Sicherheit der WordPress-Ordnerstruktur: Zugriff auf den "wp-includes"-Ordner sperren

Sicherheit der WordPress-Ordnerstruktur: Der sicherste Weg, um den direkten Zugriff auf den "wp-includes"-Ordner zu sperren, besteht darin, die Ausführung von PHP-Dateien von außen zu verhindern und die Verzeichnisauflistung abzuschalten, anstatt den gesamten Ordner blind zu blockieren. Der "wp-includes"-Ordner enthält die notwendigen JavaScript-, CSS- und einige statische Dateien, die für den Betrieb des WordPress-Kerns erforderlich sind; das vollständige Sperren des Ordners kann das Design der Seite, den Editor oder die Funktionalität von Plugins beeinträchtigen. Der richtige Ansatz besteht darin, den direkten PHP-Zugriff mit .htaccess-Regeln zu sperren, wenn Sie Apache verwenden, oder mit der Location-Regel innerhalb des Serverblocks, wenn Sie Nginx verwenden, und dann die Website mit 403/404-Antworten und kritischen Seiten-Tests zu validieren.

Ein häufiger Fehler bei der Sicherheit von WordPress besteht darin, sich nur auf ein starkes Passwort oder ein Sicherheits-Plugin zu verlassen. Angreifer scannen häufig nach Verzeichnissen mit Kern-Dateien, veralteten Plugins, falschen Datei-Berechtigungen und offener Verzeichnisauflistung. Der "wp-includes"-Ordner ist eines der Ziele dieser Scans. In diesem Leitfaden finden Sie umsetzbare Schritte, um den Zugriff auf "wp-includes" in realen Hosting-Umgebungen zu beschränken, welche Regeln die Website stören könnten, Beispielkonfigurationen für Apache und Nginx, Testmethoden und eine Wartungskontrollliste. Sie können auch die Optionen für WordPress-Hosting und SSL-Zertifikat zur allgemeinen Schutzschicht in Betracht ziehen, um Ihre WordPress-Website in einer sichereren Infrastruktur zu betreiben.

Was ist der wp-includes-Ordner und warum sollte er geschützt werden?

Der "wp-includes"-Ordner ist eines der Hauptverzeichnisse, das die grundlegenden Bibliotheken des WordPress-Kerns enthält. Das Themasystem, der Block-Editor, REST-API-Komponenten, Medienverarbeitung, Klassen, Funktionen und verschiedene JavaScript-Dateien sind in dieser Struktur enthalten. Einfach ausgedrückt ist "wp-includes" einer der Motoren von WordPress; es handelt sich nicht um ein Inhaltsfeld, das von Benutzern direkt besucht werden sollte.

Ein normaler Besucher muss keine Adresse wie site.com/wp-includes/ öffnen. Allerdings können einige statische Ressourcen, die sich im "wp-includes"-Verzeichnis befinden, im Quellcode der Seite sichtbar sein. Beispielsweise können die Standard-Skripte von WordPress, Emoji-Skripte oder Editor-Komponenten von diesem Verzeichnis geladen werden. Daher ist es wichtig, beim Sicherheitsmanagement das Ziel korrekt zu definieren: den direkten Webzugriff auf PHP-Dateien zu sperren, ohne die Ausführung statischer Dateien zu blockieren.

Diese Unterscheidung ist das Herzstück eines professionellen Ansatzes zur Sicherheit der WordPress-Ordnerstruktur. Das wahllose Sperren von Ordnern mag kurzfristig sicher erscheinen, kann jedoch auf einer Live-Website zu Problemen wie einer weißen Seite, einem defekten Admin-Dashboard, einem nicht funktionierenden Block-Editor oder fehlerhaften Designansichten führen. Das Ziel ist es, die Angriffsfläche zu verringern, indem die benötigten Dateien von WordPress geschützt werden.

Was bringt das Sperren des Zugriffs auf wp-includes?

Das Verhindern der direkten Ausführung von PHP im "wp-includes"-Ordner stoppt nicht alle Angriffe, reduziert jedoch die Angriffsfläche erheblich. Besonders bei mit Malware infizierten Websites versuchen Angreifer, schädliche PHP-Dateien in zugängliche Verzeichnisse hochzuladen oder vorhandene Dateien aufzurufen. Das Verbot der direkten Ausführung von PHP-Dateien im "wp-includes"-Verzeichnis schafft in diesem Szenario eine zusätzliche Barriere.

