Websites
Website-Sicherheit
The Security page collects every protection for a single site in one view: certificate status, malware scanning, vulnerability reports, login hardening, country filtering, hotlink protection, and an…
Webseitensicherheit
Die Seite „Security" (Sicherheit) sammelt jeden Schutz für eine einzelne Website in einer Übersicht: Zertifikatstatus, Malware-Scan, Schwachstellenberichte, Login-Härtung, Länderfilterung, Hotlink-Schutz und eine IP-Blockliste. Diese Anleitung führt Sie durch jede Karte und was Sie damit tun können.
Wo Security in KPanel zu finden ist
Wie Sie darauf zugreifen, hängt davon ab, um welche Art von Website es sich handelt:
- Melden Sie sich bei KPanel an.
- Klicken Sie auf Websites in der linken Seitenleiste und dann auf die Website.
- Für eine WordPress- oder WooCommerce-Website öffnen Sie WordPress und dann Security. Für eine statische Website, PHP-, Node.js-, Python- oder Ruby-Website öffnen Sie Advanced (Erweitert) und dann Security.
Beide Wege führen zu /websites/<site-id>/security.
Die Schutzmaßnahmen-Übersicht
Oben zeigt eine einzelne Zeile, wie viele Ihrer Schutzmaßnahmen aktiv sind, mit einer Anzeige pro Prüfung. Die Prüfungen sind Ihr Zertifikat, Malware-Status, Login-Schutz und Schwachstellen, und jede Anzeige ist grün, wenn alles in Ordnung ist, und orange, wenn sie Aufmerksamkeit benötigt.
Nutzen Sie es als schnelle Überprüfung. Wenn jede Anzeige grün ist, benötigt diese Seite heute nichts von Ihnen.
SSL-Zertifikat
Die Zertifikaatkarte zeigt verbleibende Tage, den Betreff, den Aussteller, das Ablaufdatum und alle Domains, die das Zertifikat abdeckt. Die Anzeige für verbleibende Tage wird orange und dann rot, wenn das Ablaufdatum näher rückt.
Zertifikate werden automatisch erneuert. Die Schaltfläche Renew now (Jetzt erneuern) ist für den Fall vorhanden, dass die automatische Erneuerung fehlgeschlagen ist, normalerweise weil sich DNS geändert hat oder eine Domain im Zertifikat nicht mehr zur Website aufgelöst wird.
Darunter befinden sich zwei Härtungsschalter:
HSTS weist Browser an, für die Domain immer HTTPS zu verwenden, was vor Downgrade- und Stripping-Angriffen schützt.
HSTS wird vom Browser lange Zeit gespeichert und kann nicht von einem Besucher, der es bereits gesehen hat, zurückgezogen werden. Aktivieren Sie es nur, wenn Sie sicher sind, dass jeder Teil der Website, einschließlich jeder von Ihnen bereitgestellten Subdomain, korrekt über HTTPS funktioniert. Das Aktivieren auf einer Website mit gemischtem HTTP-Inhalt wird Dinge brechen, die Sie nicht aus der Ferne reparieren können. Siehe zunächst Fixing Mixed Content Warnings.
OCSP-Stapling macht TLS-Handshakes schneller und privater, indem der Server den Sperrstatus des Zertifikats selbst bereitstellt. Es gibt keinen Nachteil darin, es eingeschaltet zu lassen.
Weitere Informationen zu Zertifikaten finden Sie unter SSL Certificates.
Malware-Scan
Scans werden jede Nacht automatisch ausgeführt. Die Karte zeigt das Ergebnis des letzten Scans, einen Scan-Verlauf und eine Schaltfläche Scan now (Jetzt scannen) für eine bedarfsgesteuerte Ausführung, die abfragt, bis sie abgeschlossen ist.
Wenn die Website sauber ist, zeigt die Karte dies mit der Anzahl der gescannten Dateien und der Abschlusszeit an.
