Zugriff auf sensible Dateien in WordPress entfernen

Nach der Installation von WordPress sind Dateien übrig, die keinen weiteren Nutzen für den User oder Webseitenbetreiber haben. Theoretisch bergen sie sogar die Gefahr zu viele Informationen preis zu geben und es Hackern leichter zu machen, als nötig. Wie man damit umgehen sollte…

Welche Dateien sollten in WordPress gelöscht werden

Im Wurzelverzeichnis der WordPress-Installation befinden sich zum Beispiel Readme-Dateien, die Versionsnummern verraten. Ebenso in den Verzeichnissen von Plugins. Diese sollten entfernt werden.

Oder aber auch die wp-config-sample.php, in der leider der ein oder andere richtige Verbindungsdaten einträgt und dann liegen lässt. Im Ordner wp-admin liegt die install.php, diese sollte auf jeden Fall entfernt werden.

Alternative: Zugriff auf bestimmte Dateien per .htaccess verbieten

Da es recht anstrengend ist, nach jedem Update irgendwelche Liesmich-Dateien oder Installationsdateien zu entfernen, lässt sich das Problem auch eleganter lösen. Man trägt folgende Befehle in der .htaccess-Datei im Wurzelverzeichnis der WordPress-Installation ein:

Options All -Indexes
<files readme.html>
Order allow,deny
Deny from all
</files>
<files .htaccess>
order allow,deny
deny from all
</files>
<files *.sql>
order allow,deny
deny from all
</files>
<files liesmich.html>
Order allow,deny
Deny from all
</files>
<files *.txt>
Order allow,deny
Deny from all
</files>
<files license.txt>
Order allow,deny
Deny from all
</files>
<files install.php>
Order allow,deny
Deny from all
</files>
<files wp-config.php>
Order allow,deny
Deny from all
</files>
<files wp-config-sample.php>
Order allow,deny
Deny from all
</files>
<files robots.txt>
Order allow,deny
Allow from all
</files>

Damit wird der Zugriff auf diese Dateien verhindert. Einfacher geht es nicht. Achtung: Der letzte Befehl erlaubt wiederrum den Zugriff auf die wichtige robots.txt.