Sichere Dateiuploads in WordPress (SVG, WEBP) ermöglichen

Um in Ihrer WordPress-Website sichere Dateiuploads zu ermöglichen, sind einige grundlegende Schritte notwendig: Es gilt, die benötigten Dateitypen auf MIME-Ebene zu definieren, SVG-Dateien vor dem Hochladen zu bereinigen, die Upload-Rechte auf vertrauenswürdige Benutzerrollen zu beschränken und serverseitig die Ausführung von schädlichen Dateien zu verhindern. WEBP-Bilder werden in modernen WordPress-Versionen häufig direkt unterstützt; SVG hingegen wird standardmäßig blockiert, da es Code enthalten kann. Daher ist der sichere Dateiupload in WordPress nicht nur ein Prozess des „Erlaubens“, sondern auch ein Prozess zur Reduzierung von Risiken durch bösartige Skripte, gefälschte Erweiterungen und unbefugte Uploads.

SVG und WEBP sind in Bezug auf Leistung und Design sehr wertvolle Dateiformate. WEBP bietet in den meisten Szenarien kleinere Dateigrößen im Vergleich zu JPEG und PNG; das bedeutet schnellere Ladezeiten, bessere Core Web Vitals und geringeren Bandbreitenverbrauch. SVG hingegen bietet eine scharfe Bildqualität für Logos, Icons und Vektorgrafiken. Da SVG-Dateien jedoch XML-basiert sind, können sie JavaScript, externe Links oder schädlichen Code enthalten. Aus diesem Grund stellt das Umgehen von Sicherheitsmaßnahmen beim Erlauben des Uploads von SVG in WordPress ein ernsthaftes Risiko für die Integrität der Website und die Sicherheit der Besucher dar.

In diesem Leitfaden erfahren Sie, wie Sie in Ihrer WordPress-Website die Upload-Rechte für SVG und WEBP sicher aktivieren, welche Einstellungen erforderlich sind, die Unterschiede zwischen Plugin- und Codeansätzen, die serverseitigen Maßnahmen und eine umsetzbare Checkliste für die Live-Website. Wenn Ihre Website stark visuell orientiert ist, ist eine zuverlässige Infrastruktur ebenfalls wichtig; zu diesem Zweck können Sie die Seite WordPress Hosting über optimierte Ressourcen für WordPress besuchen.

Warum blockiert WordPress bestimmte Dateitypen?

Die WordPress-Mediathek akzeptiert aus Sicherheitsgründen nicht alle Dateitypen. Standardmäßig werden gängige, als relativ sicher geltende Formate wie JPG, PNG, GIF, PDF und DOCX unterstützt. Im Gegensatz dazu werden bestimmte Formate wie SVG blockiert, da sie, obwohl die Dateiendung harmlos aussieht, ausführbare Skripte oder schädliche Inhalte enthalten können. Dies ist der Hauptgrund, warum WordPress die Warnung „Sie haben keine Berechtigung, diesen Dateityp hochzuladen“ anzeigt.

Die Sicherheit beim Datei-Upload besteht aus drei Schichten. Die erste Schicht ist die MIME-Typprüfung von WordPress. Die zweite Schicht besteht darin, ob der Benutzer die Berechtigung hat, die entsprechende Datei hochzuladen. Die dritte Schicht betrifft die Art und Weise, wie der Server die hochgeladene Datei verarbeitet. Es reicht nicht aus, nur ein paar Zeilen in die functions.php-Datei einzufügen; wenn keine Sanitärmaßnahmen für SVG durchgeführt werden, kann dies eine neue Angriffsfläche schaffen.

Was ist ein MIME-Typ und warum ist er wichtig?

Der MIME-Typ ist eine Beschreibung, die dem Browser und der Anwendung sagt, was die Datei ist. Zum Beispiel ist der gängige MIME-Typ für WEBP image/webp und für SVG image/svg+xml. WordPress bewertet, ob die hochgeladene Datei in der Liste der erlaubten Typen enthalten ist, indem es die Dateiendung und die MIME-Informationen überprüft. Angreifer versuchen manchmal, schädliche Dateien unter einer anderen Endung hochzuladen. Daher reicht es nicht aus, sich nur auf die Dateiendung zu verlassen.

