Der Beitrag „wp2shell“: Die WordPress-Sicherheitslücke, die mich zum Newsletter-Comeback gebracht hat erschien zuerst auf Collaborato Training.

Damit das Problem nicht offensichtlich vor allen Besuchern der Webseite passiert, wäre es klasse, solche Probleme frühzeitig zu erkennen und Ausfälle zu vermeiden, richtig? Es gibt ja schon seit gut zwei Jahren die Funktion „Website-Zustand“ in WordPress die uns zu Updates, entfernen nicht genutzter Plugins und Themes, update der PHP-Version und dergleichen ermahnt. (Im Backend unter dem Menüpunkt „Werkzeuge“ zu finden) Das ist natürlich eine gute Sache. Aber es gibt da noch ein System das nicht so offensichtlich ist: Fehlermeldungen bzw. Warnungen des Browsers oder Webservers. 

Offensichtliche und verdeckte Probleme

Manche Probleme auf der Webseite sind offensichtlich – da stimmt was nicht, da sieht was komisch aus oder da ist eine Funktion kaputt, klar. Da hilft häufig ein Blick in die Fehlerconsole des Browsers. (Ich spreche nicht von 404 oder 500er-Fehlermeldungen im Browser, sondern „niedrigschwelligeren“ Meldungen.) In Chrome oder Firefox am Desktop ist das einfach: Rechte Maustaste im Browserfenster drücken, „Untersuchen“ anklicken und auf den Reiter „Console“ gehen. Jetzt die Seite neu laden oder den fraglichen Prozess auf der Seite durchführen und es sollte eine verwertbares Ergebnis kommen: Eine Fehlermeldung oder eine Warnung. (Dabei ist der Eintrag in Chrome: „DevTools failed to load source map“ zu ignorieren, der kommt so gut wie immer.)

Soweit, so gut. Aber was ist jetzt, wenn ein Fehler auftritt, wenn ich gar nicht dabei bin? Ein Nutzer ein Formular ausfüllt und im Prinzip zwar alles läuft, aber im Hintergrund ein paar „rote Fahnen“ gehisst werden, die sagen sollen, dass hier was nicht ganz korrekt ist? Es wäre doch gut, das früh zu erkennen, noch bevor wichtige Daten verloren gehen oder Funktionen unbrauchbar werden. In meinem Beispiel (unten) wären das Anmeldedaten für meinen Newsletter oder sogar die Anmeldung für meine WordPress Seminare.

WordPress Ausfall vermeiden: Logfiles auswerten

Für solche Fälle gibt es in der IT die Logfiles. Das sind separate Dateien, in die die Software alle Meldungen des laufenden Prozesses schreibt. Natürlich macht es keinen Sinn, diese Meldungen jedem Besucher der Webseite um die Ohren zu hauen und wirre Meldungen auszuspucken. Das ist der Grund warum ein normaler Besucher üblicherweise von so etwas verschont bleibt. Im Standardfall ist die Logfile-Generierung in WordPress sogar deaktiviert.

Es gibt die Möglichkeit, das reine generieren des Logfiles direkt in der wp-config.php zu aktivieren und dort eine Datei für die Speicherung anzugeben. Das hat den Nachteil, dass ich in diese Datei auch gelegentlich reinschauen muss. Ich weiss nicht wie das bei Euch ist, aber ich würde das vergessen. Ich bin ja meistens im Backend unterwegs und nicht auf Dateiebene.

Lösung per Plugin „Error Log Monitor“

Die Lösung dafür ist ein Plugin: „Error Log Monitor“ von Janis Elsts (https://de.wordpress.org/plugins/error-log-monitor/). Nach der Installation und Aktivierung, mochte es mich für Newsletter und Tracking gewinnen, was ich mit „Skip“ überspringen kann, oder per „Allow & Continue“ erlaube.

