Möchten Sie HTTP-Sicherheitsheader in WordPress hinzufügen?
Mit HTTP-Sicherheitsheadern können Sie Ihrer WordPress-Website eine zusätzliche Sicherheitsebene hinzufügen. Sie können dazu beitragen, zu verhindern, dass häufige böswillige Aktivitäten die Leistung Ihrer Website beeinträchtigen.
In diesem Leitfaden für Einsteiger zeigen wir Ihnen, wie Sie HTTP-Sicherheitsheader in WordPress hinzufügen.
HTTP-Sicherheitsheader sind eine Sicherheitsmaßnahme, die es Ihrem Website-Server ermöglicht, einige häufige Sicherheitsbedrohungen zu verhindern, bevor sie Ihre Website beeinträchtigen können.
Wenn ein Benutzer Ihre WordPress-Website besucht, sendet Ihr Webserver eine HTTP-Header-Antwort an seinen Browser. Diese Antwort informiert Browser über Fehlercodes, Cache-Überwachung und andere Status.
Die normale Header-Antwort gibt einen Status namens HTTP 200 aus. Danach wird Ihre Website im Browser des Benutzers geladen. Wenn Ihre Website jedoch Probleme hat, sendet Ihr Webserver möglicherweise einen anderen HTTP-Header.
Sie können beispielsweise einen internen Serverfehler 500 oder einen Fehlercode 404 nicht gefunden senden.
HTTP-Sicherheitsheader sind eine Teilmenge dieser Header. Sie werden verwendet, um Websites vor häufigen Bedrohungen wie Clickjacking, Cross-Site-Scripting, Brute-Force-Angriffen und mehr zu schützen.
Werfen wir einen kurzen Blick auf einige HTTP-Sicherheitsheader und wie sie Ihre Website schützen:
- HTTP Strict Transport Security (HSTS) Teilt Webbrowsern mit, dass Ihre Website HTTPS verwendet und nicht über ein unsicheres Protokoll wie HTTP geladen werden sollte.
- X-XSS-Schutz ermöglicht es Ihnen, das Laden von Cross-Site-Skripten zu blockieren.
- X-Frame-Optionen verhindert domänenübergreifende Iframes oder Clickjacking.
- X-Inhaltstypoptionen X-Content-Type-Options blockiert das Crawlen von Mime-Inhalten.
HTTP-Sicherheitsheader funktionieren am besten, wenn sie auf Webserverebene konfiguriert werden, d. h. in Ihrem WordPress-Hosting-Konto. Dadurch können sie während einer typischen HTTP-Anfrage frühzeitig aktiviert werden und maximalen Nutzen bieten.
Sie funktionieren sogar noch besser, wenn Sie eine Website-Anwendungs-Firewall auf DNS-Ebene wie Sucuri oder Cloudflare verwenden.
Lassen Sie uns einen Blick darauf werfen, wie Sie ganz einfach HTTP-Sicherheitsheader in WordPress hinzufügen können. Hier finden Sie schnelle Links zu verschiedenen Methoden, damit Sie die für Sie am besten geeignete auswählen können:
Sucuri ist eines der besten WordPress-Sicherheits-Plugins auf dem Markt. Wenn Sie den Firewall-Dienst Ihrer Website verwenden, können Sie HTTP-Sicherheitsheader konfigurieren, ohne Code schreiben zu müssen.
Zunächst müssen Sie sich für ein Sucuri-Konto registrieren. Es handelt sich um einen kostenpflichtigen Dienst, der mit einer Website-Firewall auf Serverebene, einem Sicherheits-Plugin, einem CDN und einer Garantie zur Entfernung von Malware ausgestattet ist.
Bei der Registrierung müssen Sie einfache Fragen beantworten und die Sucuri-Dokumentation hilft Ihnen bei der Konfiguration der Website-Anwendungs-Firewall auf Ihrer Website.
Nach der Registrierung müssen Sie das kostenlose Programm installieren und aktivieren. Sucuri-Plugin. Weitere Einzelheiten finden Sie in unserer Schritt-für-Schritt-Anleitung zur Installation eines WordPress-Plugins.
