Wir sprechen oft darüber, dass die Sicherheit deiner WordPress-Website keine Aufgabe ist, die man einfach mal eben so erledigt. Sie erfordert eine ständige und wachsame Überwachung durch dich, und das kann entmutigend sein.

In Situationen, in denen du die Sicherheit mehrerer Websites überwachen musst, kann die Kinsta API eines deiner wichtigsten Werkzeuge sein. Das gilt vor allem dann, wenn du eine Reihe von nicht miteinander verbundenen Websites verwaltest. In solchen Situationen brauchst du die Automatisierung und die Transparenz, die dir die API bieten kann.

In diesem Beitrag erfahren wir, wie du die Kinsta-API für mehr Sicherheit nutzen kannst. Das Hauptaugenmerk liegt auf dem Blockieren von IPs und der Überwachung ihrer Auswirkungen mithilfe der verschiedenen verfügbaren Endpunkte. Zunächst sollten wir uns jedoch mit der schwierigen Aufgabe des Sicherheitsmanagements einer Website befassen.

Die Herausforderungen bei der Verwaltung der Sicherheit deiner Website

Als das beliebteste Content Management System (CMS) der Welt ist WordPress ein beliebtes Ziel für Hacker und böswillige Akteure. Aus diesem Grund ist WordPress sehr auf seine Sicherheit bedacht.

Auch wenn die Zahlen auf dem Papier gut aussehen – etwa drei Prozent der Websites haben irgendeine Art von Infektion oder blockierte Ressourcen – bedeutet das nicht, dass du dich entspannen solltest. Tatsächlich gibt es viele Bedrohungen, die du beachten musst, wenn es um deine WordPress-Website geht:

Angesichts der komplexen Angriffsmöglichkeiten kann es schon schwierig genug sein, die Sicherheit einer einzelnen WordPress-Website zu gewährleisten. Wenn du jedoch für mehrere Websites verantwortlich bist, vervielfacht sich diese Komplexität und der Umfang. Ein Netzwerk von Websites erfordert immer einen aktuellen und proaktiven Ansatz zur Sicherheitsüberwachung. Das ist noch schwieriger, wenn du eine Reihe von Websites ohne jegliche Verbindung verwaltest.

Daher ist eine effiziente und effektive Methode zur Überwachung und Sicherung aller von dir betreuten Standorte von großem Wert. Kinsta kann das für jeden Kunden bieten.

Wie die Kinsta-API die Sicherheit deiner Website verbessern kann

Das MyKinsta-Dashboard.
Das MyKinsta-Dashboard.

Unabhängig davon, welchen Tarif du hast, hat jeder Kinsta-Kunde Zugang zur vollständigen Kinsta-API. Mit diesem leistungsstarken Tool kannst du auf viele programmatische Arten mit deinen Websites interagieren. Es stehen viele verschiedene Endpunkte zur Verfügung, die sich mit Aspekten unseres Hostings verbinden.

Mit der Kinsta-API kannst du verschiedene sicherheitsrelevante Aufgaben automatisieren, und es gibt viele relevante Endpunkte:

  • Mit den Website-Tools kannst du IPs in deiner Blockliste abrufen und aktualisieren.
  • Es gibt einen Endpunkt, über den du die Fehler- und Zugriffsprotokolle deiner Website einsehen und verwalten kannst.
  • Dank einer Handvoll Endpunkte, die Leistungskennzahlen abrufen, kannst du Analysen von jeder deiner Websites abrufen.

Du findest diese Tools zwar im MyKinsta-Dashboard, aber es gibt viele Gründe, warum wir auch eine programmatische Option anbieten. In vielerlei Hinsicht bietet dir die Kinsta-API mehrere Vorteile gegenüber dem Dashboard:

  • Automatisierung. Du kannst Sicherheitsaufgaben automatisieren, indem du Skripte schreibst oder Tools von Drittanbietern verwendest. So kannst du Zeit sparen und manuelle Fehler reduzieren.
  • Massenoperationen. Mit der API kannst du Sicherheitsaufgaben für mehrere Websites gleichzeitig durchführen. Wenn du zu einer Agentur gehörst oder beruflich WordPress-Websites entwickelst, ist dieser Aspekt sehr nützlich.
  • Integration. Wenn du bereits eine Reihe von Sicherheitstools verwendest, die dir gefallen, kannst du sie mit der Kinsta-API in dein System integrieren. So kannst du deine Sicherheitsvorkehrungen in etwas Einzigartiges für deine Website verwandeln.