Danach befinden wir uns in der Liste der aktivierten Plugins und werden oben aber darauf hingewiesen, dass wir das Error Log Monitor Plugin noch konfigurieren müssen. Um es einfach zu haben, hier auf „Use Recommended Settings“ drücken. (Über „Manual Configuration“ gibt es mehr Einstellmöglichkeiten. Unter anderem kann man einstellen, wo das Logfile auf dem Server liegen soll. Das ist aus Sicherheitsgründen gar nicht schlecht, ich bleibe hier aber bei der einfachen Lösung. Die Anleitung liefert das Plugin auf englisch mit sobald man auf den Knopf drückt. Und: Falls Ihr jetzt „Recommended“ gedrückt habe und zu „Manual“ wollt: Einfach im Backend noch mal auf den Menüpunkt „Plugins“ klicken)

Etwas Code dann doch

Nach dem Klick auf „Use Recommended Settings“ fordert es den Nutzer auf, ein paar Zeilen Code in die wp-config.php einzutragen und ggf. einen Eintrag anzupassen. Das geht am besten über einen FTP-Zugang. (Web-FTP im Backend des Providers oder z.B. die kostenlose Software „Filezilla“ mit den Zugangsdaten des Providers. (Aus Sicherheitsgründen empfehle ich euch bevor es weitergeht, ein Backup anzulegen – Veränderungen im Dateisystem können euer WordPress lahm legen und wir wollen ja Ausfälle vermeiden. Ein Option ist hier beschrieben: Backup per Updraft Plus)

Seid ihr per FTP eingeloggt, navigiert in das WordPress-Hauptverzeichnis, kopiert euch die wp-config.php auf den lokalen Computer (Bei Filezilla wird die Datei von der Server-Seite auf die andere mit dem lokalen Dateisystem gezogen.) Legt bitte zusätzlich eine Backup-Kopie der wp-config.php an, die unberührt bleibt, sollte was sein (Ausser ihr habt jetzt tatsächlich ein Backup, dann wäre das doppelt 😊). Jetzt öffnet ihr die lokale Datei in einem geeigneten* Editor. 

Bearbeiten der wp-config.php

*Mit „geeignet“ ist keinesfalls Word oder ähnliches gemeint. Gemeint ist ein reiner Text-Editor oder auch ein Code-Editor. Also: MS-Editor (=Notepad unter Windows) oder Textedit (auf Mac). Oder wahlweise als Extraprogramme zum kostenlosen download: BB-Edit (Mac) oder Notepad++ (Windows). Jetzt kopiert Ihr den Code, den das Plugin vorsieht, an das Ende der Datei und speichert die veränderte Datei ab.

Eine Leerzeile darüber ist OK, dann wird es übersichtlicher. Für den Fall dass euch Fehlermeldungen und Warnungen nicht reichen, kann auch noch die Zeile „define( ‚WP_DEBUG‘, false );“ auf define( ‚WP_DEBUG‘, true ); gesetzt werden. Dann wird das Log aber schnell voll. Das macht für mich nur Sinn, wenn ich grade auf der Suche nach einem Fehler bin – für meine Frühwarnfunktion lasse ich das aber aus, also auf „false“. Sonst bekomme ich so viele Meldungen, dass die wirklichen Fehler unter den Meldungen begraben werden, befürchte ich. (Obwohl ich grade sehe, dass bei den Konfigurations-Einstellungen es eine Filteroption gibt, falls ihr die testet, lasst mir einen Kommentar da.)

Bitte keine weiteren Änderungen ohne Knowhow vornehmen – hier reagiert WordPress empfindlich. Danach wird die wp-config.php wieder hochgeladen und damit die bestehende Datei überschrieben und im Plugin (WordPress-Backend) der Vorgang bestätigt. (Button „Done“ anklicken“)

Hat alles geklappt, nimmt das Programm seine Arbeit auf. Es ist gibt jetzt eine neue Anzeige auf der Backend-Seite “Dashboard“ die zunächst leer ist – und idealerweise leer bleibt. Weitere Konfigurationen können über dieses Dashboard-Widget vorgenommen werden. Dazu mit der Maus über die Kopfzeile des Widgets fahren und „Konfigurieren“ anklicken.