Vorteile und Risiken der Formate SVG und WEBP

Beide Formate sind für die Web-Performance wertvoll, haben jedoch unterschiedliche Sicherheitsprofile. WEBP wird häufig mit der Bildoptimierung in Verbindung gebracht. SVG hingegen sollte vorsichtiger behandelt werden, da es sowohl visuelle als auch codeartige Strukturen enthalten kann. Die folgende Tabelle fasst zusammen, welche Maßnahmen für welches Format kritischer sind.

In der Praxis ist der sicherste Ansatz: Verwenden Sie WEBP für Fotos und große Bilder, und sanitisiertes SVG für Logos und Icons. Erlauben Sie Benutzern nicht, SVG beliebig hochzuladen. Beschränken Sie Rollen, die nicht Administratoren oder vertrauenswürdige Redakteure sind. Dies ist besonders kritisch bei Websites mit mehreren Autoren, Mitgliedschaftssystemen oder Kundenportalen.

Was Sie vor dem Start überprüfen sollten

Bevor Sie die Upload-Berechtigungen auf einer Live-WordPress-Website ändern, ist es wichtig, sich vorzubereiten, um eine einfache Rückkehr im Falle eines Fehlers zu ermöglichen. Insbesondere bei Änderungen an den Theme-Dateien sollte ohne Backup nichts unternommen werden. Führen Sie zur sicheren Vorbereitung die folgenden Kontrollen durch:

• Stellen Sie sicher, dass der WordPress-Kern aktuell ist. In älteren Versionen können das Verhalten der Medien- und Dateiüberprüfung unterschiedlich sein.
• Stellen Sie sicher, dass Ihre PHP-Version aktuell und unterstützt ist. Ab 2026 stellen ältere PHP-Versionen ein Sicherheitsrisiko dar.
• Machen Sie ein vollständiges Site-Backup: Dies sollte die Datenbank, den wp-content-Ordner, die Theme- und Plugin-Dateien umfassen.
• Verwenden Sie ein Child-Theme. Änderungen in der functions.php des Haupt-Themes könnten bei einem Theme-Update verloren gehen.
• Bestimmen Sie Ihre Berechtigungsmatrix. Halten Sie die Anzahl der Benutzer, die SVG hochladen können, so gering wie möglich.
• Wenn Sie ein Sicherheitsplugin oder WAF verwenden, stellen Sie sicher, dass die Datei-Upload-Kontrollen aktiv sind.

Eine leistungsstarke Hosting-Infrastruktur ist ebenfalls wichtig für Backup und unterbrechungsfreies Arbeiten. Sie können Lösungen von Hostragons Webhosting zur Bewertung von Ressourcenlimits, Isolation, täglichen Backups und Malware-Scans in Betracht ziehen.

Methoden 1: Erlauben von SVG und WEBP Uploads mit Plugins

Für Benutzer mit begrenzter technischer Erfahrung ist der sicherste Einstieg die Verwendung eines vertrauenswürdigen und aktuellen Plugins. Der kritische Punkt hier ist jedoch nicht, einfach ein beliebiges MIME-Plugin zu installieren; wählen Sie eine Lösung, die SVG-Reinigung, Rollenbeschränkungen und Dateiüberprüfungsfunktionen bietet. Es reicht nicht aus, wenn ein Plugin nur sagt: „Ich erlaube SVGs“.

Worauf man bei der Plugin-Auswahl achten sollte

• Das letzte Update-Datum sollte nah sein. Sicherheitsorientierte Plugins, die seit 1-2 Jahren nicht aktualisiert wurden, sind riskant.
• Die Anzahl der aktiven Installationen und Benutzerbewertungen sollten überprüft werden.
• Die SVG-Sanitärmaßnahmen sollten klar angegeben sein.
• Es sollte nur für Administratoren oder bestimmte Rollen Upload-Rechte gewährt werden.
• Es sollte mit der aktuellen Version von WordPress getestet worden sein.
• Es sollte die Website nicht mit unnötigen Funktionen belasten.

Für die meisten modernen WordPress-Installationen unterstützt der Upload von WEBP direkt. Wenn Sie beim Hochladen von Medien einen WEBP-Fehler erhalten, kann das Problem weniger mit fehlenden Plugins, sondern eher mit der MIME-Definition des Servers, einer veralteten WordPress-Version oder der PHP/GD/Imagick-Konfiguration zusammenhängen. In diesem Fall wäre es besser, zunächst die Systemanforderungen zu überprüfen.