Aber genug geredet – jetzt geht es ans Eingemachte, wenn du die Kinsta-API für die Arbeit mit IP-Adressen nutzt. Wir beginnen mit einfachen Aufgaben und sehen uns später fortgeschrittene Anwendungen an.

IP-Beschränkungen mit der Kinsta-API implementieren

Eine der einfachsten Möglichkeiten, die Sicherheit deiner Website zu erhöhen, ist die IP-Beschränkung. Damit kannst du der Schlange den Kopf abschlagen und den Zugriff auf deine Website ganz unterbinden. Der Hauptvorteil besteht darin, dass Brute-Force-Angriffe eingedämmt werden.

Während du im MyKinsta-Dashboard mit deiner Blockliste arbeiten kannst, bietet die Kinsta-API mehr Flexibilität, wenn du sie brauchst. Nehmen wir an, du bist eine WordPress-Agentur und verwaltest mehrere Kundenseiten mit einem unserer Kinsta Agency-Pakete.

Verwendung der Kinsta-API zur Einschränkung von IP-Adressen

Zunächst solltest du eine Liste von IP-Adressen haben, die du einschränken möchtest. In unserer Dokumentation findest du einige Methoden dafür, z. B. die Verwendung von Analytics, um Adressen aufzuspüren, die in einem kurzen Zeitraum viele nicht gecachte Anfragen stellen.

Der Analysebildschirm im MyKinsta-Dashboard.
Der Analysebildschirm im MyKinsta-Dashboard.

Von hier aus kannst du die Kinsta-API nutzen, um sie einzuschränken. Als Erstes solltest du den Endpunkt Environments verwenden, um eine Liste von Websites abzurufen. Diese enthält sowohl deine Live- als auch deine Staging-Sites:

const siteId = 'YOUR_site_id_PARAMETER';

const resp = await fetch(
  `https://api.kinsta.com/v2/sites/${siteId}/environments`,
  {
    method: 'GET',
    headers: {
      Authorization: 'Bearer <YOUR_TOKEN_HERE>'
    }
  }
);

const data = await resp.text();
console.log(data);

Als Nächstes kannst du den Endpunkt Denied IPs verwenden, um eine GET Anfrage zu stellen, die deine aktuelle Sperrliste im JSON-Format zurückgibt. Die Antwort enthält ein Array mit den gesperrten IP-Objekten:

{
- "environment": [
"id": "abc123",
"ip-list": [
"192.168.1.1",
]
    }
}

Mit der zugehörigen PUT Anfrage kannst du eine IP zu deiner Blockliste hinzufügen, für die du die Umgebungs-ID angeben musst:

const resp = await fetch(
  `https://api.kinsta.com/v2/sites/tools/denied-ips`,
  {
    method: 'PUT',
    headers: {
      'Content-Type': 'application/json',
      Authorization: 'Bearer <YOUR_TOKEN_HERE>'
    },
    body: JSON.stringify({
      environment_id: '54fb80af-576c-4fdc-ba4f-b596c83f15a1',
      ip_list: ['127.0.0.1']
    })
  }
);

const data = await resp.json();
console.log(data);

Bei erfolgreicher Hinzufügung wird der Antwortcode 200 zusammen mit result: null in einer JSON-Datei zurückgegeben. Du könntest den gesamten Prozess mit einem Skript oder Tool weiter automatisieren, um ihn immer dann auszuführen, wenn du die Blockliste erneut aktualisieren musst.

Überwachung von Website-Aktivitäten mit der Kinsta-API

Präventive Sicherheitsmaßnahmen wie IP-Beschränkungen sind hervorragend, aber es ist auch wichtig, die Aktivitäten auf deiner Website auf potenzielle Sicherheitsbedrohungen zu überwachen. Du kannst auf eine Reihe von Schlüsselindikatoren für jede deiner Websites achten:

  • Ungewöhnliche Traffic-Muster oder Volumen-Spitzen
  • Die Häufigkeit von fehlgeschlagenen Anmeldeversuchen
  • Allgemeines verdächtiges Nutzerverhalten
  • Inkonsistente Leistung der Website oder ungewöhnliche Ausfallzeiten.

