So fügen Sie Sicherheitsheader in WordPress hinzu [über Htaccess & Plugins]

WordPress-Sicherheit ist ein Aspekt, der oft sehr leicht vernachlässigt wird, weil man denkt, dass Hacks und Angriffe immer „anderen“ passieren, ohne zu denken, dass der nächste „Andere“ wir selbst sein könnten. Aus diesem Grund widmen wir, wann immer wir können, einen Artikel, um die Sicherheit Ihrer Websites zu erhöhen.

Trotzdem schadet es nie, die Sicherheit unseres Projekts mit eigenen Mitteln zu erhöhen. Ein klares Beispiel dafür ist das Einfügen sicherer HTTP-Sicherheitsheader in WordPress.

HTTP-Sicherheitsheader sind eine Funktion Ihres Webservers und nicht spezifisch für WordPress. Sie geben Ihnen die Möglichkeit, einige zusätzliche Sicherheitsmaßnahmen zu konfigurieren, die angewendet werden können, wenn jemand versucht, auf eine Ressource auf Ihrer Website (z. B. eine Seite oder ein Bild) zuzugreifen.

Die gute Nachricht ist, dass sie sowohl kostenlos als auch einfach zu implementieren sind. Die schlechte Nachricht ist, dass Ihre Website jetzt anfällig ist, wenn Sie sie noch nicht haben!

Sie können HTTP-Sicherheitsheader auf zwei Arten implementieren:

Verwenden eines Plugins – Diese Plugins machen es Ihnen leicht, jeden Header zu konfigurieren, ohne Code manuell bearbeiten zu müssen

Manuelles Bearbeiten von .htaccess auf Apache, nginx config oder web.config auf IIS – Dies ist technischer und erfordert mehr Aufwand, aber wenn Sie bereits Erfahrung mit diesen Dateien haben, wäre dies eine großartige Option für Sie

In diesem Artikel erklären wir, was WordPress-HTTP-Sicherheitsheader sind, was sie zum Schutz Ihrer Website tun können und wie Sie Sicherheitsheader zu einer WordPress-Site hinzufügen.

Wenn Sie eine Website besuchen, stellt der Browser eine Anfrage an den Webserver, der sie hostet. Unmittelbar danach antwortet der Webserver mit einer weiteren Anfrage, die Header (die sogenannten Response-Header) enthält.

Diese Header enthalten Informationen über die Cache-Steuerung, die Art des Inhalts, der im Browser angezeigt werden soll, wie dieser Inhalt codiert ist, wann die Verbindung hergestellt wurde und mehr.

Grundsätzlich sind HTTP-Header ein Regelwerk, das Auskunft darüber gibt, wie sich Browser beim Ausliefern von Inhalten verhalten sollen. Diese Header können vom Server oder Client (in diesem Fall dem Browser) verwendet werden.

Wenn Sie eine HTTPS-Anfrage stellen, fragt Ihr Browser den Server nach Informationen, indem er eine Reihe von Anfragen und Headern sendet. Der Server antwortet dann mit einem Statuscode im Header, gefolgt von einer Reihe von Antwortheadern und dem Hauptteil des Dokuments.

Wenn wir die Sicherheit dieser Sicherheitsheader erhöhen, fügen wir unserer Website eine weitere Sicherheitsebene hinzu, die dazu beiträgt, mögliche Angriffe und Schwachstellen zu mindern.

Das Problem bei all dem ist, um auf diese Dateien zuzugreifen und sie zu bearbeiten, müssen wir sie von unserem Webhosting-Unternehmen anfordern, da es sich um sehr heikle Dateien von Apache, NGINX und anderen Konfigurationen handelt.

Mit HTTP-Sicherheitsheadern können Sie Ihrer WordPress-Website eine zusätzliche Sicherheitsebene hinzufügen. Sie können dazu beitragen, häufige böswillige Aktivitäten wie Cross-Site-Scripting-Angriffe und Clickjacking-Versuche zu blockieren.

Http Security Headers setzt die folgenden Antwortheader:

„X-Frame-Optionen“ – Auf „SAMEORIGIN“ setzen.
Dadurch wird verhindert, dass die Seite in einem Frame, Iframe oder Objekt geladen wird. Dies schützt Ihre Website vor Clickjacking-Angriffen.

