Die sicherste Methode seinen Block zu schützen vor unerlaubten Login ist die Verwendung einer .htpasswd Authentifizierung.
Die Standard Login Seite von WordPress ist nicht sicher, weil Hacker Programme besitzen, die wahrlos Passwörter ausprobieren. Wenn dann noch der Login Namen bekannt ist, weil bei WordPress der Namen des Authors unter den meisten Blog Posts steht, sollte man Wert auf Sicherheit legen.
Auf jeden Fall sollten die automatischen Fehlermeldungen abgeschaltet werden bei falschen Passwort oder falschem Login, welche gefährliche Hinweise geben. Dafür muss nur in die functions.php folgender Code eingegeben werden:
add_filter( 'login_errors', create_function('$a', "return null;"));
Ich empfehle einen .htpasswd Schutz für das /wp-admin/ – Verzeichnis anzulegen.
Die .htaccess Datei gehört auch in das Root – Verzeichnis, bspw:
<Files "wp-login.php"> AuthName "backend" AuthType Basic AuthUserFile Root-Pfadwordpress/.htpasswd require valid-user </Files>
Der notwendige Root-Pfad kann folgender Maßen bestimmt werden:
echo getcwd(); In die .passwd kommen Login und passwort in gehachter Form. Am besten den htpasswd Generator dafür benutzen und die Daten vorher notieren.
Die Leserechte sollten auf 0444 gesetzt werden für diese beiden Dateien, damit Sie nicht überschrieben oder gelöscht werden können.
Sinnvoll ist auch die Leserechte für kritische Dateien und alle php-Dateien einzuschränken in der „Haupt“ .htaccess:
<FilesMatch "(\.htaccess|\.htpasswd|wp-config\.php|liesmich\.html|readme\.html)"> order deny,allow deny from all </FilesMatch>
Dies ist besonders wichtig, um Hacker-Bots abzuwähren, die folgender Maßen vorgehen:
Sie suchen im Netz auf Seiten nach bestimmten WordPress-Seiten und verwendeten unsicheren Plugins, z.B. habe ich solche Anfragen protokoliert, was auf Sicherheitslücken der Plugins hindeutet:
"wp-content/themes/clockstone/readme.txt" "wp-content/plugins/complete-gallery-manager/readme.txt"
(Diese Themes bzw. Plugins werden bei nicht benutzt)