Es gibt eine Funktion sich die Einträge über Mail senden zu lassen – die bei mir aber nicht funktioniert.

Meine Erfahrung damit: Es wurde beim Test recht schnell klar, dass das Plugin, das die Mailadresse über das Anmeldeformular für Seminare an die Newsletter-Software weitergibt ein Problem hat. Und das, obwohl alles (noch) sauber ankommt und funktioniert. Um welches Modul es sich handelt, war an dem Pfad zur problematischen Datei zu erkennen der in der Fehlermeldung angegeben ist. Daraufhin habe ich auch gesehen, dass für das Plugin seit 1 Jahr kein Update mehr herausgebracht wurde. Einen Fehlerreport habe ich an den Autor über die Plugin-Support-Seite auf WordPress.org zwar gesendet, dort gibt es aber seit einiger Zeit kaum noch Rückmeldungen. Sprich: Früher oder später muss ich das Plugin ersetzen. Was sich gut trifft, denn ich wollte ja ohnehin ein Veranstaltungsplugin ausprobieren.

Letzte Worte zum Thema „Sicherheit“: Neben diesem Tool gibt es zusätzlich für Sicherheitslücken das sehr gute Sicherheitsplugin „iThemes Security“ das Sicherheitslücken frühzeitig anzeigt und inzwischen auch in der kostenlosen Version einen automatischen Scan auf und 2-Faktor Anmeldung anbietet.

Über mich

Ich bin Günther A. Biebl und gebe WordPress-Seminare und unterstütze Unternehmen dabei Ihre WordPress Webseite selbst zu erstellen und eigenständig zu publizieren. Bei Fragen einfach melden.

Headerbild: von Rudy and Peter Skitterians auf Pixabay

Der Beitrag WordPress Ausfälle vermeiden – ein Frühwarnsystem erschien zuerst auf Collaborato Training.

Updraft Plus ist ein WordPress Plugin und direkt über euer WordPress installierbar. Backups lassen sich nach der Installation mit einem Knopfdruck erstellen und die Konfiguration ist einfach. Alles was Ihr wissen müsst, damit Euch auch nach einem schief gelaufenen Update oder Hackerangriff die gute Laune nicht vergeht erkläre ich Euch hier.

Installation und erstes WordPress Backup

Die Installation erfolgt wie gewohnt über den Menüpunkt „Plugin“ und „Installieren“ im Backend. Sucht nach dem Begriff „UpdraftPlus Backup“. Das richtige Plugin sieht wie im Foto aus. 

Danach „Jetzt Installieren“ anklicken, kurz warten und „Aktivieren“ anklicken.

Das Plugin führt bei der ersten Installation nach einer kurzen Willkommensmeldung mit dem Button „Drücke hier um zu starten“ zum ersten manuellen Backup. Die beiden Haken „Deine Datenbank zur Sicherung hinzufügen“ und „Deine Dateien zur Sicherung hinzufügen“ sind schon angehakt. Jetzt nur noch auf „Jetzt sichern“ klicken und das erste Backup läuft. 

Jetzt einfach kurz warten bis das WordPress Backup fertig ist – dann gratuliert Euch der Assistent zum ersten Backup ?. 

Der Dialog führt Euch weiter zu den Einstellungen mit dem Button „Gehe zu den Einstellungen“. Dabei sind die nächsten beiden Punkte interessant: Datei-Sicherungsplan und Datenbank-Sicherungsplan. Die Anzahl der Backups steht auf 2 das finde ich zu wenig – ich stelle hier mindestens 15 ein – meist ist heute ja noch reichlich Speicherplatz auf dem Webserver vorhanden – und das Intervall stelle ich auf „wöchentlich“ weil bei mir auf der Seite nicht täglich Neues passiert. Das mache ich synchron für „Dateien“ und „Datenbank“ – da ich immer beides benötige, um WordPress wieder vollständig herzustellen.

