Ratatatam » Wordpress

Zur Sicherheit: Leitfaden für WordPress-Kunden

Ralphs — Fri, 15 Jul 2011 13:46:14 +0000

Für Einsteiger in ein Content Management System (CMS) und ambitionierte Website-Betreiber hat WordPress einige Vorteile: Neben der geringen Lernkurve sind es die zahlreichen Plugins, die diese Weblog-Software so verlockend machen. Leider ergeben sich daraus auch Nachteile, die manchem WordPress-Nutzer erst dann bewusst werden, wenn es zu spät ist.

Deshalb gebe ich meinen Kunden, die WordPress einsetzen wollen, einen Leitfaden mit. Der zeigt ihnen, auf was sie bei WordPress achten sollten und was für Aufgaben auf sie zukommen, damit es nicht zu bösen Überraschungen kommt (weiterführende Links am Ende des Artikels).

Ich unterscheide zwei Gruppen von WordPress-Nutzern. Die erste benutzt zum ersten Mal ein Content Manegement System und möchte lediglich in unregelmäßigen Abständen neue Inhalte einbinden. Die zweite Gruppe gehört den experimentierfreudigen, ambitionierten Nutzern an, die mit ihren Weblogs und Projekten intensiv Kontakte, Kunden und Austausch suchen, aber die Templates nicht selbst erstellt haben.

Der Gelegenheitsnutzer

Die Gruppe der gelegentlichen Nutzer macht sich in der Regel keine Gedanken über Updates der Weblog-Software. Entsprechend kommt es vor, dass eine WordPress-Installation über Monate ja Jahre nicht aktualisiert wurde. Im schlechtesten Fall wird dieses alte WordPress ein Opfer von Kriminellen und der Schreck ist groß, wenn Google vor dieser Site warnt und die Inhalte aus dem Index verschwinden läßt. In diesem Zusammenhang gebe ich dem Kunden folgende Hinweise:

Prüfen Sie regelmäßig im Administrationsbereich (Backend) von WordPress, ob es Aktualisierungen gibt.
Da es sich nicht selten um Sicherheits-Updates handelt, sollten diese Aktualisierungen zeitnah mit der Automatik-Funktion von WordPress installiert werden. Dazu ist ein FTP-Login mit einem Benutzernamen und Passwort erforderlich.
Das FTP-Login sollte ein Passwort mit mindestens 12 Zeichen haben.
Bevor ein automatisches Update gemacht wird, sollten in jedem Fall vorher folgende Sicherheitsmaßnahmen getroffen werden:
- Die Datenbank sichern
- Alle Plugins deaktivieren
Nach der erfolgreichen Aktualisierung: Jedes Plugin einzeln aktivieren, um zu prüfen, ob es noch funktioniert. Wenn es Probleme gibt, auch die murrenden Plugins aktualisieren.
Vor allem aus Punkt 4 darf geschlossen werden, daß Folgekosten auf den Betreiber zukommen, wenn er mit diesen Maßnahmen überfordert ist. In diesem Fall sollte ein externer Dienstleister die Aufgabe übernehmen. Der zeitliche und damit finanzielle Aufwand hält sich Grenzen, da ein automatisches Update in einigen Minuten realisiert ist, selbst wenn nach dem Update einige Plugins aktualisiert werden müssten.
Es ist ratsam, nur notwendige Plugins zu installieren. Eine einfache Website kommt je nach Ansprüchen mit fünf bis zehn Plugins aus.
Bei größeren Versionsprüngen wäre zu prüfen, ob sich die Serveranforderungen von WordPress geändert haben. Ist eine höhere PHP oder MySQL-Version nötig und bietet diese mein Server? Zudem schadet es nicht, einige Tage zu warten, bis man ein größeres Update installiert, um zu schauen, ob in Weblogs und Foren über Update-Probleme oder Komplikationen berichtet werden.

Der ambitionierte Nutzer

Beim ambitionierten Blogger dürfen wir nicht selten von Experimentierfreude und einem hohen Bedarf an Plugins ausgehen. Videos und Audiofiles wollen integriert und Bildergalerien leicht erstellt werden. Alle möglichen Daten für die Webpromotion und die sozialen Netzwerke wollen verknüpft und Suchmaschinenoptimierung betrieben werden.

