Dieser Beitrag wurde vor 17 Jahren 29 Tagen veröffentlicht. Die Informationen in diesem Beitrag sind möglicherweise veraltet. Bitte benutze die Suche oder das Archiv, um nach neueren Informationen zu diesem Thema zu suchen.Durch einen Artikel bei Frank Bueltge bin ich auf einen Unsicherheits-Faktor in WordPress aufmerksam geworden: Die zentrale Konfigurations-Datei „wp-config.php“.
Diese Datei, die unter Anderem die Zugansdaten zur Datenbank im Klartext beinhaltet, liegt ungeschützt im Stammverzeichnis der WP-Installation. Und da WordPress die wohl am meisten verbreitete Blog-Software sein dürfte, wissen Hacker auch sofort Bescheid, wo sie diese Datei finden. Ein Risiko, da man sich die Datei als Text-Datei anzeigen lassen kann und so an die Zugangsdaten kommt.
Nun gibt Frank zwei Ansätze, wie man die „wp-config.php“ vor unbefugtem Zugriff schützen kann:
Die erste Option sollte auf fast jedem System zu realisieren sein. Es wird einfach ein Eintrag in die Datei „.htaccess“, ebenfalls im Stammverzeichnis, geschrieben, der den direkten Zugriff auf die „wp-config.php“ unterbindet. Der Versuch, die Datei direkt aufzurufen, wird mit einem „Error 403: Forbidden“ quittiert. Nur in ganz wenigen Fällen lässt sich die „.htaccess“ nicht erstellen, bei mir war sie schon vorhanden, da dort auch die Rewrite-Regeln für die Permalinks definiert werden. Das ist die Regel, um die „wp-config.php“ zu schützen:
# protect wpconfig.php
Order deny,allow
deny from all
Der zweite Ansatz ist, die „wp-config.php“ außerhalb des Web-Verzeichnisses, also nicht im öffentlich zugänglichen Bereich zu speichern. Anschließend wird die Datei einfach von extern eingebunden, ist aber vor dem Zugriff aus dem Web geschützt. Der Nachteil dieser Variante: Viele Webhoster verbieten es, außerhalb des Document Root Dateien zu speichern. Aber wenn es bei Euch möglich ist, ist das die bessere Methode. Frank gibt eine recht gute Anleitung dazu, über obigen Link zu erreichen.
Ich habe meine Variante schon vor dem Schreiben dieses Artikels eingerichtet 
Übrigens: Wenn man außerhalb des Document Root speichern darf, lassen sich beide Methoden auch kombinieren
Hinterlasse jetzt einen Kommentar