Konfiguration des WordPress Backups

Der Dialog weist mich noch auf weitere Einstellmöglicheikeiten hin, die aber im Standard schon gut konfiguriert sind. Ausser Ihr hättet etwas, was explizit NICHT gesichert werden soll. Jetzt fehlt nur noch „Änderungen speichern“ und schon ist die Konfiguration abgeschlossen – Jetzt kommt die Werbung – bzw. die kostenpflichtigen „Premium Features“.  Als Beginner mit einer ersten WordPress-Seite benötigt Ihr die nicht unbedingt. Als erstes kommt „Updraft Central“ – falls man mehrere Webseiten betreuet und die Backups zusammenfassen will. Das ist ein externer Dienst auf deren Server. Mit „Weiter“ weisst das Tool jetzt noch auf die Möglichkeit hin, die Dateien extern zu speichern. Allen voran die Premium-Option „Updraft Vault“. Ein externes Backup ist natürlich wünschenswert – lässt sich aber ggf. über Dropbox erreichen oder noch simpler – Ihr ladet es manuell herunter. Das erkläre ich Euch gleich, vorher sehen wir nach Klick auf „Weiter“ noch „Updraft Plus Premium“ und ignorieren das freundlichen Angebot mit dem Button „Fertigstellen“.

Im Backup-Plugin zurechtfinden

Nachdem die Führung beendet ist, seht Ihr das Plugin zum ersten mal „normal“. Wichtig zu wissen, dass Euch der Dialog über die „Reiter“ die Ihr oben seht, geführt hat. Hier kommt Ihr über den Tab „Sicherung / Wiederherstellen“ wieder zum Anfang zurück. Unter „Einstellungen“ finden sich Einstellungen zum Datei- und Datenbank-Sicherungsplan. Das ganze Plugin – wenn Ihr ganz frisch nach dem Backend-Login zugreifen wollt – findet sich etwas versteckt unter dem Menüpunkt „Einstellungen“ und dann „UpdraftPlus Sicherungen.

Backup-Dateien für manuell downloaden

Dazu als erstes auf der ersten Plugin-Seite (Reiter „Sicherung / Wiederherstellen“) bis zur Liste der vorhandenen Backups scrollen und auf die einzelnen Teile der jeweiligen Backups klicken. Die Knöpfe heissen „Datenbank“, „Plugins“, „Themes“, „Uploads“ und „Andere“ . Jedes mal entsteht oberhalb der Buttonliste ein Dialog „Herunterladen db (Datum….)“ und kurz darauf kommt ein Button „Auf deinen Computer herunterladen“ den Ihr noch drücken müsst (zweitens), um den Download zu starten. Bitte nicht ohne Not auf den anderen Button „Vom Webserver löschen“ drücken – dann bleibt die Kopie direkt im Plugin erhalten. Das macht Ihr dann für jeden einzelnen Button. Ist die Website recht umfangreich, kann es sein, das Updraft Plus die Datei in mehrere Pakete verteilt – dann bitte ausnahmslos alle herunterladen.

Bitte überprüft, ob beim zweiten Download auch wirklich ein Download stattfindet. Chrome hat die Eigenart, dass er nur einen Download pro Webseite zulässt. Will man mehr Dateien herunterladen, muss man in der Browser-Adressleiste auf das Icon klicken und mehr Dowloads zulassen. (Foto)

Nach klick auf das markierte Icon öffnet sich dieser Dialog. „…gestatten“ auswählen und mit „Fertig“ bestätigen.

Macht euer Browser die Downloads wie gewünscht, gibt es das Icon gar nicht und Ihr müsst auch nichts machen.

Und: Habt Ihr eine große Seite mit großen Datenmengen, teilt Updraft Plus den Datei-Download in viele kleine Datei-Häppchen auf. Bei großen Installationen kann das viel werden und schlicht nerven.