So kommen schnell eine Menge an Zusatzprogrammen zum Einsatz. Diese erhöhen nicht nur das Sicherheitsrisiko – da Plugins Schadcode enthalten können -, sondern blähen zudem nicht selten die Datenbank auf. Manche Website wird so recht behäbig und ein höherer Versionssprung von WordPress kann zu Problemen führen.

So konnte ein Kunde partout keine Kategorien- und Tagseiten mehr aufrufen, obwohl alle Plugins deaktiviert waren und die neueste WordPress-Version installiert war. Am Ende blieb nur eine saubere Neuinstallation mit Portierung der Inhalte sowie die Neueinrichtung aller noch wichtigen Plugins. Um die achtzig Prozent der Datenbanktabellen waren danach überflüssig geworden!

Um sich als ambitionierter WordPress-Nutzer vor bösen Überraschungen zu schützen, beachtet man schlicht folgende Regeln:

Die Sorgfalt fängt bei der Erstellung der Datenbanken an. Mehrere MySQL-Datenbanken sind selbst in kleinen Webhosting-Paketen enthalten. Zur leichteren Sicherung und besseren Trennung sollte jede WordPress-Installation eine eigene Datenbank bekommen. Bei der Erstellung der Datenbank ein sicheres Passwort mit mindestens 12 Stellen verwenden und dafür sorgen, dass man alle relevanten Daten wie Datenbankname, Datenbankuser, Datenbankpasswort sowie den internen Serverpfad und Host parat hat. Braucht man einmal professionelle Hilfe, so helfen diese Daten bei der schnellen Umsetzung. Diese sensiblen Daten lassen sich in Passwortmanagern wie KeePass und Roboform sammeln und verschlüssselt aufbewahren.
Die gleiche Sorgfalt wie bei der Einrichtung einer Datenbank gelten für das FTP- und das phpMyAdmin-Login: Sichere Passwörter mit mindestens 12 Stellen wählen.
Während der Installation von WordPress einen unüblichen Benutzernamen und ein kompliziertes Passwort wählen und beides in einer passwortgeschützten Datei aufbewahren. Das gilt auch für weitere Benutzer wie Gastautoren ohne Administrationsrechte.
Desweiteren zeitnah die kleineren WordPress-Updates installieren und trotzdem grundsätzlich immer zuvor die Datenbank sichern und alle Plugins deaktivieren. Das sind nur ein paar Mausklicks. Eine doppelte Sicherung der Datenbank kann wie folgt nicht schaden:
1. über WordPress: “Werkzeuge” > “Backup”.
2. mit Hilfe von phpMyAdmin. Dieses Hilfswerkzeug haben die meisten Webhoster zur Verwaltung von MySQL-Datenbanken installiert. Dort gibt es eine Exportfunktion für die Datenbanktabellen (siehe den Link zur Anleitung unten).
Sorgfalt bei der Plugin-Installation: Nicht sofort das erstbeste installieren. Zuvor nach weiteren Informationen im Netz suchen, Usermeinungen einholen. Plugins vergleichen. Ist dann eine Entscheidung getroffen, darauf achten, das Plugin von der offziellen WordPress-Plugin-Site zu beziehen.

Ein unterschätztes Problem sind verwaiste WordPress-Blogs. Man vergisst ein altes Projekt und im Laufe der Zeit wird die Datenbank aufgebläht durch zahlreiche Spam-Kommentare. Eventuell ist die Site auch durch ein Sicherheitsloch gehackt worden und verbreitet Schadsoftware. Um dem zu begegnen, sind auch die alten Projekte auf dem aktuellen Softwarestand zu halten oder in statische Seiten umzuwandeln. Leider gibt es keine WordPress-Software dafür, die letzteres automatisch machen würden.

