Christian858585 schrieb:
Ich sag ja: Wordpress ist das Windows unter den CMS... Hier müssen x-wieviele Drittanbieter-Erweiterungen in die Bresche springen, weil an elementaren Voraussetzungen wie "Sicherheit" massiv geschlampt wurde.
Eigentlich schön: Hier werden Systeme gezielt für Laien-Anwender entwickelt, aber gerade diese Laien wissen dann nicht um die Sicherheitslücken dieser "Ach-So-Einfach"-Lösungen...
Das Schlimme an all den Drittanbieter-Lösungen ist: du weißt nie, welche was taugt, welche nur heiße Luft ist und welche sogar NOCH schädlicher ist, ob nun mutwillig oder unbeabsichtigt.
Was Better WP Security angeht: nie ausprobiert. Ich hab bisher, wenn ich denn wirklich aml ein WP mit der Kneifzange anfassen musste (Gott ist das ein ekliges System...), auf Wordfence gesetzt.... wobei ich auch dem Mist kaum traue.
Mir wurde gesagt das in WP schnell Viren eingeschleust werden und die dann über meine Hompage verteilt werden, wie kann ich das verhindern ?
Sichere Passwörter und n anderer Administrator-Name als "admin" hilft unheimlich viel. Ansonsten ist einer der besten Tricks: Allen .php - Dateien die Schreibrechte für User, Group und Other entziehen.
Gerade gegen die allseits beliebten base64_decode()-Hacks wirkt das wahre Wunder.
Falcon schrieb:
Bei einem CMS wie WordPress sollte er dieses auf jeden Fall immer möglichst zeitnah updaten.
...kommt drauf an. Contao hatte z.B. seit Ewigkeiten (denk mal so 2 Jahre, evtl. mehr) keine Verwundbarkeit von außen mehr. Es gab 1-2 Rechte-Überschreitungen im Backend, aber das ist, wenn man der einzige Verwalter ist bzw. nur vertrauenswürdige Menschen Zeugs verwalten, echt harmlos. Hier ist ein zeitnahes Update tatsächlich unnötig, wenn eine kritische Lücke auftaucht stehts eh im Changelog und man kann dementsprechend handeln.
Bei WP.... na ja, das Ding hat pro Monat mehr kritische Lücken als Windows im Jahr.... hier kann man nur dankbar sein, dass die Entwickler wenigstens n Autoupdater nachgerüstet haben.
...keine veralteten Plug-Ins einsetzen,...
Und wer sagt dir, dass die Plugins sauber sind? WP hat ja nicht einmal eine nennenswerte API oder Developer-Richtlinie, an der man sich als Plugin-Entwickler orientieren kann. WP ist, durch die Bank weg, Suppencode der allerschlimmsten Sorte, ein wüstes Durcheinander von Ineffizienz, Inkompetenz und veralteten oder unsinnigen Ansätzen. Wie soll auf diesem Dunghaufen ein Plugin entstehen, dem man ohne eigenes Code-Review weiter trauen kann als bis 127.0.0.1?
Außerdem sind es ja nicht nur Plugins. Auch die Themes, die ja gern entweder gratis angeboten werden oder aber für n Zwanni im Ramschkorb liegen, enthalten grundsätzlich so viel PHP-Code, dass hier sonstwas enthalten sein kann, von unbeabsichtigten Sicherheitslücken bis hin zu mutwilligen Backdoors.
Das alles wird nicht unbedingt dadurch gemildert, dass gerade Osteuropäer oder Asiaten sehr gern Plugins oder Themes anbieten... genau aus den Regionen, von denen auch immer wieder große Botnet-Bedrohungen ausgehen. Und die schiere Masse an quasi identischen Erweiterungen sorgt dafür, dass niemand auch mal ansatzweise ein zentrales Code Review machen könnte.
Sorry, aber dann doch lieber Systeme mit ner (scheinbar) kleineren Basis an Erweiterungen und deutlich teureren Themes, dafür mit einer starken deutschen Community.... und natürlich ner wirklich grundsoliden und sicheren Codebasis.
