Zu viele E-Mails vom WordPress-Sicherheitsplugin? So sieht eine brauchbare Warnung aus

Wenn Ihr Sicherheitsplugin Ihnen mehrere E-Mails am Tag schickt, lesen Sie sie vermutlich nicht mehr. Das ist der eigentliche Preis zu vieler Warnungen: Die Nachricht über ein neues Administratorkonto kommt zwischen zwanzig Sperrmeldungen an und wird mit ihnen gelöscht. Das Plugin sollte seltener schreiben und dann mehr sagen, und das meiste davon ist eine Frage der Einstellungen.

Warum Sicherheitsplugins so viel schicken

Der größte Teil der Menge kommt von wenigen Gewohnheiten:

• Eine E-Mail pro Ereignis. Jede blockierte Anmeldung, jede Sperre, jedes Plugin-Update und jede geänderte Datei ist eine eigene Nachricht. Jede Website im Internet bekommt täglich Anmeldeversuche von Bots, und allein das kann Dutzende E-Mails bedeuten.
• Dasselbe Problem immer wieder. Ein veraltetes Plugin, das Sie diese Woche nicht aktualisieren können, wird nach jedem Scan erneut gemeldet.
• Schwache Signale als Befunde. Code, der base64 dekodiert oder eval aufruft, steckt in vielen seriösen Plugins. Ein Scanner, der jedes Vorkommen meldet, macht aus dem normalen Code der Website eine Liste von Verdächtigen.
• Ausfälle als Probleme gemeldet. Wenn der Scanner WordPress.org nicht erreicht, um Prüfsummen zu holen, melden manche Tools jede Datei als ungeprüft, und der nächste Scan „behebt“ sie alle wieder.

Eine fehlgeschlagene Anmeldung eines Bots ist keine Neuigkeit. Sperren zufälliger Benutzernamen sind Grundrauschen, das jede Website im Internet hat, und die Sperre hat ihre Arbeit bereits getan.

So sieht eine brauchbare Warnung aus

Nehmen Sie Ihre letzten Warnungen und prüfen Sie jede gegen diese Liste:

1. Sie betrifft etwas Neues oder etwas, das schlimmer geworden ist. Ein Problem, das Sie schon kennen, braucht keine zweite E-Mail.
2. Sie sagt, was, wo und wie ernst. Die Datei, das Plugin oder das Konto, und ein Schweregrad, der Ihnen sagt, ob es heute erledigt werden muss.
3. Sie sagt, was zu tun ist. Ein oder zwei Schritte, oder an wen Sie sie weiterleiten.
4. Sie sagt, wie sicher sie ist. „In dieser Datei wurde Schadcode erkannt“ und „diese Datei ist ungewöhnlich, fragen Sie jemanden, der die Website kennt“ sind verschiedene Nachrichten und sollten verschieden aussehen.
5. Sie verlinkt auf die Seite, auf der Sie handeln.
6. Sie kommt gebündelt. Eine E-Mail pro Scan, die alles Neue auflistet, ist besser als zehn E-Mails aus demselben Scan.

Wenn Sie innerhalb einer Minute nach dem Öffnen wissen, was zu tun ist, funktioniert die Warnung. Wenn Sie sich erst anmelden müssen, um herauszufinden, ob sie überhaupt wichtig ist, ist sie Rauschen.

Was sofort eine E-Mail verdient

Nur wenige Ereignisse brauchen sofort eine Nachricht, weil das Warten auf den nächsten Scan etwas kostet:

• ein Konto ist Administrator geworden,
• fehlgeschlagene Anmeldungen sperren das Konto eines Administrators, das heißt, jemand zielt auf genau dieses Konto,
• ein Scan hat Schadsoftware oder veränderte WordPress-Dateien gefunden, mit klaren Belegen.

Der Rest kann auf die E-Mail nach einem geplanten Scan oder auf eine Wochenzusammenfassung warten: verfügbare Updates, Hinweise mit geringem Schweregrad, Sperren von Benutzernamen, die es auf der Website gar nicht gibt.

So stellen Sie jedes Sicherheitsplugin ein

Diese Schritte funktionieren unabhängig davon, welches Plugin Sie nutzen.