Im Erstfall: der WordPress Restore aus dem Backup

Ist mit Euerer Webseite etwas schief gelaufen und die Seite „spinnt“ oder der Datenstand ist nicht der richtige und Ihr habt ggf. Daten verloren könnt Ihr jederzeit ein vorhandenes WordPress Backup einspielen. Hinweis: Wenn Ihr nicht sicher seid, ob die Version die zurückgespielt wird besser ist als euere aktuelle, dann bitte zuerst ein Backup von der jetzigen Version machen. Denn, nur dann kommt ihr wieder auf den Stand vor dem Restore zurück. Für das Einspielen eines ältenen Standes einfach den Haken bei der gewünschten Version machen und auf „Wiederherstellen“ drücken und bestätigen

Danach kommt eine Auswahlbox in der ich für ein komplettes Restore alles anklicke: 

Nach Bestätigung mit „Weiter“ kommt in der gerade aktuellen Version einer Warnung die ich ignoriere. Es wurden keine Tabellen beim Backup ausgelassen. Vielleicht hängt der Fehler mit dem kurz vorher durchgeführten WordPress-Update zusammen.

Danach läuft der Restore-Prozesse mit einem Protokoll und zum Schluss ist das System wieder im ursprünglichen Zustand. Jetzt rufe ich einfach meine Domain wieder auf und ich bin wieder auf meiner Webseite im Zustand am Backup-Zeitpunkt.

Wird die Sicherung gar nicht mehr im Plugin angezeigt, könnt Ihr die auf dem lokalen Rechner gespeicherten Dateien hochladen. Das ist besonders wichtig, wenn WordPress nach einem Fehler gar nicht mehr ansprechbar ist. Sollte das der Fall sein und Ihr habt ein aktuelles Backup, dann könnt Ihr WordPress neu installieren, das Plugin installieren und aktivieren. Danach seid Ihr bereit, Euere Backup-Dateien hochzuladen und das Zurückspielen des Backups zu starten.

Nachteile des WordPress Backups Updraft Plus

Ein Nachteil ist, dass es viele Dateien erzeugt die man beim Restore alle wieder zusammenbekommen muss. Ausserdem muss WordPress und das Plugin funktionieren, sonst klappt auch das Einspielen des Backups nicht. Der Vorteil dabei ist aber, dass User die sich vor dem direkten Einspielen der Dateien per FTP und dem Importieren der Datenbank über Oberflächen wie PHPMyAdmin scheuen trotzdem ein Restore hinbekommen können. Ausserdem ist die Konfiguration extrem simpel und bisher hat es mich mit Zuverlässigkeit überzeugt. Etwas lästig sind die Hinweise auf die Premium-Dienste und nicht optimal finde ich, dass so ein wichtiges Plugin seine Oberfläche unter „Enstellungen / Updraft“ versteckt. Kostenpflichtige Dienste wie hier der Domainwechsel – z. B. vom Testserver zum Livebetrieb unter der richtigen Domain gibt es nur mit Aufpreis – oder mit anderen Plugins wie z.B. „Duplicator“ – ein extrem praktisches Plugin über das ich auch einen Artikel plane. 

Vergleich mit BackWPup

Ein anderes gutes Tool ist BackWPUp von Inpsyde GmbH. Es hat viele Einstellmöglichkeiten und das macht es auch schon komplexer alles zu durchschauen. Vorteil hier: Es wird nur eine Datei pro Backup erzeugt. Und: Man kann mehrere Backupjobs parallel konfigurieren – z. B. nur alles aus 2020. Bei größeren Installationen macht das Sinn. 

Letze Worte

Wenn Ihr bis hierher gelesen habt dann gibt es künftig keine Ausrede mehr im Notfall kein Backup euerer Webseite zu haben. Ich empfehle, immer bevor Ihr eines euerer regelmäßigen Updates macht, vorher auf den „Backup erstellen“ Button zu klicken. Ist die Seite in einem Zustand, den Ihr auch länger aufbewahren wollt – z.b. kurz nach dem Relaunch – dann setzt den Haken „Backup behalten“. Dann wird es nicht automatisch gelöscht sondern aufbewahrt. Und: Testet den Restore-Vorgang gelegentlich – einfach um zu prüfen, ob es auch im Notfall klappt.  

Über mich

Ich bin Günther A. Biebl und gebe WordPress-Seminare und unterstütze Unternehmen dabei ihre WordPress Webseite zu erstellen und eigenständig zu publizieren. Bei Fragen einfach melden.

