Benutzernamen sichtbar

Warum es wichtig ist

Wenn der Benutzername bekannt ist, muss ein Eindringling nur noch das Passwort erraten. Mit einem schwachen oder wiederverwendeten Passwort geht das schnell. Das ist eines der ersten Dinge, die Bots bei einer WordPress-Website ausprobieren.

Wie Snaglist es prüft

Das ist Teil der Sicherheitsprüfung, eine separate Überprüfung neben dem Crawl, in Studio und Bureau, und nur auf einer verifizierten Website. Snaglist prüft nur, was jeder Besucher von außen sehen kann. Es loggt sich nie ein, rät keine Passwörter und führt keine Angriffe aus. Es fragt die öffentliche Benutzerliste der WordPress REST API und die Adresse ?author=1 ab, so wie es jeder Besucher kann. Gefundene Namen werden teilweise maskiert angezeigt.

Häufige Ursachen

• WordPress öffnet die Benutzerliste in der REST API standardmäßig
• Autorenseiten, die den Login-Namen in der Adresse anzeigen
• Kein Sicherheits-Plugin, das das unterbindet

So behebst du es

1. Schließe die Benutzerliste in der REST API mit einem Sicherheits-Plugin oder einer Zeile im Theme.
2. Leite ?author= auf die Startseite um.
3. Aktiviere die Zwei-Faktor-Authentifizierung für jeden Administrator.
4. Führe die Sicherheitsprüfung erneut aus, um es zu bestätigen.

So wird es im Bericht dargestellt

Im Bericht für deinen Kunden erscheint das unter der Überschrift „Jeder kann sehen, welche Logins verwendet werden“. Wenn alles in Ordnung ist, steht im Bericht: „Die Website verrät keine Benutzernamen“.