functions.php – Löschen der detaillierten Fehlerausgabe beim Login

Wenn du nicht explizit ausgeben möchtest, ob User-Name oder Passwort falsch waren, hilft folgende Funktion

add_filter('login_errors',create_function('$a', "return 'Login-Fehler';"));

Möchtest du hingegen eine Fehlermeldung komplett unterdrücken, hilft

add_filter('login_errors',create_function('$a', "return null;"));

Im Login-Formular wird noch ein leeres Textkästchen angezeigt, das mit ein wenig CSS ausgeblendet werden kann:

.login #login_error { display: none; }

Wichtiger ist aber, das Login-Formular generell gegen Brute Force-Angriffe zu schützen, in dem man die Anzahl an Anmeldeversuchen beschränkt. Mit dem Plugin Wordfence kannst du User, die sich mit einem falschen Benutzernamen anmelden, direkt blocken.

Ich packe solche Funktionen gerne in ein eigenes Plugin, damit sie nicht beim nächsten Update überschrieben werden. Also z.B.

<?php
/*
Plugin Name: Eigene Einstellungen
Description: Was mir so an Einstellungen eingefallen ist.
*/
if ( ! defined( ‘ABSPATH’ ) ) exit; // Exit if accessed directly

add_filter('login_errors',create_function('$a', "return null;"));

// Add more functions here …

Noch ein Nachtrag: Es macht eigentlich wenig Sinn, die Ausgabe der WordPress-Version zu unterdrücken. Hier wird gerne argumentiert, dass Angreifer anhand eines Hinweises auf eine ältere WordPress-Version mögliche Schwachstellen auf dem Silbertablett präsentiert bekämen. Nur nutzt es dann wenig, wenn die Versions-Nummer z.B. in der nicht gelöschten readme.html steht oder im Feed ausgegeben wird (es gibt da noch ein paar pfiffigere Methoden, auf die ich aber nicht eingehen möchte). Statt dessen sollte man seine WordPress-Installation möglichst aktuell halten.