Der Beitrag WordPress Backup einfach und kostenlos einspielen mit Updraft Plus erschien zuerst auf Collaborato Training.

Zum einen sind die dafür benötigten SSL-Zertifikate heute kostenlos zu bekommen und zum anderen haben wir in der Vergangenheit gesehen, wer alles diese Daten mitlesen will. Die Browserhersteller – allen voran Mozilla mit dem Firefox – warnen inzwischen sogar den Benutzer, wenn er Daten in ein unverschlüsseltes Formular eingibt und Google will mit Chrome nachziehen.  Deshalb zeige ich hier, wie Sie ein bestehendes WordPress auf HTTPS:// umschalten können. Ich halte die Beschreibung allgemein, meine Beispiele kommen aber von meinem Provider All-inkl.com.

1. Zertifikat bestellen

Zunächst gilt es zu prüfen, ob ein einfaches SSL-Zertifikat bereits im Webspace-Vertrag enthalten ist. Es gibt immer auch noch extra zu bezahlende Zertifikate wie z.B. „Wildcard-Zertifikate“, die für alle Subdomains gelten – die meine ich nicht. Es reicht, wenn z.B. „Lets Encrypt“ oder ähnliche freie Zertifikate unterstützt werden. Ist das nicht der Fall, muss ggf für ca. 10-12 Euro / Jahr die Funktion dazu gebucht werden.

Bei All-inkl.com muss nur im kleinsten Tarif „Privat“ die Funktion für 99ct / Monat über die Members-Area dazugebucht werden. Alle anderen Pakete enthalten die Funktion bereits.

2. Zertifikat aktivieren

Jetzt wird das Zertifikat einer Domain (Webadresse) zugewiesen. Die Funktion ist über den Login-Bereich beim Provider zu erreichen. Bei All-Inkl.com befindet sich die Funkton im „KAS“ unter dem Menüpunkt „Domain“. Hier der Ablauf für All-inkl.com – bei andern Providern analog verfahren.

Dort erscheint eine Liste aller verfügbaren Domains – zunächst noch ohne das rote Schloss-Symbol. Hier wählen wir die Domain aus auf der die Webseite läuft und klicken rechts auf das Bearbeiten-Symbol (links von der Mülltonne).

Jetzt erscheinen die Details zur Domain. Hier einfach auf neben dem Text „SSL-Schutz“ auf „Bearbeiten“ klicken.

Dann wird das Zertifikat ausgewählt und aktiviert: Auf den Reiter „Let’s Encrypt“ klicken, Haftungsausschuss zustimmen durch anhaken und den Button „Jetzt ein Let´s Encrypt Zertifikat beziehen….“ klicken.

Nach kurzer Zeit meldet sich das System mit „Das Zertifikat wurde bearbeitet….“ zurück. Jetzt gilt es, ein paar Minuten zu warten. Je nach Provider kann das auch ein paar Stunden dauern.

3. Zertifikat testen

Rufen Sie jetzt Ihre Seite auf indem Sie die Domain mit führendem https:// in die Adresszeile des Browsers eintippen. z.B. „https://collaboato.de“ . Kommt eine Fehlermeldung wie „Seite ist nicht sicher….“ ist das Zertifikat noch nicht fertig eingerichtet. Bitte unbedingt warten bis hier KEINE Fehlermeldung mehr erscheint, und die Seite anstandslos geladen wird.

In der Adresszeile steht dann gleich nach dem Laden der Seite „https://“ – oder „Sicher“ – Je nach Browser. Die Anzeige wird heute nicht mehr unbedingt in grüner Schrift mit einem grünen Schloss dargestellt, da die Browserhersteller das als den Normalzustand anzeigen wollen.

4. WordPress umschalten

Wenn das zuverlässig klappt, loggen wir uns im WordPress ein und begeben uns zum Menüpunkt „Einstellungen“ und dort in den Bereich „Allgemein“. Hier steht Titel und Untertitel auch die WordPress-Adresse  und die Webseiten-Adresse.

