viehrig

Danke für die Antwort.

In welcher Reihenfolge fügst du die Code-Teile in die .htaccess ein? Kann es sein, dass du den Passwortblock unter den WP-Block eingefügt hast? Dann versuche es mal andersherum.

Siehe erster Beitrag.

Bei welchem Hoster bist du? Hast du deren Support mal angesprochen?

Steckt da eine konkrete Idee hinter der Frage, was der Hoster verbockt haben könnte? Welche wäre das?

Ist aber nicht gelöst. Als ungelöst markiert.

Und noch ein Nachtrag, weil es vielleicht dabei hilft, dem Problem auf die Spur zu kommen: Füge ich im Verzeichnis wp-admin eine htaccess ein, die folgenden Code enthält:

AuthUserFile /Pfad/zur/Datei/.htpasswd
 AuthGroupFile /dev/null
 AuthName "Restricted Admin-Area"
 AuthType Basic
<limit GET POST>
 require valid-user
</limit>

#Zugriff auf ajax erlauben
<Files admin-ajax.php>
Order allow,deny
Allow from all
Satisfy any
</Files>

dann funktioniert die Paßwortabfrage durch die htpasswd genau solange, bis ich die mod_rewrite-Regeln in die htaccess im WP-Hauptverzeichnis wieder einfüge.

• Diese Antwort wurde vor 8 Jahren, 4 Monaten von viehrig geändert.
• Diese Antwort wurde vor 8 Jahren, 4 Monaten von viehrig geändert.

Danke, aber es funktioniert nicht.

Versucht habe ich, während ausschließlich die mod_rewrite-Regeln von WP in der htaccess im WP-Verzeichnis standen:

1. Den Code so zu implementieren, wie oben vorgegeben, also damit eine htaccess in wp-admin angelegt, lediglich den Pfad zur htpasswd habe ich angepaßt.
Ergebnis: htpasswd wird nicht abgefragt, die wp-login.php ist wüst zerschossen, Login-Versuche führen zur 404-Seite des Themes

und weil es mir irgendwie logisch erschien, die admin-ajax.php nicht zweimal zu erlauben, habe ich probiert, in der htaccess im wp-admin-Ordner:

2. die Freigabe der admin-ajax.php nur vor der Abfrage der .htpasswd einzufügen
Ergebnis: wie bei 1.

3. die Freigabe der admin-ajax.php nur nach der Abfrage der .htpasswd einzufügen
Ergebnis: wie bei 1.

4. die Varianten 1. bis 3., aber den obigen Code zur Abfrage der htpasswd erweitert:

<Files wp-login.php>
   AuthType Basic
   AuthName "Restricted Admin-Area"
   AuthUserFile /kompletter/server/pfad/zu/der/Datei/.htpasswd
   Require valid-user
</Files>

Ergebnis in den Fällen 4. bis 6: htpasswd wird nicht abgefragt, ich kann mich ungehindert über die wp-login.php normal einloggen.

• Diese Antwort wurde vor 8 Jahren, 4 Monaten von viehrig geändert.
• Diese Antwort wurde vor 8 Jahren, 4 Monaten von viehrig geändert.
• Diese Antwort wurde vor 8 Jahren, 4 Monaten von viehrig geändert.

Danke für die Antwort und den Hinweis auf die wp-mail.php, die man besser auch noch verriegeln sollte.

Wahrscheinlich habe ich mich unklar ausgedrückt. Das Problem besteht darin, daß unter anderem keine 403-Meldung ausgegeben wird, sobald ich die mod_rewrite-Regeln von WP in die htaccess einfüge. Vielmehr wird stattdessen eine 404-Meldung erzeugt und die entsprechende Seite des Themes geladen, womit ein Hauptziel, nämlich den Traffic durch „Hackroboter“ auf das unvermeidbare zu reduzieren, verfehlt wird. Des weiteren habe ich ganze IP-Bereiche in der htaccess gesperrt, aus denen ausschließlich entsprechende Zugriffe kommen. Wenn jedesmal erst die 404-Seite des Themes statt der 403-Meldung ausgegeben wird, produziert das schlicht zuviel und vor allem völlig unnötige Serverlast.

Lasse ich die mod_rewrite-Regel von WP weg, wird der allermeiste Dreck abgefangen, noch bevor WP überhaupt ins Spiel kommt.

Und schließlich kann man wahrscheinlich darüber streiten, mit welcher Methode die wp-login.php besser abgesichert ist. Beim gegenwärtig von mir praktizierten Zugriffsschutz über die htaccess wäre erst eine Wahrscheinlichkeit von 1 zu 62^100 zu überwinden, bevor die wp-login.php überhaupt geladen wird. Anschließend hat man genau 1 Versuch, um die richtige von nochmal 62^100 Möglichkeiten zu treffen. Schlägt dieser fehl, wird die IP für ein Jahr gesperrt. Selbst wenn der Hacker Zugriff auf alle 4.294.967.296 IPv4-Adressen hätte, er käme nicht weit.

• Diese Antwort wurde vor 8 Jahren, 4 Monaten von viehrig geändert.
• Diese Antwort wurde vor 8 Jahren, 4 Monaten von viehrig geändert.