Diese Maßnahme bietet folgende Vorteile:

• Begrenzt den direkten Aufruf von Kern-PHP-Dateien über die URL.
• Hilft, die Sichtbarkeit des Inhalts des Verzeichnisses zu verhindern, wenn die Verzeichnisauflistung aktiviert ist.
• Reduziert unnötige Informationslecks gegenüber automatischen Bot-Scans.
• Bietet auch ohne Sicherheits-Plugin Schutz auf Serverebene.
• Stärkt die Schichtensicherheit in Kombination mit WAF, SSL, aktueller PHP-Version und Datei-Berechtigungen.

Wichtig ist, dass dieser Prozess eine Sicherheitsschicht darstellt. Wenn veraltete Plugins, schwache Administratorpasswörter oder kompromittierte FTP-Konten vorhanden sind, reicht die Regel für "wp-includes" allein nicht aus. Sicherheit ist eine Kombination aus Hosting-Infrastruktur, Anwendung, Benutzerverwaltung und regelmäßiger Wartung. Für eine sichere Grundlage können Sie auf Sicheres Webhosting und Domainsicherheit verlinken.

Die häufigsten Fehler beim Sperren von wp-includes

Den gesamten Ordner sperren

Ein häufiger Fehler besteht darin, alle HTTP-Anfragen an den "wp-includes"-Ordner mit 403 zu blockieren. Diese Methode scheint auf den ersten Blick sinnvoll zu sein; da WordPress jedoch einige statische Ressourcen aus diesem Verzeichnis lädt, können unerwartete Probleme auftreten. Beispielsweise könnte der Block-Editor nicht geöffnet werden, einige JavaScript-Dateien könnten nicht geladen werden oder es könnten kleine, aber kritische Designfehler auf der Frontend-Seite auftreten.

Die Regel ohne Tests live zu setzen

Ein einziger Zeichenfehler in der .htaccess- oder Nginx-Konfiguration kann einen 500 Internal Server Error verursachen. Besonders bei Websites mit hohem Traffic ist es riskant, die Regel direkt live zu setzen. Es sollte zuerst eine Sicherung der Datei erstellt werden, wenn möglich in einer Staging-Umgebung getestet werden und dann kontrolliert in die Live-Umgebung übergegangen werden. Wenn in der Hostragons-Infrastruktur Staging- oder Backup-Optionen verwendet werden, kann Web Hosting Backup als natürliche interne Verlinkung hinzugefügt werden.

Vollständig auf ein Sicherheits-Plugin vertrauen

Sicherheits-Plugins sind nützlich, aber serverseitige Regeln greifen früher. Wenn eine Anfrage von Apache oder Nginx blockiert wird, bevor sie PHP erreicht, wird auch der Ressourcenverbrauch reduziert. Daher sollten grundlegende Serverregeln nicht ignoriert werden, selbst wenn ein Plugin verwendet wird.

Checkliste vor der Umsetzung

Eine kurze Vorbereitung vor der Einschränkung des Zugriffs auf "wp-includes" kann das Risiko von Ausfällen erheblich reduzieren. Die folgende Checkliste wird insbesondere für Live-WordPress-Websites empfohlen:

• Sichern Sie die aktuelle .htaccess- oder Nginx-Konfiguration.
• Aktualisieren Sie den WordPress-Kern, die Themes und die Plugins.
• Stellen Sie sicher, dass Ihre PHP-Version eine unterstützte und sichere Version ist.
• Überprüfen Sie die Datei-Berechtigungen: Verzeichnisse sollten in der Regel 755 und Dateien 644 haben.
• Halten Sie die Schreibberechtigungen für kritische Dateien wie wp-config.php und .htaccess nicht unnötig offen.
• Wenn Sie Caching, CDN oder ein Sicherheits-Plugin verwenden, planen Sie die Cache-Leerung nach der Änderung ein.
• Erstellen Sie eine Liste von kritischen Bereichen wie Admin-Panel, Startseite, Beitragsseite, Kontaktformular und Zahlungsseite, die getestet werden sollen.

Diese Vorbereitungen dauern etwa 10-15 Minuten; jedoch verhindert sie Ausfälle, die durch falsche Regeln Stunden in Anspruch nehmen können. Bei Unternehmenswebsites ist es sicherer, die Änderungen zu Zeiten mit niedrigem Traffic vorzunehmen.

