sichere Passwörter, die Deaktivierung der XML-RPC-Schnittstelle, die Absicherung der REST-API für unauthentifizierte Nutzer sowie konsequente Updates des Cores, der Plugins und des Themes.
Führt WordPress zwangsläufig zu langsamen Ladezeiten?
Nein. Eine hohe Latenz resultiert meist aus einer Überladung durch unnötige Plugins, ineffizienten Datenbankabfragen oder fehlenden Caching-Ebenen. Eine saubere Konfiguration erreicht Bestwerte in den Core Web Vitals.
Warum rate ich zur Sperrung der XML-RPC.php?
Die Schnittstelle wird heute kaum noch regulär verwendet, stellt aber einen beliebten Angriffsvektor für Brute-Force-Attacken dar. Die Deaktivierung auf Serverebene (.htaccess) schützt die Infrastruktur vor Ressourcenüberlastung.
Warum sollte die Versionsnummer verborgen werden?
Bots scannen das Web automatisiert nach bekannten Versionsnummern, um spezifische Schwachstellen auszunutzen (Exploits). Das Entfernen des Meta-Generator-Tags reduziert die Sichtbarkeit für automatisierte Angriffsmuster.
Benötigt WordPress zwingend ein Security-Plugin?
Ein Security-Plugin (z.B. mit Web Application Firewall) bietet eine sinnvolle Kontrollschicht. Viele essenzielle Sicherheitsrichtlinien lassen sich jedoch effizienter direkt auf Webserver-Ebene (.htaccess) implementieren, um PHP-Ressourcen zu schonen.
Warum warnt das Tool vor der WP REST API?
Die REST-API erlaubt programmatischen Zugriff auf Daten. Ist sie ungeschützt, können Bots über die Route `/wp-json/wp/v2/users` oft sämtliche Benutzernamen deiner Autoren auslesen (User Enumeration). Das erleichtert Brute-Force Angriffe enorm.
Machen viele Plugins mein WordPress automatisch langsam?
Nein. Es kommt nicht auf die Anzahl an, sondern auf die Code-Qualität. Ein einziges schlecht programmiertes Datenbank-Plugin kann die Seite lahmlegen, während 30 gut codierte Micro-Plugins keine spürbare Last erzeugen.