WordPress-Sicherheit: das Admin-Konto, das Sie nicht angelegt haben
Ein WordPress-Sicherheitsaudit einer Flotte beginnt mit unerwarteten Admins. MCP bleibt lesend. Sie bestätigen den Write.
Ein WordPress-Sicherheitsaudit auf einer Site ist eine Checkliste. Auf einer Flotte ist es die Liste der Admins, die Sie nicht angelegt haben, fehlgeschlagene Logins, Härte-Konstanten die nie gesetzt wurden. Das ist der erste Durchgang. „MCP security“ meint oft das Protokoll. Hier heißt es auch: das Modell schreibt nicht.
Der unerwartete Admin
Sie nennen die Konten, die Sie kennen. Jeder andere Administrator ist hoch. Eine leere Liste sagt nur „diese Site hat vier Admins“ — das lehrt nichts. Gefüllt sagt sie „cmspanel gehört Ihnen nicht“.
Was MCP sehen darf
Inventar und den letzten gespeicherten Report. Kein Passwort. Kein Write. Wenn das Konto weg muss, bestätigen Sie im Dashboard. Das Log hält die Aktion.
Konstanten, die schon da sein sollten
DISALLOW_FILE_EDIT mindestens. DISALLOW_FILE_MODS wenn der Hoster es erlaubt. Ein Audit, das wp-config nie liest, scannt Symptome, nicht die Tür.
