WordPress nutzt sogenannte Sicherheitsschlüssel und Salts, um Anmeldungen abzusichern. Wenn du sie erneuerst, werden alle bestehenden Anmeldungen ungültig, auch die eines Angreifers, der sich möglicherweise Zugang verschafft hat. In diesem Artikel erfährst du, wann das sinnvoll ist und wie du es machst.
Wann solltest du die Salts erneuern?
Wir empfehlen das nach einer Sicherheitslücke, bei der Login-Daten betroffen sein könnten, nach einem Verdacht auf einen Hack, wenn ehemalige Mitarbeiter oder Dienstleister Zugang zur Website hatten oder wenn du Passwörter von Administratoren geänderst hast und sicher sein willst, dass alte Sitzungen beendet sind.
Was passiert dabei?
Alle Nutzer, die gerade in WordPress angemeldet sind, werden abgemeldet, auch du selbst. Jeder muss sich mit seinem Passwort neu anmelden. Die Passwörter selbst bleiben unverändert.
Bei Online-Shops werden auch angemeldete Kunden abgemeldet. Je nach Shop-System können dabei Warenkörbe angemeldeter Kunden verloren gehen. Erneuere die Salts deshalb möglichst zu einer Zeit mit wenig Betrieb.
Die richtige Reihenfolge
Wenn du die Salts aus Sicherheitsgründen erneuerst, ändere zuerst die Passwörter aller WordPress-Administratoren und erneuere danach die Salts. So sind sowohl die alten Passwörter als auch alle bestehenden Sitzungen ungültig.
So erneuerst du die Salts
1. Neue Schlüssel erzeugen
Öffne diese Seite im Browser: https://api.wordpress.org/secret-key/1.1/salt/
WordPress erzeugt dir dort acht neue, zufällige Zeilen. Lass die Seite geöffnet. Bei jedem Neuladen entstehen neue Schlüssel, das ist in Ordnung.
2. Plesk öffnen
Melde dich in unserem Kundencenter an und öffne Plesk über den Button „Control Panel Login“. Wähle deine Domain und öffne den Bereich „Dateien“.
3. Sicherungskopie der wp-config.php erstellen
Die Datei wp-config.php liegt in der Regel im Ordner „httpdocs“. Erstelle eine Kopie dieser Datei und nenne sie zum Beispiel „wp-config-backup.php“. Mit dieser Kopie kannst du alles rückgängig machen, falls etwas schiefgeht.
4. Die alten Schlüssel ersetzen
Öffne die wp-config.php im Editor. Suche den Abschnitt mit diesen acht Zeilen:
define( 'AUTH_KEY', '...' );
define( 'SECURE_AUTH_KEY', '...' );
define( 'LOGGED_IN_KEY', '...' );
define( 'NONCE_KEY', '...' );
define( 'AUTH_SALT', '...' );
define( 'SECURE_AUTH_SALT', '...' );
define( 'LOGGED_IN_SALT', '...' );
define( 'NONCE_SALT', '...' );Markiere genau diese acht Zeilen und ersetze sie durch die acht neuen Zeilen aus Schritt 1. Ändere sonst nichts an der Datei.
5. Speichern und prüfen
Speichere die Datei. Rufe deine Website auf und melde dich neu in WordPress an. Funktioniert beides, bist du fertig.
6. Sicherungskopie löschen
Lösche die Datei „wp-config-backup.php“ wieder. Sie enthält deine Datenbank-Zugangsdaten und sollte nicht dauerhaft auf dem Server liegen.
Alternative für Fortgeschrittene: WP-CLI
Wenn du SSH-Zugang hast und mit der Kommandozeile vertraut bist, kannst du die Salts mit einem Befehl im WordPress-Verzeichnis erneuern:
wp config shuffle-saltsWenn etwas schiefgeht
Zeigt deine Website nach dem Speichern eine weiße Seite oder eine Fehlermeldung, ist beim Ersetzen meist ein Zeichen verloren gegangen. Lösche in diesem Fall die bearbeitete wp-config.php, benenne deine Sicherungskopie „wp-config-backup.php“ wieder in „wp-config.php“ um und versuche es erneut.
Bei Fragen zum Zugang zu Plesk oder zum Dateimanager hilft dir unser Support gern weiter.