Wo du es findest

Alles beginnt beim Eintrag Plugins im Seitenmenü von WordPress, Punkt 1 im Bild. Von dort öffnest du Installieren.

Plugin installieren, Schritt für Schritt

Bevor du anfängst, erstelle eine Sicherungskopie der Website. Das Plugin schreibt in die Datei .htaccess und legt davon keine Kopie an, also liegt die Vorsicht bei dir.

1. Geh im Seitenmenü auf Plugins und dann auf Installieren.
2. Klicke auf Plugin hochladen.
3. Wähle unter Punkt 3 im Bild, unter Plugin-Zip-Datei, die Zip-Datei des Plugins, zum Beispiel cisilino-site-defense-network-1.0.15.zip.
4. Klicke auf Jetzt installieren.
5. Klicke nach abgeschlossener Installation, Punkt 4 im Bild, auf Plugin aktivieren.

Alternativ kannst du den Plugin-Ordner per FTP in /wp-content/plugins/ kopieren. Danach aktivierst du es unter Plugins > Installierte Plugins. Das Ergebnis ist dasselbe.

Was bei der Aktivierung passiert

Das Plugin bereitet alles, was es braucht, selbst vor.

• Es legt vier Tabellen in der Datenbank an, mit dem Präfix deiner Website: csdn_events, csdn_overrides, csdn_rate_hits und csdn_activity.
• Es bereitet die zwei markierten Blöcke in .htaccess vor, einen für blockierte IPs und einen für Hardening. Bei der ersten Aktivierung sind sie leer.
• Es trägt drei geplante WordPress-Aufgaben ein: die Synchronisierung alle 15 Minuten, die tägliche Bereinigung des Protokolls und die tägliche Integritätsprüfung.
• Es erstellt eine Momentaufnahme der Hashes der PHP-Dateien des Plugins, die später von der Integritätsprüfung genutzt wird.

Die geplanten Aufgaben laufen über WP-Cron. Es startet, wenn die Website Besuche erhält, außer das Hosting nutzt einen System-Cron.

Erster Start

Sobald du das Plugin fertig installiert hast, öffne Einstellungen > Cisilino Site Defense Network. Es öffnet sich der Reiter Allgemein. Oben siehst du eine Zeile mit drei Zählern: lokal blockierte IPs, vom Panel empfangene IPs und IPs aus der optionalen Sicherheitsliste. Direkt nach der Installation stehen alle auf null.

Nach dem Plugin installieren musst du nichts weiter einrichten, um geschützt zu sein. Das ist bereits mit den Standardwerten aktiv:

• Die Erkennung fehlgeschlagener Logins, mit Sperrschwelle 10.
• Die Registrierungsrichtlinie „Nur Rollen mit geringem Privileg“.
• Das Rate Limiting für Autoren und Gäste sowie die Pflicht-E-Mail bei der Erstellung von Benutzern.
• Das Aktivitätsprotokoll, mit 30 Tagen Aufbewahrung und einer Obergrenze von 500 Zeilen.
• Die Protokollierung von Datei-Uploads. Deren Blockierung ist dagegen ausgeschaltet.

Standardmäßig ausgeschaltet sind alle Hardening-Regeln, die Sicherheitsheader, die Abmeldung wegen Inaktivität und das Debug-Log. Du schaltest sie selbst ein, eine nach der anderen, in den jeweiligen Kapiteln.

Drei Prüfungen für den Anfang

1. Klicke im Reiter Allgemein, Abschnitt Vertrauenswürdige IPs (Whitelist), auf Zur Whitelist hinzufügen, wenn du den Hinweis „Deine aktuelle IP (…) steht nicht in der Whitelist.“ siehst. So zählen deine Passwortfehler nicht.
2. Sieh dir den Wert unter IP-Adresse im Abschnitt Lokale IP-Overrides an: Das Feld ist mit deiner IP vorausgefüllt. Klicke nicht auf Override speichern mit „Sperren (ban)“, sonst sperrst du dich selbst aus.
3. Geh die zehn Reiter durch und lies die Einleitungstexte. Die anderen Kapitel des Handbuchs erklären dir, was jeder davon tut.

Achtung: Der Zähler fehlgeschlagener Logins ist kumulativ und hat kein Ablaufdatum. Auch ein berechtigter Benutzer, der ab und zu das Passwort falsch eingibt, kann die Schwelle erreichen. Trage deine vertrauenswürdigen Netzwerke in die Whitelist ein.

Standardwerte und Grenzen

• Das Plugin lebt auf der Seite Einstellungen nur für jene mit der richtigen Berechtigung. Wer sie nicht hat, sieht die Seite nicht; versucht jemand, eine Aktion zu öffnen, erhält er „Nicht autorisiert.“.
• In einem Multisite-Netzwerk ist die Seite dem Superadmin vorbehalten, weil .htaccess das des Netzwerks ist. Verbinde pro Netzwerk nur eine Website mit dem Panel.
• Ist .htaccess nicht beschreibbar, funktioniert die Website weiter, aber die serverseitigen Regeln werden nicht angewendet.
• Das Plugin liest die IP des Besuchers nur aus REMOTE_ADDR und ignoriert Header wie X-Forwarded-For. Steht die Website hinter einem Proxy oder einer CDN, können alle Besucher mit derselben IP wie der Proxy erscheinen: Bevor du dich auf die Sperrungen verlässt, prüfe, ob die IP unter Deine aktuelle IP wirklich deine ist.

Was im Hintergrund passiert

Nach einem Update vergleicht das Plugin die Datenbankversion mit der aktuellen. Sind sie unterschiedlich, aktualisiert es die Tabellen und erstellt die Datei-Momentaufnahme neu, damit das Update nicht wie eine Manipulation wirkt. Du musst das Plugin nicht neu aktivieren.

Für die Grundlagen der Plugin-Installation in WordPress erklärt die offizielle Anleitung zur Plugin-Verwaltung auch die Installation per FTP und den Unterschied zwischen Deaktivieren und Löschen.

Wenn etwas nicht funktioniert

Gelingt dir das Plugin installieren nicht, prüfe, ob du die richtige Zip-Datei gewählt hast und ob dein Benutzer Plugins installieren darf. Erhältst du nach der Aktivierung einen Serverfehler, geh zum Kapitel Fehlerbehebung und häufige Fragen.

Vorheriges Kapitel: die Einführung zum Handbuch. Nächstes Kapitel: Das Plugin mit dem Panel verbinden: Remote-Einstellungen.

The post Plugin installieren und aktivieren first appeared on Matteo Cisilino.