Absicherung von WordPress-Logins: WP Admin Captcha
Die Sicherung der WordPress-Anmeldeseite (wp-login.php) ist ein grundlegender Schritt, um eine Webseite vor bösartigen Aktivitäten zu schützen. Automatisierte Bots scannen das Internet ständig nach Schwachstellen und versuchen durch Brute-Force-Angriffe, unbefugten Zugriff zu erlangen. Das Plugin WP Admin Captcha bietet eine effiziente und leichtgewichtige Lösung, indem es Google reCAPTCHA v2 direkt in die Anmeldeoberfläche integriert.
Funktionsweise
Das Plugin greift in den Authentifizierungsprozess ein, bevor ein Benutzer eingeloggt wird. Es fügt das bekannte “Ich bin kein Roboter”-Kontrollkästchen zum Anmeldebildschirm hinzu, das eine manuelle Interaktion erfordert, um sicherzustellen, dass die Anmeldung von einem Menschen und nicht von einem Skript stammt. Beim Absenden des Formulars sendet das Plugin eine Anfrage an die Verifizierungsserver von Google. Sind die Schlüssel konfiguriert, wird der WordPress-Authentifizierungsprozess erst fortgesetzt, wenn Google den erfolgreichen Abschluss der Herausforderung bestätigt.
Hauptmerkmale
- Einfache Konfiguration: Über eine dedizierte Einstellungsseite können die Site- und Secret-Keys eingegeben werden. Seit dem Abschluss der Migration von reCAPTCHA Classic im ersten Quartal 2026 werden diese Schlüssel in der Google Cloud Console erzeugt und verwaltet, und jeder Schlüssel gehört zu einem Google-Cloud-Projekt; die alte reCAPTCHA Admin-Konsole dient nur noch der Einsicht in historische Daten. Bis zu 10.000 Assessments pro Monat bleibt die Nutzung kostenfrei.
- Aussperrschutz: Sollten die erforderlichen Schlüssel nicht konfiguriert sein, überspringt das Plugin die Verifizierung, um zu verhindern, dass Administratoren den Zugriff auf ihre eigene Webseite verlieren. Bis gültige Schlüssel hinterlegt sind, bleibt die Anmeldeseite damit ohne Captcha-Schutz.
- Minimaler Overhead: Durch die Nutzung nativer WordPress-Hooks und der integrierten HTTP-API wird sichergestellt, dass die Leistung der Webseite nicht beeinträchtigt wird.
- Open Source: Der Code ist transparent und auf GitHub für Überprüfungen oder Beiträge verfügbar: https://github.com/LW-IT-Solutions/wp-admin-captcha.
Fazit
WP Admin Captcha schützt WordPress-Anmeldeseiten vor automatisierten Brute-Force-Angriffen durch die Integration von Google reCAPTCHA v2 und hält Administratoren den Zugang offen, indem die Prüfung ausgesetzt bleibt, solange keine Schlüssel hinterlegt sind.
Passend dazu
2 Kommentare
Ein schlankes Plugin für genau eine Aufgabe ist mir lieber als ein Sicherheitspaket, das nebenbei den halben Aufbau umkrempelt — die Begründung für die Ausnahme ohne Schlüssel überzeugt ebenfalls.
Eine Lücke bleibt für mich offen: Die meisten Anmeldeversuche in unseren Protokollen gehen gar nicht an
wp-login.php, sondern anxmlrpc.php. Deckt das Plugin diesen Weg mit ab?Nein, und es kann es auch nicht: Eine Prüfung, die eine menschliche Interaktion verlangt, setzt eine Oberfläche voraus. Die Schnittstelle hat keine, sie nimmt Anmeldedaten in einem Aufruf entgegen und antwortet maschinell.
Der Weg ist deshalb attraktiv für automatisierte Versuche — schlimmer noch, eine einzelne Anfrage kann historisch mehrere Anmeldeversuche bündeln, was Rate-Limits auf Anfrageebene unterläuft. Genau das erklärt das Bild in den Protokollen: wenige Anfragen, viele Versuche.
Zwei Massnahmen greifen dort, wo das Plugin nicht hinreicht. Wo nichts die Schnittstelle braucht — keine App, kein externer Editor, kein Dienst, der Beiträge einliefert —, gehört sie abgeschaltet; das ist die wirksamste und billigste Antwort. Wo sie gebraucht wird, gehört die Begrenzung eine Ebene tiefer, in den Webserver: eine Sperre nach wenigen Fehlversuchen je Adresse, unabhängig davon, welche Datei angesprochen wurde.