Das MyKinsta-Dashboard kann dir Echtzeit-Benachrichtigungen und -Warnungen zu vielen Aspekten deiner Website senden. So kannst du bei einem möglichen Sicherheitsproblem sofort handeln.

Eine Benachrichtigungskarte im MyKinsta-Dashboard.
Eine Benachrichtigungskarte im MyKinsta-Dashboard.

Die Kinsta-API hat mehrere Endpunkte, über die du die Logs deiner Website abrufen und einsehen kannst. Du kannst auch automatische Überwachungs- und Warnsysteme einrichten, die auf deine Bedürfnisse zugeschnitten sind.

Aufspüren bösartiger Aktivitäten mit Website-Logs und Metriken

Nehmen wir ein Szenario an, in dem deine Agentur verdächtige Aktivitäten auf einer einzelnen Kundenseite überwachen muss. Für eine proaktive Überwachung, bei der du keine Benachrichtigung als Ausgangspunkt hast, gibt es einige Ansätze.

Auch hier musst du deine Liste der Umgebungen abrufen, da die Endpunkte eine ID benötigen. Sobald du diese hast, kannst du einen Blick auf den Endpunkt logs werfen. Die Anfrage hat zwei erforderliche Felder:

  • file_name akzeptiert einen String, der die Protokolle error, access oder kinsta-cache-perf enthält.
  • lines lässt dich die Anzahl der Zeilen angeben, die die Anfrage aus dem Protokoll zurückgibt, die unter 20.000 liegen muss.

Das kann dir helfen herauszufinden, ob es einen Grund zur Sorge gibt. Die tieferen Einblicke, die du über den Endpunkt metrics erhältst, können dir helfen, die Lücken zu füllen. Welche Metriken du dir ansiehst, hängt von der jeweiligen Situation ab.

Du kannst zum Beispiel die Bandbreite überprüfen, um sicherzustellen, dass du nicht von einem koordinierten Angriff auf eine Website betroffen bist. Mit den Abfrageparametern kannst du einen Start- und Endpunkt für den Zeitrahmen sowie eine Intervallzeit festlegen. Die JSON-Rückgabe liefert dir Details zur Bandbreite für die jeweilige Website:

{
  "app": {
    "id": "54fb80af-576c-4fdc-ba4f-b596c83f15a1",
    "display_name": "my-app",
    "metrics": {
      "timeframe": {
        "start": "1679587045511",
        "end": "1679587045511"
      },
      "bandwidth": [
        {
          "time": "1679587045511",
          "value": "value"
        }
…

Es gibt noch viele andere Kennzahlen, wie die Anzahl der HTTP-Anfragen pro Minute und die durchschnittliche Antwortzeit. Deine Aufgabe ist es, diese Metriken und die Daten in den Protokollen zu prüfen, um verdächtige Aktivitäten oder potenzielle Sicherheitsbedrohungen zu erkennen.

Wenn du eine Visualisierung brauchst, kann dir Kinsta APM dabei helfen:

Das Kinsta APM-Tool, das die gesamte Transaktionszeit für einen bestimmten Zeitraum anzeigt.
Das Kinsta APM-Tool, das die gesamte Transaktionszeit für einen bestimmten Zeitraum anzeigt.

Wenn du alle Kinsta-Tools – API, MyKinsta-Dashboard und APM – kombinierst, kannst du potenzielle Sicherheitsprobleme schnell erkennen und darauf reagieren und das Risiko eines dauerhaften Schadens für deine Website und ihren Ruf minimieren.

Automatisierte Sicherheitseskalation mit der Kinsta-API und MyKinsta

Die Automatisierung deines Sicherheitsworkflows kann deine Reaktionen effizienter und mobiler machen. Obwohl eine proaktive Überwachung der ideale Weg ist, um deine Websites sicher zu halten, ist manchmal auch ein reaktiver Ansatz notwendig.

Dies ist ein weiterer Bereich, in dem automatisierte Benachrichtigungen sehr nützlich sind. Sobald du eine Benachrichtigung von Kinsta erhältst, kannst du sofort aktiv werden, um das Problem zu beheben. Im Gegensatz zu anderen Sicherheitsaufgaben ist die Kinsta-API dieses Mal jedoch nicht Teil der Triage.

