Vorbereitung
- sauberes Administrationsgerät verwenden
- Abhängigkeiten und Integrationen erfassen
- neue Zugangsdaten über einen sicheren Kanal verteilen
- Rückfallplan und Funktionstest vorbereiten
Empfohlene Reihenfolge
Zuerst werden Kontrollpunkte außerhalb von WordPress abgesichert: Registrar, Hosting, zentrale E-Mail und Identitätskonten. Danach folgen WordPress-Administratoren, Sitzungen, Anwendungspasswörter, Datenbank, SFTP/SSH und externe Dienste. Salts werden ersetzt, wodurch bestehende WordPress-Sitzungen ungültig werden.
Nicht in Protokolle oder Tickets kopieren
Zugangsdaten und Schlüssel gehören in eine geeignete Passwortverwaltung. Protokolliert werden Zeitpunkt, Verantwortlicher und betroffener Dienst, nicht der geheime Wert.
Nachkontrolle
Formulare, Mailversand, Zahlungsdienste, Datensicherungen, Bereitstellungen und Überwachung werden einzeln getestet. Nicht mehr benötigte Schlüssel werden gelöscht statt nur umbenannt.
Welche Zugangsdaten und Schlüssel können betroffen sein?
Neben WordPress-Passwörtern gehören Datenbankzugänge, Hosting-, SFTP-/SSH- und CDN-Zugriffsschlüssel, SMTP-Daten, Zahlungs- und Versand-APIs, Schlüssel für Datensicherungen, Bereitstellungen und Webhooks zum Inventar. PHP-Code kann Werte aus Konfiguration und Umgebungsvariablen lesen; der mögliche Zugriffsumfang hängt von Berechtigungen und Ausführung ab.
Bewerten Sie für jeden Zugang, ob er erreichbar war, welche Rechte er verleiht und wo er wiederverwendet wurde. Wiederverwendung kann den Sicherheitsvorfall auf weitere Systeme ausweiten.
Warum ist die Reihenfolge wichtig?
Sichern Sie zuerst die Konten, über die andere Zugänge zurückgesetzt werden können. Bereinigen und härten Sie anschließend die Umgebung, bevor neue Anwendungsschlüssel dort eingesetzt werden. Sonst kann bestehende Persistenz Ersatzwerte erneut auslesen.
Planen Sie Überschneidungen, wenn eine Integration nicht atomar umgestellt werden kann: neuen Schlüssel anlegen, Funktion testen, alten Schlüssel widerrufen. Halten Sie das Zeitfenster kurz und nachvollziehbar.
Was bewirkt die Salt-Rotation?
Neue WordPress-Salts machen bestehende Browser-Sitzungen ungültig. Sie ändern nicht automatisch Benutzerpasswörter, Anwendungspasswörter oder externe API-Schlüssel. Informieren Sie berechtigte Nutzer über notwendige Neuanmeldungen und kontrollieren Sie danach privilegierte Sitzungen.
Die Kontenprüfung und die Checkliste zur WordPress-Absicherung ergänzen diese Schritte um Rollenprüfung, Mehrfaktor-Authentifizierung, Protokollierung und feste Prüftermine.