Wenn die WordPress-Seite gehackt wird, liegt es nicht an WordPress, sondern an einer nachlässigen oder falschen Konfiguration, die man bereits in der Entwicklungsphase hätte vermeiden können.

Auf der Seite https://wpsecuritychecklist.org/items/ gibt es eine Checkliste von Maßnahmen, die Sie ergreifen sollten, um die Sicherheit Ihrer Website zu erhöhen:

wp-config

Sicherheitsschlüssel ändern (Generator bereitgestellt von WordPress.org)

Login Seite

Sperren Sie die Anmeldeseite für wiederholte fehlgeschlagene Anmeldungen (Login Lockdown oder iThemes Security )

2-Faktor-Authentifizierung aktivieren (Google Authenticator)

Verwenden Sie die E-Mail-Adresse, um sich anstelle des Benutzernamens anzumelden (Force Email Login)

Benennen Sie die URL Ihrer Login-Seite um (iThemes Security oder direkt auf .htaccess)

Login-Links aus dem Theme entfernen (falls vorhanden)

Verwenden Sie ein starkes Passwort, das Groß- und Kleinschreibung, Zahlen und Sonderzeichen für alle Konten enthält. (Passwortgenerator)

Ändern Sie die Passwörter regelmäßig.

Die Fehlermeldungen bei der Anmeldung generischer gestalten (Benutzer/Passwort) (Tutorial)

Deaktivieren Sie die WP REST API, wenn Sie sie nicht verwenden. (Disable REST API)

Administration / Dateiverwaltung

Passwortschutz für den Ordner wp-admin (nur die benötigten Dateien entsperren)

Halten Sie WordPress auf dem neuesten Stand

Erstelle kein Konto mit dem Benutzernamen admin. Wenn es welche gibt, erstellen Sie ein neues Administratorkonto und löschen Sie das alte.

Erstellen Sie ein Editor-Konto und verwenden Sie es ausschließlich zur Veröffentlichung von Inhalten.

Implementierung von SSL für den WordPress-Administrationsbereich

Installieren Sie Plugins, um Dateiänderungen zu überprüfens (WP Security Scan, Wordfence oder iThemes Security)

Überprüfen Sie die Website auf Viren, Malware und Sicherheitsverletzungen.

Themes

Halten Sie das Themes auf dem neuesten Stand

Löschen und Entfernen unbenutzter Themes

Laden Sie Themes nur von seriösen Quellen herunter und verwenden Sie sie.

Entfernen der WordPress-Version aus dem verwendeten Theme (Tutorial)

Plugins

Halten Sie alle Plugins auf dem neuesten Stand

Löschen und Entfernen Sie unbenutzte Plugins

Plugins nur von seriösen Quellen herunterladen und verwenden.

Ersetzen Sie veraltete, nicht mehr vom Entwickler gepflegte Plugins durch alternative neuere Plugins.

Überlegen Sie es sich zweimal, bevor Sie eine unbedacht viele Plugins installieren.

Datenbank

Ändern des Standard-Tabellenpräfixes (Tutorial)

Planen Sie eine wöchentliche Sicherung der Datenbank (Backup WP, WP DB Backup etc. )

Verwenden Sie für den Datenbankbenutze ein starkes Passwort, das Groß-, Kleinbuchstaben, Zahlen und Sonderzeichen enthält. (Passwortgenerator)

Hosting-Provider

Mieten Sie einen zuverlässigen Hosting-Provider.

Verbinden Sie sich nur über SFTP oder SSH mit Ihrem Server.

Setzen Sie alle Ordnerrechte auf 755 und Dateienrechte auf 644 (gemäß Codex)

Stellen Sie sicher, dass die Datei wp-config.php nicht für andere zugänglich ist.

Entfernen oder blockieren Sie über .htaccess die Dateien license.txt, wp-config-sample.php und readme.html.

Deaktivieren Sie die Dateibearbeitung über wp-config.php, indem Sie den folgenden Code hinzufügen:

define('DISALLOW_FILE_EDIT',true);

Verhindern Sie die Verzeichnisauflistung über .htaccess, indem Sie den folgenden Code hinzufügen:

Options All -Indexes