Schritte zur sicheren Installation mit einem Plugin

Ein umsetzbarer Workflow könnte so aussehen: Zuerst installieren Sie das Plugin in einer Testumgebung, aktivieren nur die SVG- und gegebenenfalls WEBP-Typen, aktivieren die SVG-Sanitärmaßnahmen, beschränken die Upload-Rechte nur auf die Administratorrolle und führen einige Tests mit Beispiel-Dateien durch. Für den Test können sowohl eine saubere SVG- als auch eine Testdatei mit einem Skript-Tag verwendet werden. Wenn das Plugin schädliche Inhalte ablehnt oder bereinigt, sind Sie auf dem richtigen Weg.

Bevor Sie zur Live-Website wechseln, leeren Sie den Cache und überprüfen Sie, ob die Vorschau in der Mediathek korrekt funktioniert. Wenn Sie ein CDN verwenden, stellen Sie sicher, dass die neuen Dateitypen korrekt mit den richtigen MIME von CDN bereitgestellt werden. Informationen über CDN, SSL und sicheres Traffic-Management finden Sie in den Inhalten SSL-Zertifikat und Nutzung von CDN.

Methode 2: Hinzufügen von MIME-Typen über Code

Für Entwickler kann das Hinzufügen von MIME-Typen über Code kontrollierter sein. Der häufigste Fehler bei diesem Ansatz besteht jedoch darin, die SVG-Berechtigung zu aktivieren und die Sanitärschicht zu ignorieren. Die Genehmigungsmethode über den Code eignet sich insbesondere für risikoarme Formate wie WEBP; für SVG sollte sie jedoch unbedingt mit zusätzlichen Sicherheitsmaßnahmen kombiniert werden.

Logik zur Genehmigung über functions.php

In WordPress können neue Formate zur Liste der erlaubten MIME-Typen hinzugefügt werden, indem der Filter upload_mimes verwendet wird. Die Logik ist einfach: Für WEBP definieren Sie die Erweiterung webp als image/webp und für SVG die Erweiterung svg als image/svg+xml. Es ist jedoch nachhaltiger, dies nicht direkt in die functions.php-Datei des Haupt-Themes einzufügen, sondern über ein Child-Theme oder ein kleines benutzerdefiniertes Site-Plugin zu tun.

Es gibt an dieser Stelle zwei wichtige Einschränkungen. Erstens garantiert das Hinzufügen zur MIME-Liste nicht, dass die Datei sicher ist. Zweitens können Änderungen in functions.php verloren gehen, wenn das Theme gewechselt wird. Daher ist die Verwendung eines kleinen „site-specific plugin“ in professionellen Projekten ein sauberer Ansatz.

Warum ist eine rollenbasierte Einschränkung erforderlich?

Es ist riskant, allen Benutzern die SVG-Upload-Berechtigung zu gewähren, insbesondere bei Blogs mit mehreren Autoren, E-Commerce-Websites, Mitgliedschaftssystemen und Projekten mit Kundenportalen. Nur Administratoren oder vertrauenswürdige Redakteure sollten die Berechtigung erhalten. Wenn zum Beispiel auf einer Nachrichten-Website 20 Autoren vorhanden sind und alle SVG hochladen können, könnte ein einziges schwaches Benutzerkonto zur Angriffsfläche für die gesamte Website werden.

Für die rollenbasierte Einschränkung sollten die Benutzerfähigkeiten überprüft werden, und der Datei-Upload-Filter sollte nur für Benutzer mit bestimmten Berechtigungen ausgeführt werden. Wenn es notwendig ist, außerhalb der Administratorrolle Berechtigungen zu erteilen, ist es sicherer, eine spezielle Rolle zu erstellen und nur geschulte Benutzer in diese Rolle zuzuweisen. Außerdem kann die Verwendung der Zwei-Faktor-Authentifizierung das Risiko eines Kontodiebstahls verringern.

SVG-Sicherheit: Erlauben Sie keine Uploads ohne Sanitärmaßnahmen

Eine SVG-Datei sieht zwar wie ein einfaches Bild aus, ist jedoch XML-basiert. Sie kann Skripte, Event-Handler, externe Links, eingebettete Daten oder schädliche Weiterleitungen enthalten. Wenn solche Inhalte im Browser ausgeführt werden, können sie zu XSS-Angriffen führen. XSS bedeutet, dass bösartiger Code im Browser des Besuchers ausgeführt wird und zu Konsequenzen wie Cookie-Diebstahl, Sitzungshijacking oder der Anzeige gefälschter Formulare führen kann.