Natürlich gibt es auf technischer Seite noch eine Menge Möglichkeiten sein WordPress sicherer zu machen als es ist. Das zeigt Vladimir Simovic in seinem Artikel So sichern Sie die Blog-Maschine ab. Darauf kann man den Webdesigner, der das WordPress schön macht und die Templates anpasst, durchaus festnageln. ;-)

Der Artikel als PDF: Zur Sicherheit: Leitfaden für WordPress-Kunden

Links

Apps, Addons und die Selbstbeschränkung

Ralphs — Thu, 23 Jun 2011 13:04:15 +0000

Die Meldungen reißen nicht ab und man muss kein Prophet sein, um vorauszusehen, daß die Probleme mit ausspähenden Apps und manipulierten Addons und Plugins zunehmen werden. Einen hundertprozentigen Schutz wird es nur durch einen hundertprozentigen Verzicht geben. Aber das widerstrebt den nerdenden und technikverliebten Spielkindern natürlich, ich weiss das. ;)

Was ist ein Galaxy S ohne Apps, wieviel Wert ist WordPress ohne PlugIns und wer nutzt Firefox ohne Addons? Wir sind noch alle viel zu begeistert von den Möglichkeiten, die uns diese nützlichen bis hinterhältigen Helferlein bieten. Schon einmal beobachtet wie Einer redet, wenn er gerade sein neuestes Smartphone entdeckt? Ist da nicht hingerissene Begeisterung mit der Überzeugung, dass Android besser sei als das iPhone und andersherum? Verständlich, daß Datenschutz und Sicherheit nur als störende Spielverderber erscheinen. Es fehlen die negativen Erfahrungen. Die Welt der tollen Angebote zwischen Spaß und Nutzen scheint unerschütterlich. Zu nützlich erscheinen die kleinen Geräte und ihre Applications, zu verlockend der Zeitvertreib.

Ein relativer Schutz ist die Beschränkung auf nützliche Apps und Addons. Grundsatz: Nur das, was ich wirklich brauche, installiere ich. In meinen WordPress-Installationen laufen maximal acht PlugIns, im Firefox beschränke ich mich auf fünf Addons und auf dem Galaxy S bevorzuge ich einige gekaufte wie den Email-Client MailDroid Pro, das PONS Wörterbuch Französisch und das Office-Paket Quickoffice Pro. Zugegeben, am Anfang waren es ein paar mehr und auch kostenlose Apps waren dabei, aber schnell stellte sich heraus, was für mich persönlich wirklich nützlich ist und was lediglich still vor sich hin Ressourcen frisst. Weitere Perpektiven:

Ein Danke an Herrn Dr. Datenschutz für einige Linkempfehlungen

125 WordPress-Templates für ein Redesign

Ralphs — Fri, 04 Feb 2011 11:13:10 +0000

Was geschieht, wenn eine Agentur für “Integriertes Kommunikationsdesign” einen Website-Entwurf macht, ich diesen dann webgerecht umsetzen darf, um danach alles auf WordPress zum Laufen zu bringen? Man arbeitet länger als erwartet und darf sich ausgiebig üben in problemlösendes Denken. ;-) Gemeint ist hier das bereits zweite Redesign unseres Kunden Brinkmann_Dewert. Mein erstes Redesign war mittlerweile fast 7 Jahre alt und es bestand das Bedürfnis nach etwas ganz Neuem.

Zuerst habe ich den Layout-Entwurf webkompatibel gemacht. Er brauchte eine dauerhafte Hauptnavigation und einen Footer, die im ursprünglichen Entwurf nicht vorgesehen waren. Zudem galt es, den Entwurf schmaler anzulegen, damit er unter 1024 Pixeln ohne horizontales Scrollen sichtbar sei. Dazu musste ich das Layoutraster durchschauen und die Elemente und Abstände neu berechnen. Eine halbe Seite Additionen von Kästen, Buttons und Abständen standen da als Selbstbriefing geschrieben, bevor ich auch nur eine Klasse CSS schrieb. ;-) .

Die zweite Herausforderung: In den Buttons und Kästen sollte die neue Schrift des Logos erscheinen. So musste ich also einen Großteil der zahlreichen Layoutelemente als Grafiken anlegen. So entstanden fast 200 Grafiken allein für das Layout – die über 40 Fotos, die ich teilweise recherchiert und ausgewählt habe, nicht mitgezählt (die Portraits und Fotos auf der Startseite hat ein echter Profi gemacht). CSS-technisch galt es, diese Grafik-Armada geschickt in den Hintergrund zu verbannen und gleichzeitig möglichst viel Editierbares in WordPress zu belassen. Deutlich macht das die Seite der Mitarbeiter. Dort kann der WP-Admin die in Hover-Bereichen liegenden Daten der Mitarbeiter ändern, ohne ins Template zu müssen, das gleiche gilt für die fachbezogenen Team-Seiten, die übrigens eine nützliche Navigationsidee aus dem Büro Rempen zeigen.

