WordPress htaccess nutzen

Wie schon erwähnt, die WordPress htaccess Datei ein leistungsfähiges Werkzeug, das zur Verbesserung der Sicherheit und Leistung verwendet werden kann. Nachfolgend einige Beispiele, wie man (bei Bedarf) die Dateieinträge anpassen kann.

Website von http auf https umleiten

Damit eine Weiterleitung von http auf https, sowie eine Weiterleitung von nicht www. auf www. erfolgt, kannst du den folgenden Codeschnipsel in die .htaccess Datei deiner WordPress Website einfügen:

<IfModule mod_rewrite.c>

RewriteEngine On

RewriteCond %{HTTP_HOST} !^www.domain.de$ [NC]
RewriteRule ^(.*)$ https://www.domain.de/$1 [L,R=301]

RewriteCond %{SERVER_PORT} !=443
RewriteRule ^(.*)$ https://www.domain.de/$1 [R=301,L]

</IfModule>

Bitte ersetze den Platzhalter domain mit deinem Domainnamen.

Die Weiterleitung funktionieren nun folgendermaßen:

http://www.domain.de wird auf https://www.domain.de weitergeleitet.
http://domain.de wird auf https://www.domain.de weitergeleitet.
https://domain.de wird auf https://www.domain.de weitergeleitet.

Solltest du die Schreibweise ohne www. bevorzugen, so kann das Weiterleitungsziel entsprechend angepasst werden. Hierfür musst du einfach die URL Angabe bei „RewriteRule“ anpassen und auf die Version ohne www. verweisen.

Caching in der WordPress htaccess Datei festlegen und Ladezeit verbessern

Durch die Nutzung des Browser-Caching kann die Anzahl der HTTP-Anfragen, die der Server verarbeiten muss, reduziert werden. Hierdurch verbessert sich die Ladezeiten und die Leistung der Website.

Öffnen die .htaccess-Datei und füge die folgenden Zeilen ein:

<IfModule mod_expires.c>
    FileETag MTime Size
    AddOutputFilterByType DEFLATE text/plain text/html text/xml text/css application/xml application/xhtml+xml application/rss+xml application/javascript application/x-javascript
    ExpiresActive On
    ExpiresByType text/html "access 600 seconds"
    ExpiresByType application/xhtml+xml "access 600 seconds"
    ExpiresByType text/css "access 1 month"
    ExpiresByType text/javascript "access 1 month"
    ExpiresByType text/x-javascript "access 1 month"
    ExpiresByType application/javascript "access 1 month"
    ExpiresByType application/x-javascript "access 1 month"
    ExpiresByType application/x-shockwave-flash "access 1 month"
    ExpiresByType application/pdf "access 1 month"
    ExpiresByType image/x-icon "access 1 year"
    ExpiresByType image/jpg "access 1 year"  
    ExpiresByType image/jpeg "access 1 year"
    ExpiresByType image/png "access 1 year"
    ExpiresByType image/gif "access 1 year"
    ExpiresDefault "access 1 month"
</IfModule>

Durch die Verwendung dieses Codes werden Ihre wichtigsten statischen Dateien (Bilder, CSS, PDFs, JS usw.) zwischengespeichert, um in Zukunft schnellere Ladezeiten für (wiederkehrende) Besucher zu erreichen.

Da beim Browser-Caching die Daten im Browser des Webbesuchers zwischengespeichert werden, zeigt sich die verbesserte Ladezeit erst beim zweiten Aufruf der Webseite. Schließlich müssen beim ersten Mal laden alle notwendigen Daten direkt vom Webserver bezogen werden.

Mit der WordPress htaccess Datei die Sicherheit der WordPress-Website verbessern

Hier gibt es mehrere sicherheitskritische Bereiche, die durch Anpassungen in der .htaccess verbessert werden können. Nachfolgend einige Beispiele.