Für die sichere Verwendung von SVG müssen die Dateien vor dem Hochladen aus dem Design-Tool bereinigt, unnötige Metadaten entfernt und auf WordPress-Seite Sanitärmaßnahmen angewendet werden. Sanitärmaßnahmen bedeuten die Bereinigung riskanter Teile wie Skripte, foreignObject, schädliche Ereignisattributen und externen Referenzen. Dieser Prozess sollte nicht nur auf manuelle visuelle Überprüfungen beschränkt sein; ein automatisierter Regelansatz sollte verwendet werden.

Checkliste für sichere SVGs

• SVG-Dateien nur von vertrauenswürdigen Designquellen beziehen.
• Die Datei vor dem Hochladen optimieren und Metadaten bereinigen.
• Ein Plugin oder eine Bibliothek verwenden, die Sanitärmaßnahmen unterstützt.
• Die SVG-Upload-Berechtigung nicht für alle Benutzer öffnen.
• Überprüfen Sie, ob die hochgeladenen SVG-Dateien keine externen URL-Aufrufe tätigen.
• Alte und ungenutzte SVG-Dateien in der Mediathek regelmäßig löschen.
• Aktivieren Sie die Dateiänderungsüberwachungsfunktion in Ihrem Sicherheitsplugin.

Auf Unternehmenswebsites werden SVG-Dateien häufig für Logos, Social-Media-Icons, Zahlungsmethoden-Icons und Benutzeroberflächensymbole verwendet. Da sich solche statischen Dateien nicht häufig ändern, ist die sicherste Methode, nur genehmigte SVG-Sets hochzuladen und dann die Upload-Berechtigung wieder zu deaktivieren.

WEBP-Uploads und Performance-Einstellungen

WEBP ist ein Format, das mehr auf Leistung als auf Sicherheit ausgerichtet ist. Dennoch können in falsch konfigurierten Servern WEBP-Dateien möglicherweise nicht korrekt angezeigt werden oder mit einem falschen Inhaltstyp an den Browser gesendet werden. WordPress-Versionen ab 5.8 unterstützen WEBP; jedoch muss auch die GD- oder Imagick-Bibliothek, die für die Bildbearbeitung verwendet wird, WEBP unterstützen.

Bei der Verwendung von WEBP besteht das Ziel nicht nur darin, das Hochladen zu ermöglichen, sondern auch eine Bildoptimierungsstrategie zu entwickeln. Halten Sie große Bilder über 1920 Pixel hinweg nicht unnötig, stellen Sie den Qualitätswert in der Regel im Bereich von 75-85 ein und verwenden Sie Lazy Loading für gute Ergebnisse. WEBP kann erhebliche Geschwindigkeitsvorteile für Produktbilder, Blogtitel und Banner bieten. Insbesondere bei Websites mit einem hohen Anteil an mobilen Nutzern spiegelt sich dieser Unterschied direkt in den Konversionsraten wider.

Praktische Tipps für WEBP

• Bewahren Sie das Originalbild auf; so ist es einfach, bei Bedarf auf PNG oder JPEG zurückzugreifen.
• Bei sehr kleinen Icons kann SVG anstelle von WEBP sinnvoller sein.
• In bildlastigen Seiten können Sie die gesamte Seiten Größe um 25-50 % reduzieren, indem Sie WEBP verwenden.
• Wenn Sie ein CDN verwenden, testen Sie, ob die WEBP-Varianten korrekt bereitgestellt werden.
• Die Browserkompatibilität ist mittlerweile meist gegeben; jedoch kann eine Fallback-Strategie für ältere Systeme erforderlich sein.

In leistungsorientierten WordPress-Websites sind die Hosting-Ressourcen ebenso wichtig wie die Bildoptimierung. CPU-Limits, Disk I/O und Servertechnologien wie LiteSpeed machen in medienlastigen Seiten einen Unterschied. Hierzu können Sie mit den Inhalten LiteSpeed Hosting und Leitfaden zur WordPress-Beschleunigung fortfahren.

Notwendige Sicherheitsmaßnahmen auf Serverseite

Es ist wichtig, die Berechtigungen in WordPress korrekt einzustellen; jedoch bleibt das Risiko bestehen, wenn die Serverseite vernachlässigt wird. Das Upload-Verzeichnis wp-content/uploads sollte normalerweise Mediendateien speichern. In diesem Verzeichnis sollten ausführbare Dateien wie PHP blockiert werden. Dadurch wird die Wahrscheinlichkeit verringert, dass ein Angreifer versehentlich oder über eine Schwachstelle schädliche Dateien hochlädt.