Unsere Domain steht hier noch ohne „https://“. Also hier bitte das fehlende „s“ einfügen und unten auf „Änderungen speichern“ klicken. Bei der Adressänderung bitte besonders vorsichtig sein und keine weiteren Änderungen vornehmen – sonst reagiert WordPress gleich nicht mehr. Die Tatsache, dass wir uns jetzt wieder einloggen müssen ist allerdings normal.

5. Plugin installieren und aktivieren

Warum jetzt noch ein Schritt wo HTTPS doch schon läuft? Im momentanen Stadium kann man zwar jede Seite per HTTPS aufrufen, sobald man aber einen internen Link oder einen Menüpunkt anklickt, ist „https://“ aber wieder weg, da die internen Links noch auf „http://“ lauten. Das wollen wir aber dauerhaft umstellen. Dazu ändern wir die Verlinkung in der Datenbank per suchen & ersetzen mit einem Plugin. Die Schritte 5-7 entfallen, falls das WordPress gerade erst frisch installiert wurde und noch keine Inhalte angelegt wurden.

Bitte folgendes Plugin installieren und aktivieren: Better Search Replace von Delicious Brains. Nach dem Aktivieren finden wird die neue Funktion unter dem Menüpunkt „Werkzeuge“ im Unterpunkt „Better Search Replace“.

6. Backup der Datenbank

Spätestens jetzt sollten wir unsere Datenbank sichern. Ich benütze dafür gerne das Plugin BackWPup von Inpsyde GmbH. Das Tool ist recht umfangreich, erklärt sich aber auch weitgehend selbst. Ich gehe hier jetzt nicht detailliert auf die Konfiguration ein. Falls Sie mein WordPress Seminar besucht haben, haben Sie meine Anleitung bereits im Handout vorliegen.

7. Suchen und Ersetzen mit dem Plugin

Zurück im Menü des Better Search Replace Plugins unter „Werkzeuge“ / „Better Search Replace“ stellen wir folgendes ein:

1. Suchen nach: Die Adresse (URL) Ihrer Webseite ohne „https“.
   (Achtung, meine Adresse im Foto ist nur ein Beispiel…)
2. Ersetzen durch: Die Adresse Ihrer Webseite mit „https:“.
   Bitte noch mal kontrollieren ob man sich vertippt hat, oder irgendwo Leerzeichen sich eingeschlichen haben. Das Ergebnis wäre ein nicht mehr reagierendes WordPress. Bitte auch auf jeden Fall die Adresse (URL, Domain) der eigenen Webseite mit angeben, nicht nur „http://“ und „https://“ – sonst erwischt man ggf. zu viele ungewollte Stellen gleich mit.
3. Jetzt alle Tabellen auswählen (das sind sicher andere als auf meinem Bild vom Testserver, bitte nicht irritieren lassen). Einen Eintrag anklicken und mit Cmd+A (Mac) oder Ctrl+A (PC) alle Tabellen markieren spart Arbeit.
4. Den Haken bei „Gross- und Kleinschreibung ignorieren“ setzen.
5. Den Haken bei „auch GUIDs ersetzen“ setzen

Wenn Testlauf gewünscht, dann den „Testlauf“-Haken drin lassen. Dann werden zunächst keine Änderungen vorgenommen, sondern nur angezeigt wie viele Änderungen anstehen. Für eine tatsächliche Durchführung muss der Haken aber raus.

8. Neu einloggen und testen.

Sobald das Plugin fertig ist, sollte immer „Sicher“ angezeigt werden, egal welche Seite wir aufrufen und welchem Link wir folgen. Sollte es auf einer Seite so sein, dass noch ein Fehler angezeigt wird, kann es sein, dass zusätzliche Inhalte wie eingebettete Karten oder Videos noch nicht per HTTPS:// eingebunden sind. Diese Inhalte dann bitte noch mal mit der richtigen Adresse einbetten.

