vorweg: wordpress finde ich klasse. es läßt sich einfach und schnell installieren. mit ein wenig übung können auch relativ unerfahrene webmaster quasi alles an der eigenen wordpress installation verändern.
dummerweise kommt mit der massenverbreitung einer software auch immer das problem der spammer und trittbrettfahrer. wordpress ist da keine ausnahme. man sollte relativ zeitnah immer auf die aktuelle wp version updaten.
darüber hinaus gibt es eine reihe plugins die dem wordpress webmaster das leben erleichtern. jeder von euch der schon einmal einer sql injection zum opfer gefallen ist, weiß was ich meine.
nach meiner erfahrung kann man kommentarspam mit zwei plugins zu 99,9% in den griff bekommen:
Akismet – eins der bekanntesten und größten anti-spam plugins überhaupt. ihr benötigt für die nutzung einen wordpress api key. dazu legt ihr euch einfach einen account bei wordpress.com an. den key könnt ihr auf allen euren blogs nutzen. eien mehrfachregistrierung ist nicht nötig. selbst auf autoblogs und splogs gab es bisher noch nie probleme.
akismet arbeitet wie ein zentraler spam-server. wer einmal auf der liste steht, kommt nicht so schnell wieder davon runter. schaut also ab und zu in eure spam logs und entspammt die falschen einträge. webmaster die bei mir durch kommentarspam versuchen an backlinks zu kommen, landen bei mir gnadenlos als spammer bei akismet.
Simple Trackback Validation Plugin – ein einfaches prizip: das plugin überprüft ob der server von dem ein trackback ping geschickt wurde eure url im artikel stehen hat. damit werden alle nicht berechtigten anfragen gekillt. ich habe das plugin sehr strickt eingetragen. steht nicht die genaue artikelURL in dem verlinkenden artikel, gibt es kein backlink von meiner seite.
DigoWatchWP – dieses plugin schickt dir eine mail, jedesmal wenn ein beitrag veröffentlicht oder verändert wurde. falls jemand über eine sql injection eure beiträge ändert erfart ihr es. dies kommt vor allem bei alten wordpress installationen häufig vor. die mails die man bekommt wenn ein neuer beitrag veröffentlicht wurde, lasse ich von meinem emailclient aussortieren. ich habe den autor vor einiger zeit angeschrieben. er wollte dazu erweiterte einstellungsmöglichkeiten in das plugin aufnehmen. bis heute wurde dies leider nicht umgesetzt.
WordPress Exploit Scanner – mit diesem plugin kann man seine files und die datenbank nach verdächtigen einträgen durchsuchen lassen oder nach eigenen keywords suchen (.ru .cn iframes etc). ich finde diesen scanner sehr sinnvoll. schade nur, das man ihn nicht automatisieren kann. eine mailbenachrichtigung nach täglichem scan wäre schon sehr nett. so ist der scanner zwar keine set-and-forget lösung, aber dennoch nicht aus meinem repertoire weg zu denken.
WP Security Scan – dieser on demand scanner überprüft diverse einstellungen eurer wordpress installation. ordnerberechtigungen, ob dein login name “admin” lautet und eine ganze reihe anderer schwachstellen. ich finde das plugin ein wenig aufgeblasen, aber für unerfahrene webmaster genau richtig. ich benutze es auf kundenblogs oder bei befreundeten webmastern um einen überblick zu bekommen.
mit diesen fünf wordpress plugins kann man eine gewisse grundsicherheit in den eigenen blog bekommen. das bedeutet jetzt nicht das man das thema sicherheit damit vergessen kann oder sollte. haltet eure augen offen. falls euer virescanner beim besuch eurer seite anschlägt, schaut in den quellcode. fragt in einschlägigen foren nach und sperrt die eindringlinge aus. haltet eure wp blogs aktuell. vor allem die plugins! löscht unbenutzte plugins vom server.
bild von Nikolay Bachiyski