Zugriffe auf XML-RPC abstellen

Die XML-RPC-Schnittstelle ist ein Remote-Procedure-Call-System. Das heißt, dass hiermit ein „Fernzugriff“ möglich ist. WordPress kann dieses System nutzen, um anderen Anwendungen (zum Beispiel eine App) die Interaktion mit dem WordPress-System zu ermöglichen.

Doch oftmals wird diese XML-RPC-Schnittstelle überhaupt nicht verwendet. (Es sei denn, man möchte von Unterwegs per iPad etc. mit WordPress arbeiten.) Da diese Schnittstelle jedoch häufiger Angriffspunkt für DDOS-Attacken ist, sollte man XML-RPC nach Möglichkeit deaktivieren.

Durch folgende Code-Zeilen in der WordPress htaccess kann die XML-RPC-Schnittstelle deaktiviert werden:

<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>

Blockieren von großen Attacken auf Upload-Ziele

Seit Ende 2019 konnten Sicherheitsexperten Massen-Angriffe auf Upload-Ziele feststellen. Bei dieser Art von Angriff werden typische Upload-Ziele in WP Seiten gescannt, in der Hoffnung offene Tore zu finden. Diese Attacken sind gefährlich und belasten zudem den Webserver.

Zum Glück kann diesen Angriffen mit Hilfe der htaccess ein Riegel vorgeschoben werden.

# 7G Addon: Stop Aggressive Scanning for Uploads-Related Targets
# https://perishablepress.com/stop-aggressive-scanning-uploads/


	# RewriteCond %{REQUEST_URI} /php(unit)?/ [NC,OR]
	# RewriteCond %{REQUEST_URI} \.(aspx?|env|git(ignore)?|phtml|rar|well-known) [NC,OR]
	# RewriteCond %{REQUEST_URI} /(cms|control_panel|dashboard|home_url=|lr-admin|manager|panel|staff|webadmin) [NC,OR]
	# RewriteCond %{REQUEST_URI} /(adm(in)?|blog|cache|checkout|controlpanel|ecommerce|export|magento(-1|web)?|market(place)?|mg|onli(n|k)e|orders?|shop|tmplconnector|uxm|web?store)/ [NC,OR]
	
	RewriteCond %{REQUEST_URI} (_timthumb_|timthumb.php) [NC,OR]
	RewriteCond %{REQUEST_URI} /(install|wp-config|xmlrpc)\.php [NC,OR]
	RewriteCond %{REQUEST_URI} /(upload|uploadify|uploadbg|up__uzegp)\.php [NC,OR]
	RewriteCond %{REQUEST_URI} /(clipboard\.min\.js|comm\.js|mysql-date-function|simplebootadmin|vuln\.htm|www\.root\.) [NC,OR]
	RewriteCond %{REQUEST_URI} /(admin-uploadify|fileupload|jquery-file-upload|upload_file|upload|uploadify|webforms)/ [NC,OR]
	RewriteCond %{REQUEST_URI} /(ajax_pluginconf|apikey|connector(.minimal)?|eval-stdin|f0x|login|router|setup-config|sssp|vuln|xattacker)\.php [NC]
	
	RewriteRule .* - [F,L]

Mehr Infos hierzu kannst du auf folgender Webseite finden:
https://perishablepress.com/stop-aggressive-scanning-uploads/

SQL Injections verhindern

Eine SQL-Injektion ist eine Technik, mit der eine Schwachstelle in der Software einer Website ausgenutzt wird, die es Angreifern ermöglicht, bösartigen SQL-Code in ein Eingabefeld (oftmals ungesicherte Formulare oder unsichere Plugins) auf der Website zu injizieren. Dieser Code kann vom Server der Website ausgeführt werden, was zum Diebstahl von Daten oder zur Ausführung von Befehlen auf der Website führt.