„X-Content-Type-Options“ – Auf „nosniff“ setzen.
Dadurch wird verhindert, dass Internet Explorer und Google Chrome eine vom deklarierten Inhaltstyp abweichende Antwort per MIME schnüffeln. Dies trägt auch zum Schutz vor Drive-by-Download-Angriffen und Websites bei, die von Benutzern hochgeladene Inhalte bereitstellen, die durch geschickte Benennung von MSIE als ausführbare oder dynamische HTML-Dateien behandelt werden könnten.

„X-XSS-Schutz“ – Auf „1; Modus=blockieren“ setzen.
Bietet XSS-Schutz durch Festlegen des X-XSS-Protection-Headers. Dies ist in modernen Browsern normalerweise standardmäßig aktiviert.

„Strict-Transport-Security“ – Auf „max-age=31536000;
includeSubDomains; Vorspannung“; teilt dem Browser mit, dass er das nur tun soll

Es gibt viele verschiedene HTTP-Sicherheitsheader, die du mit deiner WordPress-Seite verwenden kannst, aber wir werden uns die wichtigsten ansehen und dir zeigen, wie du sie einrichtest. Werfen wir einen Blick auf die WordPress-Sicherheitsheader, die Ihrer Website den dringend benötigten Schutz bieten:

Mit dem HTTP Strict Transport Security (HSTS)-Header können Sie dem Browser mitteilen, dass er Ihre Website niemals über HTTP laden darf und stattdessen HTTPS verwenden muss. Es weist den Browser auch an, sich dies für eine bestimmte Zeitdauer zu merken. Durch die Verwendung dieses Headers stellen Sie sicher, dass Ihre Website immer über HTTPS geladen wird.

Wenn Sie Ihre WordPress-Website von HTTP auf HTTP umgestellt haben, können Sie mit diesem Sicherheitsheader verhindern, dass Browser Ihre Website über HTTP laden.

X-XSS-Protection wird verwendet, um den Cross-Site-Scripting (XSS)-Schutz im Browser zu konfigurieren. Es hilft, einige Arten von XSS-Angriffen auf Ihrer Website zu verhindern, indem verhindert wird, dass der Browser die Seite darstellt, wenn ein Angriff erkannt wird.

Der Sicherheitsheader X-Frame-Options verhindert domänenübergreifende Iframes oder Clickjacking. Der X-Frame-Options-Header kann auch verwendet werden, um verschiedene DDOS-Angriffe und Brute-Force-Angriffe auf Ihrer WordPress-Website zu verhindern. Damit können Sie dem Browser mitteilen, ob eine Seite Ihrer Website mithilfe von iFrame-Elementen eingebettet werden kann oder nicht.

X-Content-Type-Options blockiert das Sniffing von Mime-Type-Inhalten.

Lassen Sie uns diese HTTP-Sicherheitsheader im Detail kennenlernen und warum sie so wichtig sind.

Nehmen wir an, Sie haben eine example.com-Site und Sie richten ein SSL/TLS-Zertifikat ein, um von HTTP zu HTTPS zu wechseln.

Mit strikter Transportsicherheit (HSTS) können Sie die neuesten Webbrowser wie Google Chrome, Firefox und Safari dazu zwingen, nur über HTTPS mit Ihrer Website zu kommunizieren.

X-XSS, auch bekannt als Cross-Site-Scripting, ist ein Sicherheitsheader, der Websites vor Cross-Site-Scripting schützt.

Standardmäßig ist dieser Sicherheitsheader in modernen Webbrowsern integriert und aktiv. Dieser Sicherheitsheader verhindert, dass eine Seite geladen wird, wenn ein Cross-Site-Scripting-Angriff erkannt wird.

Die X-Content-Type-Options sind eine Art Sicherheitsheader, der Google Chrome, Internet Explorer und Firefox daran hindert, eine andere Antwort als den deklarierten Inhaltstyp zu MIME-Sniffen.

Dieser Sicherheitsheader schützt Inhalte und reduziert das Risiko von nicht autorisierten Downloads.

Es hat unzählige mögliche Einstellungen und Parameter, aber der häufigste Parameter ist nosniff.

Der Header x-frame-options schützt Websites vor Klickdiebstahl, indem er das Ausfüllen von Iframes auf Ihrer Website nicht zulässt. Es ist kompatibel mit IE 8+, Chrome 4.1+, Firefox 3.6.9+, Opera 10.5+ und Safari 4+.

Bei dieser Methode bringt ein Angreifer den Benutzer dazu, auf etwas zu klicken, das nicht vorhanden ist. Ein Benutzer kann glauben, dass er sich auf der Hauptseite befindet; Im Hintergrund läuft jedoch etwas anderes. Auf diese Weise können Hacker Informationen aus Ihrem Webbrowser stehlen.