Wenn Dateien infiziert sind, wird jede mit ihrem Pfad und dem Namen der Bedrohung auf rotem Hintergrund aufgelistet. Einige sind mit Auto-quarantined gekennzeichnet, was bedeutet, dass die Datei bereits für Sie neutralisiert wurde. Für die übrigen verschiebt eine Schaltfläche Quarantine (Unter Quarantäne stellen) die Datei aus dem Weg.
Das Unter-Quarantäne-Stellen einer Datei entfernt sie von Ihrer Website. Wenn die infizierte Datei ein legitimer Teil eines Designs oder Plugins ist, das geändert wurde, kann das Unter-Quarantäne-Stellen die Website beschädigen. Erstellen Sie eine Sicherung, bevor Sie etwas unter Quarantäne stellen, damit Sie einen Ausweg haben. Siehe Taking a Backup.
Das Finden von Malware bedeutet, dass etwas eindrang. Die Bereinigung der Dateien ist nur die halbe Arbeit: Ändern Sie Ihre Passwörter, aktualisieren Sie alles, und finden Sie heraus, wie der Angreifer eindrang, sonst sind Sie nächste Woche wieder zurück.
Automatische Quarantäne ist eine Plan-Berechtigung, die mit Managed WordPress enthalten ist. Bei anderen Plänen wird die Erkennung weiterhin ausgeführt und Sie stellen manuell unter Quarantäne.
Schwachstellen-Scan
Die Schwachstellenkarte listet bekannte Sicherheitsprobleme in Ihrem WordPress-Kern, Designs und Plugins auf, die täglich gegen eine CVE-Datenbank überprüft werden.
Jeder Fund zeigt eine Schweregrad-Anzeige, die Komponente und ihre Version, die CVE-Kennung, falls vorhanden, den Titel, die Version, in der sie behoben wird, und wann sie zuerst beobachtet wurde. Eine Schaltfläche Dismiss (Verwerfen) blendet einen Fund aus, den Sie bewertet und akzeptiert haben.
Schalten Sie resolved (Gelöst) in der Kopfzeile der Karte um, um Probleme zu sehen, die behoben wurden, jeweils mit dem Lösungsdatum.
Die Zeile Fixed in ist der handelnde Teil: Sie gibt Ihnen die genaue Version an, auf die Sie aktualisieren müssen. Die meisten Erkenntnisse werden durch Aktualisierung der Komponente geschlossen. Siehe WordPress Updates.
Die Schwachstellen-Scan ist eine Plan-Berechtigung, die mit Managed WordPress enthalten ist. Bei anderen Plänen wird die Karte durch ein Panel ersetzt, das das Merkmal beschreibt und einen Link zum Upgrade enthält.
Login-Brute-Force-Schutz
Diese Karte überwacht Anmeldeversuche gegen Ihren WordPress-Login und sperrt die Quellen, die wiederholt fehlschlagen. Eine Adresse mit fünf oder mehr fehlgeschlagenen Versuchen in zehn Minuten wird automatisch für eine Stunde blockiert.
Fünf Zähler zeigen aktuell gesperrte Adressen, Adressen, die überwacht, aber noch nicht gesperrt sind, die Gesamtanzahl der seit dem letzten Neustart des Dienstes blockierten, die Gesamtzahl der fehlgeschlagenen Versuche und aktuelle Anmeldeanfragen. Aktuell gesperrte Adressen sind darunter aufgelistet.
Hohe Zahlen hier sind normal und sind kein Zeichen dafür, dass etwas nicht stimmt. Jede öffentliche WordPress-Website wird ständig untersucht. Was zählt, ist, dass die Sperranzahl steigt, was bedeutet, dass der Schutz funktioniert.
Der Login-Schutz ist eine Plan-Berechtigung, die mit Managed WordPress enthalten ist. Wenn er nicht verfügbar ist, wird die Karte nicht angezeigt.
Länder-IP-Filterung
Eine Zusammenfassungskarte zeigt, ob die Länderfilterung aktiv ist und wie viele Länder blockiert oder zugelassen werden. Klicken Sie auf Configure (Konfigurieren), um die vollständige Länderauswahl zu öffnen.