9. Optional: Webserver auf HTTPS umleiten.

Nach meiner Erfahrung reichen die Schritte oben für eine komplette Umstellung. Es gibt noch den Fall, dass jemand bewusst http://meinefirma.de aufruft – also bewusst ohne das „s“, oder eine alte Verlinkung noch nicht auf „https:“ umgestellt ist. In der Vergangenheit war das dann so, dass WordPress auch diese eine Seite ohne Verschlüsselung ausgeliefert hatte. Es gab die Seite also sozusagen doppelt: Mit und ohne https. Meine Tests ergeben aber, dass schon bis hierher konfiguriert der Server per erwünschter 301 Umleitung auf https:// verweist. Früher war das tatsächlich nicht so, inzwischen ist das aber Standard bei WordPress. Weiss jemand mehr dazu? Infos gerne in die Kommentare. (Nachtrag unten)

Will man diesen letzten Schritt noch gehen, gibt es eine allgemeine Methode und eine Abkürzung bei All-Inkl.com.

1. Allgemeine Methode: Es muss die Datei .htaccess auf dem Server bearbeitet werden. Dazu braucht man ein FTP-Programm wie „Filezilla“ und die FTP-Zugangsdaten seines Providers. Im Hauptverzeichnis der WordPress-Installation findet man dann diese Datei. Dort schreibt man folgendes rein: (nachdem man sich eine Kopie gemacht hat!) ….
   <IfModule mod_rewrite.c>
   RewriteEngine On
   RewriteCond %{HTTPS} off
   RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
   </IfModule>
2. Oder, falls man All-Inkl.com nutzt, kann man auch im KAS wieder zu seinem SSL-Zertifikat navigieren (wie in Punkt 2 dieser Anleitung). Also erst zum Menüpunkt Domains und dann dort bei der einsprechenden Domain auf „bearbeiten“ klicken.
   

   

   
   Jetzt auf SSL-Schutz bearbeiten klicken

   

   
   Dann öffnen sich jetzt die Details zum oben neu eingerichteten Zertifikat.

   

   
   Dort können Sie den Schalter bei „SSL erzwingen“ auf „Ja“ schalten. Auf diese Weise verhindert der Server, dass noch http ausgeliefert wird. (Bevor die Frage kommt: HSTS ist ein zusätzliches Sicherheitsfeature – dann kann die Seite in nächster Zeit NICHT MEHR ohne HTTPS:// aufgerufen werden. Falls Sie also HTTPS:// doch wieder deaktivieren, können Sie für diese Zeitspanne nicht mehr auf Ihre Webseite zugreifen. In meinem Beispiel sind das knapp 2 Wochen – also Vorsicht mit dieser Funktion, für den Basisschutz ist sie nicht notwendig.)

Soweit von mir, viel Erfolg mit euerer Webseite!

Nachtrag: Ich hatte kürzlich die Gelegenheit den Umzug bei einem Strato-Kunden durchzuführen. Tatsächlich musste ich eine separate Umleitung einrichten, damit die Seite immer sofort und zuverlässig auf https:// umschaltet. Ich habe mir das einfach gemacht und das Plugin iThemes-Security (das schon installiert war) verwendet. Dort gibt es ein Modul namens „SSL“ das einfach auf „Enabled (Recommended)“ eingestellt wird. Fertig. Da ich das Plugin ohnehin ganz gut finde, passt die Lösung für mich.

Abkürzung per Plugin (Nachtrag 2)

Wem der Weg oben zu aufwändig ist, der kann das Plugin „Really Simple SSL“ probieren. Vorher ist es aber gut, wie im Schritt 3 oben beschrieben zu testen ob bereits ein SSL-Zertifikat für die Seite aktiv ist. Kommt eine Fehlermeldung das Plugin bitte nicht per Schalter in den Plugin-Einstellungen scharf schalten, sondern vorher die obigen Schritte 1 und 2 ausführen und dann noch mal testen. (Bzw. analog zu euerem Provider das Zertifikat ggf. bestellen und für die verwendete Domain aktivieren.

Der Beitrag Die WordPress Webseite auf https:// umstellen (=per SSL absichern) erschien zuerst auf Collaborato Training.