In Umgebungen, die Apache verwenden, können Regeln angewendet werden, um die Ausführung von PHP im Uploads-Verzeichnis zu verhindern. Auf der Nginx-Seite sollte die PHP-Ausführung in den entsprechenden Location-Blöcken blockiert werden. Wenn Sie Shared Hosting verwenden, werden einige dieser Einstellungen vom Anbieter verwaltet. Eine sicher konfigurierte Hosting-Umgebung ist eine der grundlegenden Komponenten der Sicherheit beim Datei-Upload in WordPress.

Zusätzliche Serverkontrollen

• Halten Sie die Datei-Berechtigungen korrekt: Ordner sollten in der Regel 755, Dateien 644 sein.
• Achten Sie darauf, dass wp-config.php und kritische Systemdateien nicht beschreibbar sind.
• Verwenden Sie aktiv ModSecurity oder ähnliche WAF-Regeln.
• Überprüfen Sie regelmäßig die Protokolle; verfolgen Sie außergewöhnliche Upload-Versuche.
• Erstellen Sie einen automatisierten Backup-Plan für tägliche oder wöchentliche Backups.
• Verschlüsseln Sie das Administrationspanel und den Medienupload-Traffic mit SSL.

Insbesondere für Agenturen und Unternehmen erleichtert es den Betrieb, wenn Domain, SSL und Hosting über dasselbe Management-Panel verwaltet werden. Wenn Sie ein neues Projekt planen, können Sie die Seiten Domain-Abfrage und SSL-Zertifikat besuchen.

Das sicherste Anwendungsszenario: Schritt-für-Schritt empfohlener Weg

Der folgende Ablauf stellt für die meisten WordPress-Websites eine sichere und umsetzbare Roadmap dar. Dieser Ansatz bietet sowohl technische Kontrolle als auch reduziert unnötige Risiken.

• 1. Machen Sie ein vollständiges Backup und erstellen Sie, wenn möglich, eine Staging-Umgebung.
• 2. Aktualisieren Sie Ihre WordPress-, Theme-, Plugin- und PHP-Versionen.
• 3. Bei Problemen mit dem WEBP-Upload überprüfen Sie zunächst den Server-Support; fügen Sie bei Bedarf die MIME-Definition hinzu.
• 4. Verwenden Sie ein vertrauenswürdiges Plugin, das Sanitärmaßnahmen für SVG unterstützt, oder entwickeln Sie eine benutzerdefinierte Lösung.
• 5. Gewähren Sie die SVG-Upload-Berechtigung nur der Administratorrolle oder einer speziellen vertrauenswürdigen Rolle.
• 6. Verhindern Sie die Ausführung ausführbarer Dateien im wp-content/uploads-Verzeichnis.
• 7. Bestätigen Sie die Reinigung von schädlichen Inhalten mit Test-SVG-Dateien.
• 8. Führen Sie CDN-, Cache- und Browser-Tests durch.
• 9. Überwachen Sie nach dem Live-Gang die Fehlerprotokolle und Sicherheitsprotokolle mindestens 24-48 Stunden.

Wenn all diese Schritte befolgt werden, wird Ihr Ansatz für sichere Dateiuploads in WordPress zu einem kontrollierten, nachvollziehbaren und nachhaltigen Medienverwaltungsprozess.

Häufige Fehler

Die meisten Fehler beim Aktivieren von SVG- und WEBP-Rechten resultieren aus einer falschen Balance zwischen Sicherheit und Benutzerfreundlichkeit. Der häufigste Fehler besteht darin, einen kurzen Code aus dem Internet in die functions.php-Datei einzufügen und die Angelegenheit damit für erledigt zu halten. Dies ist insbesondere für SVG nicht ausreichend.

• Das Erlauben von Uploads ohne SVG-Sanitärmaßnahmen.
• Das Gewähren von Medien-Upload- und SVG-Rechten an alle Benutzerrollen.
• Die Verwendung von veralteten, nicht aktualisierten MIME-Plugins.
• Änderungen an den Theme-Dateien auf der Live-Website ohne Backup vorzunehmen.
• Die Ausführung ausführbarer Dateien im Uploads-Verzeichnis auf der Serverseite nicht zu blockieren.
• Zu versuchen, den WEBP-Fehler mit einem Plugin zu beheben, ohne den tatsächlichen Server-Support zu überprüfen.
• Die Sicherheitsprotokolle nach dem Datei-Upload nicht zu überwachen.