Die Inhaltssicherheitsrichtlinie trägt dazu bei, das Risiko von XSS-Angriffen in modernen Browsern zu verringern, indem sie angibt, welche dynamischen Ressourcen woher geladen werden dürfen.

Wenn ein Benutzer eine Website besucht, wird sofort ein „Referrer“-Header eingefügt, der dem Server mitteilt, woher der Besucher kommt. Dieser Header wird für statistische Zwecke verwendet.

Wie Sie verstehen, stellt dies ein Problem der Privatsphäre dar.

Sie können HTTP-Sicherheitsheader auf verschiedene Weise konfigurieren. Sie können ein Plugin verwenden, Sie können .htaccess- oder Nginx-Konfigurationsdateien verwenden oder Sie können sie in Ihrem Anwendungscode konfigurieren. Für WordPress-Websites ist es am besten, ein Plugin zu verwenden, um HTTP-Sicherheitsheader zu konfigurieren. Sie können versuchen, neue Header hinzuzufügen, indem Sie Code in die functions.php einfügen. Wenn es bei Ihnen nicht funktioniert, haben Sie ein sehr restriktives Webhosting und müssen Ihren Provider benachrichtigen.

Ziehen Sie einfach den folgenden Code in die Datei functions.php Ihres Themes.

/**
* Enables the HTTP Strict Transport Security (HSTS) header in WordPress.

*/

function tg_enable_strict_transport_security_hsts_header_wordpress() {

header( ‘Strict-Transport-Security: max-age=31536000’ );

}

add_action( ‘send_headers’, ‘tg_enable_strict_transport_security_hsts_header_wordpress’ );

Dadurch wird der Strict Transport Security-Header für 1 Jahr hinzugefügt, der erforderlich ist, wenn Sie irgendwann für das Vorladen von HSTS in Browsern wie Chrome, Firefox und Safari in Frage kommen möchten.

Dadurch wird die Datei in einem einfachen Texteditor geöffnet. Am Ende der Datei können Sie den Code hinzufügen, um HTTPS-Sicherheitsheader zu Ihrer WordPress-Site hinzuzufügen. Sie können den folgenden Beispielcode als Ausgangspunkt verwenden und die am häufigsten verwendeten HTTP-Sicherheitsheader mit den optimalen Einstellungen festlegen:

Strict-Transport-Security-Header-Set „max-age = einunddreißig Millionen fünfhundertsechsunddreißigtausend“ env = HTTPS X-XSS-Protection-Header-Set „1; mode = block ”X-Content-Type-Options-Header-Set nosniff X-Frame-Options-Header-Set DENY-Header-Set Referrer-Richtlinie: no-referrer-when-downgrade


Header set Strict-Transport-Security “max-age=31536000” env=HTTPS
Header set X-XSS-Protection “1; mode=block”
Header set X-Content-Type-Options nosniff
Header set X-Frame-Options DENY
Header set Referrer-Policy: no-referrer-when-downgrade


Denken Sie daran, Ihre Änderungen zu speichern und Ihre Website zu besuchen, um sicherzustellen, dass alles wie erwartet funktioniert.

Hinweis: Falsche Header oder Konflikte in der .htaccess-Datei können auf den meisten Webservern 500 interne Serverausfälle verursachen.

Cloudflare bietet eine grundlegende kostenlose Website-Firewall und einen CDN-Dienst. Ihrem kostenlosen Plan fehlen erweiterte Sicherheitsfunktionen, sodass Sie auf den teureren Pro-Plan upgraden müssen.

Um Cloudflare zu Ihrer Website hinzuzufügen, sehen Sie sich unser Tutorial zum Hinzufügen eines kostenlosen Cloudflare-CDN in WordPress an. Sobald Cloudflare auf Ihrer Website aktiv ist, navigieren Sie zur SSL/TLS-Seite unter Ihrem Cloudflare-Konto-Dashboard und wechseln Sie dann zur Registerkarte Edge-Zertifikate.

Scrollen Sie nun nach unten zum Abschnitt HTTP Strict Transport Security (HSTS) und klicken Sie auf die Schaltfläche „HSTS aktivieren“. Dadurch wird ein Popup mit Anweisungen angezeigt, die Ihnen mitteilen, dass Sie HTTPS in Ihrem WordPress-Blog aktivieren müssen, bevor Sie diese Funktion verwenden können.