Nach der Aktivierung müssen Sie zu gehen Sucuri Security » Firewall (WAF) und geben Sie Ihren Firewall-API-Schlüssel ein. Sie finden diese Informationen in Ihrem Konto auf der Sucuri-Website.
Danach müssen Sie auf die grüne Schaltfläche „Speichern“ klicken, um die Änderungen zu speichern.
Als Nächstes müssen Sie zu Ihrem Sucuri-Konto-Dashboard wechseln. Klicken Sie hier oben auf das Menü „Einstellungen“ und wechseln Sie dann zur Registerkarte „Sicherheit“.
Von hier aus können Sie drei Regelsätze auswählen. Der Standardschutz funktioniert für die meisten Websites einwandfrei.
Wenn Sie einen Professional- oder Business-Plan haben, stehen Ihnen auch die Optionen HSTS und HSTS Full zur Verfügung. Sie können sehen, welche HTTP-Sicherheitsheader für jeden Regelsatz angewendet werden.
Sie müssen auf die Schaltfläche „Änderungen an zusätzlichen Headern speichern“ klicken, um die Änderungen zu übernehmen.
Sucuri fügt nun ausgewählte HTTP-Sicherheitsheader in WordPress hinzu. Da es sich um eine WAF auf DNS-Ebene handelt, ist Ihr Website-Verkehr vor Hackern geschützt, bevor diese Ihre Website überhaupt erreichen.
Wolkenflackern bietet eine kostenlose Basis-Website-Firewall und einen CDN-Dienst. Im kostenlosen Plan fehlen erweiterte Sicherheitsfunktionen, daher müssen Sie auf den teureren Pro-Plan upgraden.
Sie können lernen, wie Sie Cloudflare zu Ihrer Website hinzufügen, indem Sie unserem Tutorial zum Einrichten des kostenlosen Cloudflare-CDN in WordPress folgen.
Sobald Cloudflare auf Ihrer Website aktiv ist, müssen Sie zur SSL/TLS-Seite in Ihrem Cloudflare-Konto-Dashboard gehen und dann zur Registerkarte „Edge-Zertifikate“ wechseln.
Scrollen Sie nun nach unten zum Abschnitt „HTTP Strict Transport Security (HSTS)“.
Sobald Sie es gefunden haben, müssen Sie auf die Schaltfläche „HSTS aktivieren“ klicken.
Es erscheint ein Popup-Fenster mit Anweisungen, die Sie darüber informieren, dass HTTPS auf Ihrer Website aktiviert sein muss, bevor Sie diese Funktion nutzen können.
Wenn Ihr WordPress-Blog bereits über eine sichere HTTPS-Verbindung verfügt, können Sie auf die Schaltfläche „Weiter“ klicken, um fortzufahren. Sie sehen Optionen zum Hinzufügen von HTTP-Sicherheitsheadern.
Von hier aus können Sie HSTS aktivieren, HSTS auf Subdomains anwenden (wenn die Subdomains HTTPS verwenden), HSTS vorladen und den No-Tracking-Header aktivieren.
Diese Methode bietet grundlegenden Schutz mithilfe von HTTP-Sicherheitsheadern. Allerdings ist das Hinzufügen von X-Frame-Optionen nicht möglich und Cloudflare verfügt nicht über eine entsprechende Benutzeroberfläche.
Sie können dies immer noch tun, indem Sie ein Skript mit erstellen Cloudflare-Mitarbeiter charakteristisch. Wir empfehlen dies jedoch nicht, da die Erstellung eines HTTPS-Sicherheits-Header-Skripts für Anfänger zu unerwarteten Problemen führen kann.
Mit dieser Methode können Sie HTTP-Sicherheitsheader in WordPress auf Serverebene konfigurieren.
Erfordert die Bearbeitung der .htaccess-Datei auf Ihrer Website. Diese Serverkonfigurationsdatei wird von der am weitesten verbreiteten Apache-Webserversoftware verwendet.
Notiz: Bevor Sie Änderungen an den Dateien Ihrer Website vornehmen, empfehlen wir die Erstellung eines Backups.
Als nächstes stellen Sie einfach über einen FTP-Client oder den Dateimanager in Ihrem Hosting-Kontrollpanel eine Verbindung zu Ihrer Website her. Im Stammordner Ihrer Website müssen Sie die .htaccess-Datei finden und bearbeiten.