Den Zugriff auf wp-includes mit .htaccess auf Apache-Servern sperren

Die gängigste Methode in Shared Hosting-Umgebungen, die Apache verwenden, ist die .htaccess-Datei. Die richtigen Regeln, die in die .htaccess-Datei im Hauptverzeichnis von WordPress eingefügt werden, können bestimmte PHP-Aufrufe im "wp-includes"-Verzeichnis blockieren. Bevor Sie beginnen, laden Sie eine Kopie der Datei auf Ihren Computer herunter oder erstellen Sie ein Backup über den Dateimanager im Hosting-Panel.

Empfohlene .htaccess-Regel

Der folgende Ansatz konzentriert sich darauf, den direkten PHP-Zugriff im "wp-includes"-Verzeichnis zu blockieren und die Ausführung statischer Dateien zu bewahren:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/.*[.]php$ - [F,L]
</IfModule>

Die Logik dieser Regel ist einfach: Wenn die URL mit "wp-includes" beginnt und mit ".php" endet, wird die Anfrage blockiert. So können PHP-Dateien im "wp-includes"-Verzeichnis nicht vom Browser aufgerufen werden. Im Gegenzug bleibt der Zugriff auf statische Dateien wie .js, .css, .png, .svg erhalten. Dies ist ein sicherer Ausgleich für die Frontend- und Admin-Oberfläche von WordPress.

Verzeichnisauflistung deaktivieren

Eine weitere kritische Einstellung besteht darin, die Verzeichnisauflistung zu deaktivieren. Wenn die Verzeichnisauflistung auf dem Server aktiviert ist, können Benutzer den Inhalt bestimmter Ordner sehen. Das Hinzufügen der folgenden Zeile zu Ihrer Haupt-.htaccess-Datei ist in der Regel ausreichend:

Options -Indexes

Diese Zeile verhindert, dass die Dateiliste in Ordnern ohne Indexdatei sichtbar ist. In modernen Hosting-Umgebungen ist dies oft standardmäßig deaktiviert; dennoch ist es eine gute Sicherheitspraktik, dies zu überprüfen.

Tests nach der Änderung

Führen Sie nach dem Hinzufügen der Regel die folgenden Tests durch:

• Öffnen Sie die Adresse siteadresse.com/wp-includes/; die Verzeichnisauflistung sollte nicht sichtbar sein.
• Versuchen Sie, eine bekannte PHP-Datei im "wp-includes"-Verzeichnis direkt aufzurufen; Sie sollten 403 oder 404 erhalten.
• Überprüfen Sie die Startseite, den Blog-Beitrag und das Admin-Panel.
• Überprüfen Sie in den Entwicklertools des Browsers in den Tabs "Konsole" und "Netzwerk", ob es 404/403-Fehlerquellen gibt.
• Leeren Sie den Cache, wenn Sie ein Cache-Plugin oder CDN verwenden.

Wenn alle Tests erfolgreich sind, kann die Regel sicher in der Produktionsumgebung belassen werden. Wenn Sie einen 500-Fehler erhalten, ist die schnellste Lösung, die hinzugefügten Zeilen zu entfernen und die Backup-.htaccess-Datei wiederherzustellen.

Den Zugriff auf wp-includes auf Nginx-Servern sperren

In VPS-, dedizierten oder verwalteten Serverumgebungen, die Nginx verwenden, funktioniert .htaccess nicht. Die Regel muss in die Nginx-Website-Konfigurationsdatei, normalerweise innerhalb des Serverblocks, eingefügt werden. Für diesen Vorgang sind SSH-Zugriff und Berechtigungen zum Bearbeiten der Konfigurationsdateien erforderlich. Wenn Sie sich unsicher sind, ist es sicherer, Unterstützung vom Hosting-Support-Team zu erhalten.

Empfohlene Nginx-Location-Regel

Die grundlegende Regel kann mit folgender Logik angewandt werden:

location ~* ^/wp-includes/.*[.]php$ {
deny all;
}

Diese Regel blockiert Anfragen an PHP-Dateien im "wp-includes"-Verzeichnis. Nach der Änderung ist es wichtig, die Konfiguration zu testen:

nginx -t

Wenn der Test erfolgreich ist, wird Nginx neu geladen:

systemctl reload nginx

Hier ist der Reload-Befehl kontrollierter als der Restart-Befehl; er erneuert die Konfiguration, ohne die aktiven Verbindungen vollständig abzubrechen. Dennoch wird empfohlen, Änderungen auf kritischen Websites zu Zeiten mit niedrigem Traffic vorzunehmen.