Klicken Sie auf die Schaltfläche Weiter, um fortzufahren, und Sie sehen Optionen zum Hinzufügen von HTTP-Sicherheitsheadern. Von hier aus können Sie HSTS, No-Sniff-Header aktivieren, HSTS auf Subdomains anwenden (wenn sie HTTPS verwenden) und HSTS vorab laden.

Diese Methode bietet grundlegenden Schutz mithilfe von HTTP-Sicherheitsheadern. Es erlaubt Ihnen jedoch nicht, X-Frame-Optionen hinzuzufügen, und Cloudflare hat keine Benutzeroberfläche dafür.

Sie können dies immer noch tun, indem Sie ein Skript mit der Workers-Funktion erstellen. Das Erstellen eines HTTPS-Sicherheits-Header-Skripts kann jedoch zu unerwarteten Problemen für Anfänger führen, daher empfehlen wir es nicht.

Wir haben verschiedene Themen bearbeitet, die sich mit WordPress und den verschiedenen Möglichkeiten zur Optimierung Ihrer Webseite befassen.

Wenn Sie eine WordPress-Website haben, müssen Sie streng auf die Sicherheit Ihrer Website achten. Um einen Blog, ein Unternehmen oder einen Online-Shop erfolgreich zu betreiben, müssen Sie sicherstellen, dass Ihre Website absolut sicher ist.

Kunden besuchen Ihre Website, kaufen Produkte und geben vertrauliche Informationen wie Passwörter, Kreditkartendaten usw. weiter. Wenn es einen Ort gibt, an dem Sie Ihre Website infiltrieren können, können Hacker die Daten Ihrer Kunden stehlen.

Wenn es um die Sicherheit von Websites geht, gibt es viele Dinge, die Sie tun können, um die Sicherheit von WordPress zu erhöhen.

Ein guter Ort, um die Sicherheit Ihrer Website zu verbessern, ist das Hinzufügen von HTTP-Sicherheitsheadern zu Ihrer WordPress-Website, um sicherzustellen, dass Sie mit den besten Sicherheitspraktiken auf dem Laufenden bleiben.

Wir hoffen, dass dieser Artikel Ihnen geholfen hat, zu lernen, wie Sie HTTP-Sicherheitsheader in WordPress hinzufügen.

Wir haben an mehreren Themen gearbeitet, die sich mit WordPress und den verschiedenen Möglichkeiten befassen, wie Sie die Sicherheit von WordPress erhöhen können.

Cloudflare bietet eine grundlegende kostenlose Website-Firewall und einen CDN-Dienst. Ihrem kostenlosen Plan fehlen erweiterte Sicherheitsfunktionen, sodass Sie auf den teureren Pro-Plan upgraden müssen.

Um Cloudflare zu Ihrer Website hinzuzufügen, sehen Sie sich unser Tutorial zum Hinzufügen eines kostenlosen Cloudflare-CDN in WordPress an. Sobald Cloudflare auf Ihrer Website aktiv ist, navigieren Sie zur SSL/TLS-Seite unter Ihrem Cloudflare-Konto-Dashboard und wechseln Sie dann zur Registerkarte Edge-Zertifikate.

Scrollen Sie nun nach unten zum Abschnitt HTTP Strict Transport Security (HSTS) und klicken Sie auf die Schaltfläche „HSTS aktivieren“. Dadurch wird ein Popup mit Anweisungen angezeigt, die Ihnen mitteilen, dass Sie HTTPS in Ihrem WordPress-Blog aktivieren müssen, bevor Sie diese Funktion verwenden können.

Klicken Sie auf die Schaltfläche Weiter, um fortzufahren, und Sie sehen Optionen zum Hinzufügen von HTTP-Sicherheitsheadern. Von hier aus können Sie HSTS, No-Sniff-Header aktivieren, HSTS auf Subdomains anwenden (wenn sie HTTPS verwenden) und HSTS vorab laden.

Diese Methode bietet grundlegenden Schutz mithilfe von HTTP-Sicherheitsheadern. Es erlaubt Ihnen jedoch nicht, X-Frame-Optionen hinzuzufügen, und Cloudflare hat keine Benutzeroberfläche dafür.

Sie können dies immer noch tun, indem Sie ein Skript mit der Workers-Funktion erstellen. Das Erstellen eines HTTPS-Sicherheits-Header-Skripts kann jedoch zu unerwarteten Problemen für Anfänger führen, daher empfehlen wir es nicht.