Dadurch wird die Datei in einem Nur-Text-Editor geöffnet. Am Ende der Datei können Sie Code hinzufügen, um Ihrer WordPress-Website HTTPS-Sicherheitsheader hinzuzufügen.
Sie können den folgenden Beispielcode als Ausgangspunkt verwenden. Legen Sie die am häufigsten verwendeten HTTP-Sicherheitsheader mit optimalen Einstellungen fest:
Header set Strict-Transport-Security "max-age=31536000" env=HTTPS Header set X-XSS-Protection "1; mode=block" Header set X-Content-Type-Options nosniff Header set X-Frame-Options DENY Header set Referrer-Policy: no-referrer-when-downgrade
Vergessen Sie nicht, Ihre Änderungen zu speichern und Ihre Website zu besuchen, um sicherzustellen, dass alles wie erwartet funktioniert.
Notiz: Seien Sie vorsichtig, wenn Sie Ihren Website-Code bearbeiten. Falsche Header oder Konflikte in der .htaccess-Datei können den internen Serverfehler 500 auslösen.
All-in-One-SEO (AIOSEO) ist das beste SEO-Tool für WordPress und genießt das Vertrauen von über 3 Millionen Unternehmen. Mit dem Premium-Plugin können Sie ganz einfach HTTP-Sicherheitsheader zu Ihrer Website hinzufügen.
Als Erstes müssen Sie das AIOSEO-Plugin auf Ihrer Website installieren und aktivieren. In unserer Schritt-für-Schritt-Anleitung zur Einrichtung von All-in-One-SEO für WordPress erfahren Sie mehr.
Dann müssen Sie gehen All-in-One-SEO » Weiterleitungen Seite zum Hinzufügen von HTTP-Sicherheitsheadern. Zuerst müssen Sie auf die Schaltfläche „Weiterleitungen aktivieren“ klicken, um die Funktion zu aktivieren.
Sobald Weiterleitungen aktiviert sind, müssen Sie auf die Registerkarte „Vollständige Site-Weiterleitung“ klicken und dann nach unten zum Abschnitt „Kanonische Einstellungen“ scrollen.
Aktivieren Sie einfach die Option „Kanonische Einstellungen“ und klicken Sie dann auf die Schaltfläche „Sicherheitsvoreinstellungen hinzufügen“.
In der Tabelle wird eine voreingestellte Liste von HTTP-Sicherheitsheadern angezeigt.
Diese Header sind aus Sicherheitsgründen optimiert. Sie können sie überprüfen und bei Bedarf ändern.
Klicken Sie unbedingt oben oder unten auf dem Bildschirm auf die Schaltfläche „Änderungen speichern“, um die Sicherheitskopfzeilen zu speichern.
Sie können jetzt Ihre Website besuchen, um sicherzustellen, dass alles ordnungsgemäß funktioniert.
Nachdem Sie Ihrer Website nun HTTP-Sicherheitsheader hinzugefügt haben, können Sie Ihre Konfiguration mit dem kostenlosen Tool testen Sicherheitsheader Werkzeug.
Geben Sie einfach die URL Ihrer Website ein und klicken Sie auf die Schaltfläche „Scannen“.
Anschließend überprüft es die HTTP-Sicherheitsheader Ihrer Website und zeigt Ihnen einen Bericht an. Das Tool generiert außerdem ein Bewertungslabel, das Sie ignorieren können, da die meisten Websites eine B- oder C-Bewertung erhalten, ohne dass dies die Benutzererfahrung beeinträchtigt.
Es zeigt Ihnen, welche HTTP-Sicherheitsheader Ihre Website sendet und welche nicht. Wenn dort die Sicherheitsheader angezeigt werden, die Sie konfigurieren wollten, sind Sie fertig.
Wir hoffen, dass dieser Artikel Ihnen dabei geholfen hat, zu lernen, wie Sie HTTP-Sicherheitsheader in WordPress hinzufügen. Vielleicht möchten Sie auch unseren vollständigen WordPress-Sicherheitsleitfaden und unsere Expertenauswahl für die besten WordPress-Plugins für Unternehmenswebsites sehen.