Wie man sich beim Durchklicken der Site wird denken können, gab es einige CSS-Lösungen zu finden, die auch noch vom IE 6 verstanden werden wollten. So sollte sich zum Beispiel die Box mit den Home- und Zurück-Buttons nicht nur unabhängig von den eingepflegten Inhalten der Seite immer schön rechts unten anordnen (gut zu sehen auf der Seite Fachgebiete), sondern auch vertikal und bündig mitwachsen auf Seiten, die längere Texte haben. Das ging nicht ohne valide Tricks und einigen Conditional Comments, aber – wie alles im Layout – ohne Javascript.

Desweiteren war bei der WordPress-Integration darauf zu achten, die weit über 2500 rechtsrelevanten Artikel, die das fleissige Anwaltsteam seit 2003 gepostet hat, mit ins neue Layout zu übernehmen oder andersherum, die Layoutvorlage behutsam und stimmig zu erweitern und unter Aktuelles erreich- und navigierbar zu machen. Webdesigner, die alltäglich mit WordPress zu tun haben, werden sicher eine Ahnung davon bekommen, welche Aufgabe es im Hinblick auf die unterschiedlichen Contentbereiche war, das Search-Template in den Griff zu bekommen. :-)

Ich möchte mich an dieser Stelle herzlichst bei Heinz Klein bedanken, der sich für mich und segert.net stark gemacht hat bei der Vergabe des Auftrags. Zudem hat er mich bei der Arbeit mit zahlreichen Anregungen begleitet und fleissig und erfolgreich den Großteil der Inhalte eingeflegt.

WordPress 3.0 mehrsprachig einrichten

Ralphs — Sun, 22 Aug 2010 09:13:33 +0000

Letztens habe ich auf einer Schulung einigen Mitgliedern eines Kulturvereins das Wesentliche im Backend von WordPress gezeigt. Dabei ist mir erneut bewusst geworden, wie schnell auch eher unerfahrene Menschen sich mit WordPress anfreunden können. Nach den Erfahrungen mit ExpressionEngine und Contao (früher TYPOlight) ist WordPress für kleine bis mittelgroße Websites, die nicht jeden Tag aktualisiert werden, mittlerweile mein bevorzugtes CMS. Zumal die Multisite-Fähigkeit von WordPress 3.0 nun auch mehrsprachige Websites ohne Hängen und Würgen zulassen soll. Heinz Duschanek zeigt in seiner Anleitung WordPress 3.0 und Mehrsprachigkeit wie einfach das in Grunde zu realisieren ist.

Schönes Webdesign für kleines Content Management

Ralphs — Sat, 20 Mar 2010 17:24:16 +0000

Während Verena die Kunst des kleinen Icons ausübt, backe ich kleinere Brötchen und mache Redesigns mit Fotorecherche für den Kopfbereich und kundenfreundlicher WordPress-Implentierung, geschehen für das Seniorenheim der Verbandsgemeinde Linz. Schön war an der Arbeit, dass Perun mir den entscheidenden Tipp für ein PlugIn geben konnte, das dafür sorgt, dass eine Navigation mit Untermenüpunkten nicht dauerhaft geöffnet ist. Stattdessen soll nur das Submenü zu sehen sein, das ein Besucher aktuell geöffnet hat. Vielen Dank an Perun und seine schnelle Hilfe. Ich hatte zuvor vieles ausprobiert und auch zahlreiche PlugIns getestet, aber keines arbeitete wirklich im gewünschten Sinne. Aber auf das PlugIn Fold Page Menus bin ich nicht gestossen. Sachen gibts!