Worauf man bei der Verwendung von Nginx achten sollte

• Stellen Sie sicher, dass Sie die Regel im richtigen Serverblock eingefügt haben; es können mehrere Websites auf demselben Server sein.
• Wenn Sie CDN oder einen Reverse Proxy verwenden, führen Sie die Tests erst nach dem Leeren des CDN-Caches durch.
• Stellen Sie sicher, dass die PHP-FPM-Konfiguration nur die erforderlichen Dateien verarbeitet.
• Überprüfen Sie die Logdateien: access.log und error.log zeigen fehlerhafte Regeln schnell an.

Eine falsche Location-Reihenfolge in der Nginx-Umgebung kann zu unerwarteten Ergebnissen führen. Stellen Sie daher sicher, dass die Regel nicht mit WordPress-Permalinks und PHP-Verarbeitungsblöcken in Konflikt steht.

Vergleich der Methoden

Die folgende Tabelle fasst die wichtigsten Methoden zur Einschränkung des Zugriffs auf "wp-includes" zusammen:

In der Praxis ergeben sich die besten Ergebnisse aus der gemeinsamen Anwendung dieser Methoden. Beispielsweise entsteht in einer Apache-Hosting-Umgebung eine mehrschichtige Verteidigung, wenn die .htaccess-Regel, die richtigen Dateiberechtigungen, der aktuelle WordPress-Kern, SSL und regelmäßige Backups zusammenkommen. Da auch eine Firewall und Isolation in der Hosting-Infrastruktur wichtig sind, ist die Wahl von Geschäftliches Hosting bei kritischen Websites entscheidend.

Dateiberechtigungen und Eigentumseinstellungen

Das Sperren des Zugriffs auf "wp-includes" bleibt unvollständig, wenn die Datei-Berechtigungen falsch sind. In WordPress sind allgemein akzeptierte Berechtigungen für Verzeichnisse 755 und für Dateien 644. Diese Werte erlauben es dem Webserver, die Dateien zu lesen, während unnötige Schreibberechtigungen reduziert werden. In einigen speziellen Hosting-Umgebungen kann es unterschiedliche Benutzer- und Gruppeneinstellungen geben; daher sollten Sie auch die Empfehlungen Ihres Panels berücksichtigen.

Insbesondere die Berechtigung 777 stellt ein ernsthaftes Sicherheitsrisiko dar. Wenn jeder in ein Verzeichnis schreiben kann, erleichtert dies Szenarien zum Hochladen schädlicher Dateien. Selbst in Verzeichnissen wie "wp-content/uploads", die beschreibbar sein sollten, sollte die Ausführung von PHP verhindert werden. Der "wp-includes"-Ordner sollte unter normalen Umständen vom Benutzer nicht beschreibbar sein, außer bei WordPress-Updates.

Bei einer Sicherheitsüberprüfung können folgende Werte kontrolliert werden:

• wp-includes-Ordner: in der Regel 755
• PHP-Dateien im wp-includes: in der Regel 644
• wp-config.php: wenn möglich 600 oder eine restriktivere Berechtigung, die zur Hosting-Struktur passt
• .htaccess: in der Regel 644, nach der Bearbeitung ohne unnötige Schreibberechtigungen

Diese Einstellungen können sich auf jedem Server unterschiedlich verhalten. Falsche Berechtigungen können dazu führen, dass die Website keine Updates durchführen oder Dateien nicht lesen kann. Nach Änderungen sollten die WordPress-Gesundheitsüberprüfungen und Fehlerprotokolle überprüft werden.

Erledigt das ein Sicherheits-Plugin?

Sicherheits-Plugins wie Wordfence oder iThemes Security können einige Hardening-Regeln automatisch vorschlagen. Diese Plugins sind in Bereichen wie Brute-Force-Schutz, Dateiveränderungsüberwachung, Malware-Scans und Anmeldesicherheit nützlich. Es ist jedoch wichtig zu überprüfen, was das Plugin tatsächlich zur Sperrung des Zugriffs auf "wp-includes" tut.

Einige Plugins fügen automatisch Regeln zur .htaccess-Datei hinzu. Andere bieten nur Schutz auf Anwendungsebene. Der Schutz auf Anwendungsebene wird erst aktiv, nachdem die Anfrage WordPress erreicht hat, und ist daher nicht so früh wie die serverseitige Blockade. Daher besteht der professionelle Ansatz darin, das Plugin und die Serverkonfiguration gemeinsam zu bewerten.