Die Länderfilterung ist ein grobes Filter, keine Grenze. Jeder in einem VPN erscheint woanders. Die vollständige Anleitung, einschließlich der Sicherheitsvorkehrung im reinen Allow-Modus, finden Sie unter Country Blocking for a Site.
Hotlink-Schutz
Der Hotlink-Schutz verhindert, dass andere Websites Ihre Bilder und Medien direkt einbetten, was ansonsten Ihre Bandbreite verbraucht, um die Seite eines anderen zu bedienen.
Aktivieren Sie ihn mit Turn on (Einschalten). Direkte Besuche, Suchmaschinen und Ihre eigenen Seiten funktionieren weiterhin normal.
Sobald es aktiviert ist, können Sie zulässige Domains einzeln in der Form example.com oder *.example.com hinzufügen. Ihre eigenen Domains sind immer automatisch zulässig, daher ist die Liste nur für Partner-Websites, die Ihre Medien legitim einbetten. Entfernen Sie einen Eintrag mit dem kleinen Kreuz daneben.
IP-Blockliste
Die Blockliste verweigert bestimmte Adressen oder CIDR-Bereiche rundheraus.
- Geben Sie eine IP-Adresse oder einen CIDR-Bereich ein.
- Fügen Sie optional einen Grund hinzu, was sinnvoll ist, damit das zukünftige Ich weiß, warum es dort ist.
- Klicken Sie auf Block (Blockieren).
Jeder Eintrag ist mit seinem Grund und einem Papierkorbsymbol zum Entfernen aufgelistet.
Dies ist das präzise Werkzeug. Wenn Sie genau wissen, welche Adresse ein Problem verursacht, blockieren Sie sie hier, anstatt sein ganzes Land zu blockieren.
PCI-DSS-Härtung
In verwalteten WooCommerce-Stores bietet eine zusätzliche Karte Härtung, die auf SAQ-A-Berechtigung abzielt. Sie zeigt vier Prüfungen und ob jede derzeit angewendet wird:
- Der WordPress-Datei-Editor ist deaktiviert.
- Dateiänderungen vom Admin werden verhindert.
- SSL wird für Admin-Sitzungen erzwungen.
- XML-RPC wird auf dem Webserver blockiert.
Apply all hardening (Alle Härtungen anwenden) schaltet sie ein, und Remove hardening (Härtung entfernen) kehrt sie um.
Das Deaktivieren von Dateiänderungen verhindert auch die Installation oder Aktualisierung von Plugins und Designs aus dem WordPress-Admin. Das ist der Sinn, aber es wird ändern, wie Sie arbeiten. Planen Sie Ihren Aktualisierungsprozess, bevor Sie ihn anwenden. Siehe WordPress Plugins.
Das Anwenden dieser Einstellungen ist ein nützlicher Schritt zur PCI-DSS-SAQ-A, keine Zertifizierung. Ihr Zahlungsfluss und Ihre eigenen Praktiken bestimmen Ihre tatsächliche Berechtigung.
Eine vernünftige Routine
- Wöchentlich: werfen Sie einen Blick auf die Schutzmaßnahmen-Übersicht. Handeln Sie nur, wenn eine Anzeige orange ist.
- Wenn eine Schwachstelle auftaucht: aktualisieren Sie die benannte Komponente auf die unter Fixed in aufgelistete Version.
- Vor jeder riskanten Änderung: erstellen Sie eine Sicherung.
- Bei einer Zertifikatwarnung: überprüfen Sie, ob DNS immer noch auf die Website zeigt, und verwenden Sie dann Renew now.
- Nach einem vermuteten Kompromiss: führen Sie einen manuellen Malware-Scan durch, ändern Sie jedes Passwort, und aktualisieren Sie alles.
Verwandte Seiten
- Password-Protecting a Site für eine echte Zugriffsbegrenzung.
- Country Blocking for a Site für geografiebasierte Filterung.
- Two-Factor Authentication für Ihr Kapsule-Konto selbst.
- Taking a Backup vor dem Ändern von etwas auf dieser Seite.