Einfluss auf SEO und Benutzererfahrung

Eine korrekt konfigurierte Verwendung von SVG und WEBP leistet einen indirekten, aber starken Beitrag zur SEO. WEBP-Dateien können die Seitenladegröße reduzieren, wodurch der Largest Contentful Paint-Wert verbessert wird. SVG bietet hingegen klarere Bilder für Icons und Logos, was die Qualität der Benutzeroberfläche erhöht. Eine Datei-Upload-Politik, die Sicherheitslücken verursacht, kann jedoch die SEO-Gewinne schnell gefährden. Eine mit Malware infizierte Website kann Warnungen in Suchmaschinen erhalten, das Vertrauen der Benutzer verlieren und einen Rückgang des organischen Traffics erleben.

Aus diesem Grund erzielt man die besten Ergebnisse, wenn man Leistung und Sicherheit gemeinsam betrachtet. Optimieren Sie Bilder, halten Sie unnötige Dateitypen geschlossen, gewähren Sie nur die benötigten Formate und führen Sie regelmäßige Wartungen durch. Für die Wartungsprozesse in WordPress können Sie die Inhalte WordPress Sicherheits-Guide und Website Wartung ebenfalls überprüfen.

Fazit

Beim Aktivieren sicherer Dateiuploads in Ihrer WordPress-Website ist das Ziel, die Vorteile moderner Formate wie SVG und WEBP zu nutzen, ohne die Website unnötigen Risiken auszusetzen. WEBP kann in den meisten Websites sicher für die Leistung verwendet werden; SVG hingegen muss unbedingt mit Sanitärmaßnahmen, Rollenbeschränkungen und serverseitigen Maßnahmen behandelt werden. Anstatt nur MIME-Rechte hinzuzufügen, ist es der richtige Ansatz, einen ganzheitlichen Prozess zu verfolgen, der Backup, Tests, Berechtigungen und Überwachung umfasst.

Wenn Sie eine sichere, schnelle und aktuelle WordPress-Erfahrung mit der Infrastruktur von Hostragons planen, können Sie die Lösungen für WordPress Hosting prüfen und die Hosting-, Domain- und SSL-Konfigurationen ohne Verkaufsdruck vergleichen.

Häufig gestellte Fragen

Warum erlaubt WordPress standardmäßig keinen SVG-Upload?

SVG-Dateien sind XML-basiert und können JavaScript, externe Links oder schädlichen Code enthalten. Daher blockiert WordPress standardmäßig den Upload von SVG, um Sicherheitsrisiken wie XSS zu reduzieren.

Wenn ich keine WEBP-Datei hochladen kann, liegt das an WordPress oder am Server?

WordPress ab Version 5.8 bietet Unterstützung für WEBP; jedoch können Sie Fehler erhalten, wenn die PHP-, GD- oder Imagick-Konfiguration auf dem Server WEBP nicht unterstützt. Zuerst sollten Sie die WordPress-Version und dann die Unterstützung des Servers für die Bildbearbeitung überprüfen.

Ist es sicher, die SVG-Upload-Berechtigung über functions.php zu aktivieren?

Alleine ist es nicht sicher. Das Hinzufügen von MIME-Rechten über functions.php hebt lediglich die Upload-Sperre auf, reinigt jedoch nicht den SVG-Inhalt. Für eine sichere Verwendung sind Sanitärmaßnahmen, Rollenbeschränkungen und serverseitiger Schutz erforderlich.

Wem sollte ich die SVG-Upload-Berechtigung gewähren?

Der sicherste Ansatz ist, die SVG-Upload-Berechtigung nur der Administratorrolle oder speziell festgelegten vertrauenswürdigen Redakteuren zu gewähren. In Multi-Autor-Webseiten kann die Gewährung von SVG-Rechten an alle Benutzer ein ernsthaftes Sicherheitsrisiko darstellen.

Verbessert die Verwendung von WEBP die SEO-Performance?

WEBP kann die Seitenladegeschwindigkeit durch kleinere Dateigrößen verbessern. Bessere Geschwindigkeit und Benutzererfahrung tragen positiv zu den Core Web Vitals-Metriken bei und unterstützen indirekt die SEO-Performance.