Ein weiterter Artikel zum Thema schönes Webdesign und WordPress als CMS: 125 WordPress Templates für ein Redesign

Mehrere Sidebars mit eigenen WordPress-Widgets

Ralphs — Mon, 28 Sep 2009 16:59:06 +0000

Das Blogdesign für Kunden hat mich endlich dazu gebracht, meine WordPress-Templates auf den neuesten Stand zu bringen. Das hieß vor allem, Widgets zu ermöglichen, denn die sind überaus praktisch für Kunden, die ihre Sidebars frei einrichten wollen. Bei der Arbeit habe ich gleich einen Weg gesucht, um Widgets an mehreren Stellen des Layouts platzieren zu können. So sollte das Widget für “Seiten” in einer Spalte im Footer stehen und die Tag-Cloud direkt daneben.

Um dies zu erreichen, ist es nötig, die Datei funktions.php etwas zu erweitern. Dort stehen ganz oben folgende Zeilen:

Diese Zeilen habe ich um folgende erweitert, bitte auf die gelbe Markierung achten.

Nun wird an die Stelle im Template (sidebar.php oder footer.php z.B.), in der Widgets eingefügt werden sollen, der blau markierte Code für die Sidebar 2 eingesetzt. Bitte darauf achten, dass in !dynamic_sidebar('sidebar2') die entsprechende Sidebar angegeben wird:

Falls nun keine Überschrift erwünscht ist, kann in diesem Code noch folgende CSS-Anweisung hineingeschreiben werden (blau markiert):

Bleibt die Frage, wie nun die neuen Sidebars mit den Widgets individuell gestaltet werden können. Dazu einfach in den Quellcode einer im Browser geöffnet WordPress-Site schauen und die entsprechenden CSS-Klassen in Erfahrung bringen (die werden von der Software automatisch eingefügt). Will man das Widget für Links anpassen, so passt man schlicht die Klasse .widget_links mit eigenen Werten an:

#sidebar .widget_links li { font-size: 11px; padding: 8px 30px 0 1px; }

Bleibt es bei einem Widget in einer Extra-Sidebar, reicht die Formatierung von a und ul und li. So habe ich im Footer des Singleblogs das Widget für “Seiten” folgendermassen mit Schaltflächen formatiert:

#sidebar2 a { text-align: center; display: block; padding: 8px 0 5px 0px; width: 273px; height: 28px; color: #e8c59e; border-bottom: 0; text-decoration: none; background: url(images/footer-button.gif) no-repeat 0 0; }
#sidebar2 a:hover { color: #f93; border-bottom: 0; text-decoration: none; background: url(images/footer-button-aktiv.gif) no-repeat 0 0; }

#sidebar2 ul { list-style: none; margin: 20px 10px 50px 0px; }

#sidebar2 li { letter-spacing: 1px; line-height: 21px; margin-bottom: -1px; }

Links zum Thema WordPress-Widgets

WordPress FAQ – Oft gestellte Fragen: Was sind Widgets?
Dr. Web: Was sind Widgets und wofür setzt man sie ein?
Datenschmutz: Ein Widget in mehreren WordPress Sidebars verwenden
WordPress Forum: Using sidebar widgets in multiple sidebars

Blogdesign und ein behutsames Redesign

Ralphs — Sun, 27 Sep 2009 17:30:56 +0000

Für unsere kleine Agentur schöner Websites und Icons ;) war es in den letzten Monaten besonders erfreulich, dass alte Webfreude und Bekannte auf mich zukamen, um mich als Webdesigner zu engagieren. So beauftragte mich Julian von Heyl, den ich seit Anfang 1997 kenne (als das Web noch übersichtlich war), um sein erfolgreiches Projekt korrekturen.de css-technisch und an den Webstandards orientiert auf den neuesten Stand zu bringen. Ich sollte es behutsam redesignen. Die folgenden Screenshots zeigen das Vor- und Nachher:

Silvio Fritsche haben wir um 2000 im Zusammenhang mit unserer Lomo-Leidenschaft im Netz kennengelernt. Er beauftragte mich, sein Blog Yogabasics umzugestalten. Neben den WordPress-Templates kommen auch einige Grafiken in der Sidebar von mir. Auch hier zeigt das Vor- und Nachher, dass sich die Beauftragung durchaus gelohnt hat. ;-). Silvio ist zufrieden mit meiner Arbeit und gab mir kurz danach noch einen kleinen Folgeauftrag. So erstelle ich zur Zeit für sein nächstes Blog Yogatraumreisen eine Variante des WordPress-Themes von Yogabasics. Dass ich für Freunde und engagierte Freiberufler sehr faire Preise mache, brauche wohl nicht näher ausführen. :-)