Wenn Sie ein Sicherheits-Plugin verwenden, überprüfen Sie Folgendes:

• Ob das Plugin eine .htaccess- oder Nginx-Regel hinzufügt.
• Ob zwei verschiedene Regeln, die dasselbe tun, nicht in Konflikt geraten.
• Ob die Sicherheitseinstellungen nach einem Plugin-Update unverändert geblieben sind.
• Überwachen Sie die Cache- und Serverressourcennutzung, um die Leistungsauswirkungen zu messen.

Die gleichzeitige Verwendung mehrerer Sicherheits-Plugins ist oft keine gute Idee. Konfliktierende Firewall-, Anmelde- und Rewrite-Regeln können die Leistung beeinträchtigen oder zu falschen Blockierungen führen.

Testen des Schutzes von wp-includes: Praktisches Szenario

Um zu verstehen, ob die Implementierung erfolgreich war, reicht es nicht aus, nur zu überprüfen, ob die Website geladen wird. Der folgende 7-Schritte-Praktik-Test kann in den meisten WordPress-Installationen, von kleinen Unternehmenswebsites bis hin zu E-Commerce-Projekten, angewendet werden:

• 1. Öffnen Sie die Startseite in einem Inkognito-Tab und überprüfen Sie, ob es visuelle Verzerrungen gibt.
• 2. Besuchen Sie einen Blogbeitrag, eine Kategorieseite und eine Suchergebnisseite.
• 3. Melden Sie sich im wp-admin-Panel an; öffnen Sie den Block-Editor und die Mediathek.
• 4. Überprüfen Sie den Console-Tab in den Entwicklertools des Browsers.
• 5. Bestätigen Sie im Netzwerk-Tab, dass statische Dateien im "wp-includes"-Verzeichnis nicht unnötig blockiert werden.
• 6. Versuchen Sie, eine PHP-Datei im "wp-includes"-Verzeichnis direkt aufzurufen; erwarten Sie eine 403- oder 404-Antwort.
• 7. Überprüfen Sie die Server-Fehlerprotokolle auf neue und wiederkehrende Fehler.

Dieser Test dauert etwa 5 Minuten und erkennt falsche Konfigurationen schnell. Besonders auf Websites mit Zahlungsprozessen wie WooCommerce sollten auch die Seiten für den Warenkorb, die Zahlung und das Benutzerkonto zusätzlich getestet werden. Selbst eine kleine JavaScript-Blockade kann auf live Einnahmen erzeugenden Websites die Konversionsrate beeinflussen.

Zusätzliche Maßnahmen zur Sicherheit der WordPress-Ordnerstruktur

Der Schutz von "wp-includes" ist ein guter Anfang, aber die Sicherheit von WordPress muss ganzheitlich betrachtet werden. Die folgenden zusätzlichen Maßnahmen verringern die Angriffsfläche weiter:

• Halten Sie den Kern aktuell, anstatt zu versuchen, die WordPress-Version zu verbergen.
• Löschen Sie nicht verwendete Themes und Plugins vollständig.
• Gestalten Sie den Admin-Benutzernamen schwer erratbar.
• Verwenden Sie die Zwei-Faktor-Authentifizierung.
• Wenn Sie XML-RPC nicht verwenden, schränken Sie den Zugriff darauf ein.
• Wenden Sie eine Ratenbegrenzung oder zusätzliche Authentifizierung für wp-login.php an.
• Führen Sie automatische Backups durch und testen Sie die Wiederherstellung regelmäßig.
• Verwenden Sie HTTPS auf der gesamten Website; ohne SSL sind Anmeldedaten gefährdet.

SSL schließt den Zugriff auf "wp-includes" nicht direkt aus; bietet jedoch grundlegende Sicherheit für Benutzer-Sessionen, Formulardaten und den Verkehr im Admin-Panel. Daher ist SSL in den Sicherheitsleitfäden für WordPress immer eine der ersten Schichten. An dieser Stelle können die Links SSL-Zertifikat kaufen und Installation von kostenlosem SSL natürlich im Inhalt platziert werden.

Wann sollten Sie professionelle Unterstützung in Anspruch nehmen?

Das Hinzufügen einer .htaccess-Regel auf einem einfachen Apache-Hosting ist für die meisten Benutzer eine handhabbare Aufgabe. Wenn jedoch eine spezielle Nginx-Konfiguration, ein Multi-Site-Netzwerk, ein WooCommerce-Shop, eine stark frequentierte Nachrichten-Website oder ein Unternehmensportal vorliegt, kann es sinnvoller sein, professionelle Unterstützung in Anspruch zu nehmen. Denn die Sicherheitsregel muss nicht nur technisch korrekt, sondern auch sicher für die Geschäftskontinuität umgesetzt werden.