Der folgende .htaccess Block kann einige SQL Injections verhindern (kann unter Umständen aber auch zu Problemen bei normaler Funktionalität führen):

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]
RewriteRule ^(.*)$ - [F,L]
RewriteCond %{QUERY_STRING} \.\.\/ [NC,OR]
RewriteCond %{QUERY_STRING} boot\.ini [NC,OR]
RewriteCond %{QUERY_STRING} tag\= [NC,OR]
RewriteCond %{QUERY_STRING} ftp\: [NC,OR]
RewriteCond %{QUERY_STRING} http\: [NC,OR]
RewriteCond %{QUERY_STRING} https\: [NC,OR]
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,OR]
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(\[|\]|\(|\)|<|>|ê|"|;|\?|\*|=$).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(&#x22;|&#x27;|&#x3C;|&#x3E;|&#x5C;|&#x7B;|&#x7C;).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127\.0).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare|drop).* [NC]
RewriteCond %{HTTP_COOKIE} !^.*wordpress_logged_in_.*$
RewriteRule ^(.*)$ - [F,L]
</IfModule>

WordPress Revisionen löschen

Wenn du deine Website schon eine Weile betreibst, dann hat sich im Laufe der Zeit wahrscheinlich eine großer Änderungsverlauf angesammelt, da es standardmäßig keine Begrenzung für die Anzahl der gespeicherten Revisionen gibt. Das hat leider zur Folge, dass die Datenbank immer größer wird, was sich auch auf die Performance der Website auswirken kann. Daher sollte man WordPress Revisionen löschen, wenn man diese nicht benötigt.

WordPress Revisionen löschen mit einem Plugin

Mit Hilfe von speziellen Plugins ist das WordPress Revisionen löschen super einfach. Am Markt gibt es mehrere Plugins, die diesen Job erledigen können. Ich persönlich verwende hierfür jedoch oftmals das Plugin Advanced Database Cleaner.

Advanced Database Cleaner

Das kostenlose Plugin Advanced Database Cleaner kann zum Bereinigen und Optimieren der WordPress-Datenbank verwendet werden. Neben dem Löschen von Revisionen bietet das Plugin auch andere Optionen zum Optimieren und Bereinigen der Datenbank. Auch die Oberfläche des Plugins ist sehr benutzerfreundlich.

Bevor du nun mit der Bereinigung beginnst, solltest du noch eine Datensicherung anlegen (nur um auf Nummer Sicher zu gehen).

Nachdem die Datensicherung abgeschlossen ist, kannst du nun im Plugin Advanced Database Cleaner die Revisionen auswählen. Auch die anderen Elemente können, wenn du sie nicht mehr benötigst, gelöscht werden. (Ich persönlich bereinige hier alle Einträge.)

Wähle die Elemente aus, die gelöscht werden sollen. Klicke dann auf den Button Mehrfachaktionen und wähle Bereinigen aus. Klicke danach auf Übernehmen und bestätige die Aktion. Fertig!

Diese Aktion musst du von Zeit zu Zeit wiederholen, da sich natürlich Daten ansammeln, wenn du auf deiner Website arbeitest und Änderungen einpflegst.

WP Fastest Cache Premium

Ich persönlich bin ein Fan von dem Caching Plugin WP Fastest Cache. Hier gibt es auch eine kostenpflichtige Premium Variante, welche ich auf einigen Webseiten im Einsatz habe. Wenn du dieses Plugin bereits im Einsatz hast, dann kannst auch hiermit deine WordPress Revisionen löschen.

WordPress Revisionen manuell löschen

Natürlich kann man die WordPress Revisionen auch manuell löschen, also ohne den Einsatz eines Plugins. Dies ist jedoch etwas komplizierter und erfordert technische Kenntnisse hinsichtlich MySQL-Datenbanken. Bei dieser Variante muss nämlich ein SQL-Befehl auf der Datenbank ausgeführt werden, der folgendermaßen lautet:

DELETE FROM wp_posts WHERE post_type="revision"

Der Tabellen-Präfix wp_ muss an deine Tabelle angepasst werden. Also hier den Präfix verwenden, den du in deiner WordPress-Installation nutzt.

Bevor du diesen Code ausführst oder Änderungen an der Datenbank vornimmst, solltest du unbedingt eine Datensicherung anlegen.