Eine IP-Whitelist kann den Zugriff auf wp-admin zusätzlich begrenzen. Sie eignet sich vor allem für Büros mit festen Adressen oder Zugänge über VPN. Allein ersetzt sie keine Mehrfaktor-Authentifizierung und kann mobile Redakteure aussperren.
Inhalt
Vorbedingungen
- Feste öffentliche IP oder Unternehmens-VPN.
- Notfallzugang dokumentiert.
- Proxy- und CDN-Kette verstanden.
- Backup der Serverkonfiguration.
- Staging-Test vor Produktivänderung.
Apache-Beispiel
<LocationMatch "^/wp-admin">
Require ip 203.0.113.10
</LocationMatch>Die genaue Platzierung hängt vom Hosting ab. Bei Managed Hosting sollte die Zugriffskontrolle im Panel oder durch den Anbieter gesetzt werden.
Nginx-Beispiel
location ^~ /wp-admin/ {
allow 203.0.113.10;
deny all;
try_files $uri $uri/ /index.php?$args;
}Wichtig: Kopiere Konfigurationen nicht ungeprüft. Syntaxfehler können die gesamte Website abschalten. Teste mit nginx -t.
CDN und Reverse Proxy
Vertraue X-Forwarded-For nur von bekannten Proxies. Eine falsch konfigurierte Header-Auswertung erlaubt Spoofing oder blockiert alle Benutzer. Nutze nach Möglichkeit die Firewall-Funktion des CDN.
Zusätzliche Schutzschichten
- MFA für alle privilegierten Konten.
- Starke individuelle Passwörter.
- Minimale Rollen.
- Updates und Backups.
- Anmeldeprotokolle und Alarmierung.
Fazit
Eine IP-Begrenzung ist eine sinnvolle zusätzliche Schicht, wenn Zugriffswege stabil sind. VPN, MFA und ein getesteter Notfallzugang machen sie praxistauglich.