In folgenden Fällen wird Expertenhilfe empfohlen:

• Wenn Sie mehrere WordPress-Websites auf einem Server hosten.
• Wenn Nginx, Varnish, CDN und WAF zusammen verwendet werden.
• Wenn nach den letzten Änderungen 403-, 404- oder 500-Fehler zunehmen.
• Wenn die Website zuvor mit Malware infiziert war.
• Wenn Sie ein System betreiben, das Zahlungen, Mitgliedschaften oder persönliche Daten verarbeitet.

Eine sichere Hosting-Infrastruktur, die richtige Isolation, regelmäßige Backups und Expertenhilfe sind unsichtbare, aber kritische Teile der Sicherheit von WordPress. Bei der Auswahl der Infrastruktur sollten nicht nur der Speicherplatz, sondern auch Backup, Firewall, PHP-Versionen, SSL-Verwaltung und die Qualität des technischen Supports berücksichtigt werden. In diesem Zusammenhang können die Inhalte Hostragons Hosting-Pakete und Migration von WordPress Seiten für die Leser nützlich sein.

Fazit

Die richtige Methode zum Sperren des Zugriffs auf den "wp-includes"-Ordner im Rahmen der Sicherheit der WordPress-Ordnerstruktur besteht nicht darin, den gesamten Ordner zu blockieren, sondern den direkten Webzugriff auf die PHP-Dateien im "wp-includes"-Ordner zu sperren und die Verzeichnisauflistung zu deaktivieren. Diese Maßnahmen können schnell mit .htaccess für Apache und mit Location-Regeln für Nginx umgesetzt werden. Vor jeder Änderung sollte jedoch ein Backup gemacht und anschließend Admin-Panel- und Frontend-Tests durchgeführt werden.

Zusammenfassend: Statische Dateien nicht stören, PHP-Zugriffe einschränken, Verzeichnisauflistung deaktivieren, Datei-Berechtigungen überprüfen und regelmäßige Updates durchführen. Für eine sicherere und besser verwaltbare WordPress-Infrastruktur können Sie die Hosting-, Domain- und SSL-Lösungen von Hostragons überprüfen und Unterstützung für die für Ihre Bedürfnisse passende Konfiguration anfordern.

Häufig gestellte Fragen

Ist es sicher, den wp-includes-Ordner vollständig zu sperren?

Im Allgemeinen wird dies nicht empfohlen. Im "wp-includes"-Ordner können JavaScript-, CSS- und statische Dateien vorhanden sein, die WordPress benötigt. Die vollständige Sperrung kann das Erscheinungsbild der Website oder das Admin-Panel beeinträchtigen. Der sicherere Ansatz besteht darin, den direkten Zugriff auf die PHP-Dateien in diesem Ordner zu sperren.

Was soll ich tun, wenn ich nach dem Hinzufügen der .htaccess-Regel einen 500-Fehler erhalte?

Entfernen Sie zuerst die zuletzt hinzugefügten Regeln oder stellen Sie die Backup-.htaccess-Datei wieder her. Überprüfen Sie dann die Regel auf Syntaxfehler. Wenn der Fehler weiterhin besteht, überprüfen Sie die Hosting-Fehlerprotokolle oder holen Sie sich Hilfe vom technischen Support.

Funktioniert .htaccess auf einem Nginx-Server?

Nein. .htaccess wird in Apache- und LiteSpeed-Umgebungen verwendet. In Nginx-Servern werden ähnliche Einschränkungen mit Location-Regeln innerhalb des Serverblocks vorgenommen, und die Konfiguration sollte nach der Änderung mit nginx -t getestet werden.

Machtt dieser Prozess meine WordPress-Website völlig sicher?

Nein. Das Sperren des Zugriffs auf "wp-includes" ist eine wichtige Sicherheitsschicht, reicht aber allein nicht aus. Updates, starke Passwörter, Zwei-Faktor-Authentifizierung, SSL, Backups, Firewalls und richtige Datei-Berechtigungen sollten gemeinsam angewendet werden.

Sollte ich zusätzlich zur Verwendung eines Sicherheits-Plugins eine Regel für wp-includes hinzufügen?

Das hängt davon ab, welche Regeln das Plugin anwendet. Einige Plugins fügen eine .htaccess-Regel hinzu, andere bieten nur Schutz auf Anwendungsebene. Das Einschränken des PHP-Zugriffs auf Serverebene, ohne Konflikte zu verursachen, ist in der Regel eine stärkere Lösung.