1. Eine Woche lang zählen. Legen Sie für die E-Mails des Plugins einen Ordner oder ein Label an und sehen Sie, was wie oft ankommt. Notieren Sie, welche E-Mails tatsächlich dazu geführt haben, dass Sie etwas getan haben.
2. Die Schwelle anheben. Die meisten Plugins haben einen Mindestschweregrad für E-Mails. Beginnen Sie mit ernsten Problemen und senken Sie die Schwelle, wenn die Liste offener Probleme kurz ist.
3. E-Mails zu gewöhnlichen Sperren abschalten. Die Sperre bleibt, die E-Mail fällt weg. Warnungen zu Administratorkonten behalten Sie, wenn das Plugin sie getrennt behandelt.
4. Warnungen an jemanden schicken, der handelt. Wenn Ihr Entwickler die Probleme behebt, tragen Sie seine Adresse ein. Prüfen Sie, dass keine Adresse auf der Liste jemandem gehört, der nicht mehr mit Ihnen arbeitet.
5. Absichtlich Geändertes einzeln ignorieren. Eine Datei, die jemand bewusst bearbeitet hat, können Sie als bekannt markieren. Achten Sie darauf, dass das Plugin sie erneut meldet, wenn sie sich später ändert, sonst wird jedes Ignorieren zum blinden Fleck.
6. Eine Test-E-Mail senden und im Spam-Ordner nachsehen. Eine Warnung im Spam ist so nutzlos wie eine, die niemand liest. Landen Ihre dort, bitten Sie den Verantwortlichen für Ihre E-Mail, zu prüfen, wie die Website E-Mails verschickt. SPF, DKIM und DMARC erklärt beschreibt die beteiligten Einträge.
7. Warnungen nicht in einen Ordner leiten, den Sie nie öffnen. Wenn Sie sie lieber einmal pro Woche lesen, schalten Sie stattdessen eine Zusammenfassung ein.

Auch Stille muss man prüfen. Kam seit Monaten keine E-Mail, senden Sie einen Test und sehen Sie auf der Seite des Plugins nach, wann der letzte Scan lief. Ein Scan, der nicht mehr läuft, schickt ebenfalls nichts.

Wenn eine Warnung falsch ist

Ein Fehlalarm ist ein Befund über etwas, das in Ordnung ist. Bevor Sie ihn ignorieren:

• öffnen Sie den Befund und lesen Sie, welche Datei oder Einstellung er nennt,
• ist es eine Datei von WordPress, einem Plugin oder einem Theme, vergleichen Sie sie mit einer frischen Kopie derselben Version,
• fragen Sie die Person, die die Website gebaut hat, ob sie die Datei geändert hat,
• melden Sie es im Support-Forum des Plugins auf WordPress.org, mit dem Namen der Prüfung und dem, was Sie sehen.

Schalten Sie nicht eine ganze Prüfung wegen eines falschen Befunds ab. Der nächste echte bliebe ungemeldet.

Wie Ensomedia Security mit Warnungen umgeht

So beschreiben Code und Readme von Ensomedia Security die Warnungen:

• Eine E-Mail pro Scan, nur zu Problemen, die neu sind oder sich verschlimmert haben und mindestens die eingestellte Schwelle erreichen, und höchstens vier am Tag. Was über das Limit hinausgeht, wartet auf die nächste E-Mail. Ein Scan, den Sie selbst mit Jetzt scannen starten, schickt keine E-Mail, weil Sie das Ergebnis ohnehin vor sich haben.
• Drei Schwellen unter Einstellungen, Abschnitt E-Mail-Benachrichtigungen: Nur kritische, Ernste (Standard) und Auch kleinere. Senden an nimmt bis zu fünf Adressen, und Test-E-Mail senden zeigt, ob sie ankommen.
• Sofort, wenn ein Konto Administrator wird und wenn der Benutzername eines Administrators nach fehlgeschlagenen Anmeldungen gesperrt wird. Sperr-E-Mails enden bei drei pro Tag und Website.
• Eine Wochenzusammenfassung jeden Montag, ausgeschaltet, bis Sie sie einschalten.
• Eine Prüfung, die nicht laufen konnte, schickt nie eine E-Mail und markiert nichts als behoben, ein Ausfall bei WordPress.org bleibt also still.
• Unsichere Befunde schicken nie eine E-Mail. Sie landen unter Von deinem Entwickler prüfen lassen. Ein einzelnes schwaches Signal, etwa base64 in einer Datei, ist nie ein Befund, und per E-Mail gehen nur Befunde mit hoher Sicherheit.
• Ignorieren nimmt einen Befund aus der Bewertung und den Warnungen heraus, und eine ignorierte Datei taucht wieder auf, wenn sie sich erneut ändert.

Alle Prüfungen, der tägliche geplante Scan (standardmäßig 03:00 Uhr Ortszeit der Website) und die E-Mail-Benachrichtigungen sind kostenlos und funktionieren ohne Konto. Einzelheiten finden Sie auf der Seite des Plugins.

Prüfen Sie Ihre Website von außen. Geben Sie Ihre Adresse auf shieldwave.io ein. Das dauert etwa 90 Sekunden und braucht weder Passwort noch Plugin.