Skill🚀 Deployment & Infrastruktur

WordPress-Basis-Härtung per MU-Plugin

Version 1.0·Stand 2026-09-04·Markdown · kostenlos

Eine WordPress-Installation mit minimalem Fußabdruck härten, besonders nach einem Sicherheitsvorfall: EIN Muss-Plugin plus eine Uploads-.htaccess, ohne Zusatz-Plugins und ohne die Hoster-Root-.htaccess anzufassen. Deckt die acht Standard-Punkte eines Härtungs-Audits ab und wird erst auf Staging getestet, dann live gespielt.

🧭Worum es geht

Vom Baseline-Audit über den Bau des MU-Plugins und der Uploads-.htaccess bis zum verifizierten Rollout auf Staging und Produktion, inklusive Funktions- und Sicherheits-Verifikation und Übergabedokument für die IT.

📄Was die Datei enthält

Die 8 Härtungspunkte: XML-RPC, User-Enumeration, Versions-Verschleierung, Security-Header, Login-Drossel, Datei-Editor-Sperre, Application Passwords, Uploads-PHP-Sperre
Baseline-Aufnahme per curl als Vorher-Beleg auf Staging und Live
Funktions-Verifikation (Seiten 200, REST-Wurzel 200, admin-ajax 400, keine Fatals, Page-Builder rendert)
Belastbarer Uploads-Test nur mit echter Marker-PHP-Datei
Login-Drossel Reverse-Proxy-sicher (validierte X-Forwarded-For-Adresse)
Entscheidungshilfen: HSTS ohne includeSubDomains, keine blinden Auto-Updates bei Versionsversatz, keine CSP auf Page-Builder-Seiten

🎯Welche Probleme sie löst

Angriffsfläche nach einer Bereinigung dauerhaft verkleinern statt nur den Schadcode zu entfernen
Benutzernamen-Leak über alle drei Wege schließen (Query, Permalink, REST)
Hochgeladene Webshells im Uploads-Ordner an der Ausführung hindern
Login-Brute-Force drosseln ohne Zusatz-Plugin und ohne alle Nutzer auszusperren
Härten ohne Zusatz-Plugins und ohne die Hoster-Konfiguration zu berühren

⚠️Welche Fehler ohne diesen Skill auftreten

Offene Angriffsfläche (XML-RPC, auslesbare Benutzernamen, ausführbare PHP im Uploads-Ordner) lädt zur Re-Infektion ein
Ein 404 auf eine nicht existierende Upload-PHP täuscht Schutz vor, den es nicht gibt
Login-Drossel hinter Proxy sperrt entweder alle oder niemanden
Blinde Auto-Updates brechen die Seite bei Free/Pro-Versionsversatz
Härtung direkt auf der Produktion ohne Staging-Test riskiert einen Live-Totalausfall

🏷️Themen

wordpresssecurityhaertunghardeningmu-pluginxml-rpchtaccessbrute-forcewebshellincident-response

Skill = eine einzelne Fähigkeit bzw. ein Schritt – fokussiert und sofort einsetzbar.

Workflow = ein kompletter Prozess, der mehrere Skills zu einem Ergebnis verkettet.