Lange habe ich Blogdesigns vorwiegend für private Projekte erstellt. Dass in letzter Zeit auch echte Aufträge hinzukamen, ist sehr erfreulich. Aktuell habe ich gestern das Redesign für das Singleblog fertiggestellt. Eine gewisse Ähnlichkeit des Footers von Yogabasics ist nicht zu leugnen, aber der des Singleblogs sieht anders aus und darauf kommt es an. Man muss ja das Rad nicht immer neu erfinden. ;)

Camtasia Studio, WordPress-Anleitung, ExpressionEngine ;-)

Ralphs — Thu, 02 Apr 2009 13:31:12 +0000

Endlich gibt es das Upgrade von Camtasia Studio 6 auch auf deutsch, was mich zu neuen Taten anregt. Wenn dann in Kürze noch WordPress 2.8 fertiggestellt ist, werde ich – ich werde ;-) – zügig die Video-Anleitung Mit WordPress per Du erstellen. Dazu will ich noch das komplette Hauptmenü anpassen, da es sich noch an WordPress 2.6 anlehnt. Die neue Navigation soll sich an das Hauptmenü im Adminbreich von WordPress orientieren. Zur Zeit suche ich ein Script, das ein solches vertikales DropDown-Menü zur Arbeit zwingt. Ähnlich arbeitende Menüs gibt es wie Sand am Meer, so scheint es mir. Nur habe ich bisher keines gefunden, mit dem man Unternemüs auf Mausklick unabhängig von der Seite, auf der man grad ist, öffnen kann; und die auch geöffnet bleiben; wie es im Adminbereich von WordPress 2.7 funktioniert. Aber das wird sich bestimmt finden lassen.

Manchmal bedaure ich in meinem Unabhängigskeitsdrang, dass ich nicht Javascript und PHP gelernt habe. Aber ich weiss, dass hier meine Talentgrenzen sind, da kann ich ein noch so erfahrener Autodidakt sein.

Zum Thema Video-Anleitungen fällt mir grad noch die Site ExpressionEngine Screencast ein. Dort bietet Ryan Irelan seinen Video-Kurs Building a Dynamic Website with ExpressionEngine für 5 Dollar pro Videoeinheit an. Eine interessante Idee für engagierte Screencaster.

Edit: RC 2 sorgt für WordPress-Spannung

Ralphs — Wed, 10 Dec 2008 13:27:12 +0000

Jetzt gibt es also vor dem Release noch einen Release Candidate Two für WordPress 2.7. Der erste lief auf meinem Testblog schon richtig gut. Das neue Interface macht richtig Spaß. Wahrscheinlich werde ich über das neue WordPress-Feeling einen Screencast machen. Ich wette, der macht hier und dort das Updaten leichter. ;) – So, jetzt gleich zum ersten Mal den Updater von WordPress ausprobieren, auf den Herr Matt vorsichtshalber hinweist. Nicht das dies jemand noch von Hand macht!

Edit: Dieser RC 2 ist nicht alt geworden, denn die neue Generation der freien Blogsoftware ist nun offiziell am Start. Und auf der Blumenstraße freut man sich über Verenas alternative WordPress-Icons. ;) –

Irre, wieviele Leute am Code von Coltrane mitgearbeitet haben und zudem fix wie immer: WordPress 2.7 DE-Edition.

Eine Frage an den WordPress-Kenner

Ralphs — Tue, 09 Dec 2008 19:51:30 +0000

Wie unschwer zu erkennen ist, bevorzuge ich einen einzigen Blogbeitrag auf der Startseite. Für das Archiv oder die Suche ist das aber ein Nachteil, da zuviel geklickt werden muss. Leider bietet WordPress aber keine Option an (auch 2.7 nicht), die es mir erlaubt, die Anzahl der Beiträge pro Seite für das Archiv und die Suchergebnis-Seite frei einzustellen. Gibt es eine Möglichkeit, mit Hilfe eines Codeschnipsels die entsprechenden Templates gefügig zu machen?