Stattdessen wird MyKinsta dein Ratgeber sein. In der Kinsta-Dokumentation findest du eine Übersicht über die Meldungen zur Website-Überwachung, die dir zur Verfügung stehen. Es gibt eine ganze Reihe von Meldungen, z. B. über Ausfallzeiten der Website, DNS-Fehler und vieles mehr.

Wenn du eine Bedrohung auf deiner Website feststellst, kannst du die Kinsta-API nutzen, um mit den böswilligen Nutzern umzugehen. Das kann das Hinzufügen von IPs zu einer Sperrliste sein oder die Überprüfung der Backups, die du für den Fall des Falles angelegt hast.

Es gibt eine Reihe von GET Anfragen, die dir helfen, herauszufinden, welche Backups es gibt. Wenn dir eines fehlt, kannst du eine POST-Anfrage stellen, um ein manuelles Backup zu starten. Dazu brauchst du nur die Umgebungs-ID und einen Namen für das Backup:

const envId = 'YOUR_env_id_PARAMETER';
const resp = await fetch(
  `https://api.kinsta.com/v2/sites/environments/${envId}/manual-backups`,
  {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
      Authorization: 'Bearer <YOUR_TOKEN_HERE>'
    },
    body: JSON.stringify({
      tag: 'my-awesome-backup'
    })
  }
);

const data = await resp.json();
console.log(data);

Mit der Kinsta-API kannst du auch ein Backup wiederherstellen. Du könntest dir sogar eine Strategie ausdenken, die deine Website-Logs abruft, deine Metriken auswertet, ein Backup unter Berücksichtigung deiner spezifischen Parameter und Regeln erstellt, eingehende bösartige IPs blockiert und dann ein Backup wiederherstellt, wenn die Angriffe nachlassen.

Überwache die Aktivitäten auf deiner Website kontinuierlich und verbessere deinen Sicherheitsprozess anhand der Erkenntnisse, die du über die Kinsta-API und MyKinsta gewinnst.

Durch die Automatisierung deines Sicherheitsprozesses kannst du schneller auf Bedrohungen reagieren und die potenziellen Auswirkungen von Sicherheitsvorfällen auf deiner Website minimieren.

Gute Praktiken für die Implementierung von API-gesteuerten Sicherheitsmaßnahmen

Wann immer du eine API verwendest, gibst du Aspekte deiner Website für das Internet frei. Aus diesem Grund ist es unerlässlich, einige typische und anerkannte Praktiken zu befolgen, um die Sicherheit und Integrität deiner Website und deiner Daten zu gewährleisten.

Es gibt ein paar wichtige Richtlinien, die du dabei beachten solltest. Zuallererst solltest du immer sichere Authentifizierungsmethoden verwenden, wenn du auf eine API zugreifst. Das kann ein API-Schlüssel, ein OAuth-Token oder etwas anderes sein. Kinsta bietet zu diesem Zweck einen API-Schlüssel-Authentifizierungsendpunkt an:

const resp = await fetch(
  `https://api.kinsta.com/v2/validate`,
  {
    method: 'GET',
    headers: {
      Authorization: 'Bearer <YOUR_TOKEN_HERE>'
    }
  }
);

const data = await resp.text();
console.log(data);

Denke daran, dass du deine API-Zugangsdaten nicht in clientseitigem Code oder öffentlichen Versionskontroll-Repositories offenlegen solltest. An dieser Stelle solltest du dich über die Möglichkeiten deiner Programmiersprache informieren. Python ruft zum Beispiel ein constants.py Modul auf, und PHP verwendet OpenSSL und andere Module, um sensible Daten zu schützen.

Es gibt noch ein paar andere wichtige Überlegungen, die du anstellen solltest:

  • Der Umgang mit Daten. Wenn du sensible Daten über die Kinsta-API abrufst, musst du sicherstellen, dass du diese Daten auf sichere Weise handhabst und speicherst. Außerdem solltest du anerkannte Praktiken für die Datenverschlüsselung, die Zugriffskontrolle und die Einhaltung von Datenschutzbestimmungen einhalten.
  • Regelmäßige Tests und Aktualisierungen. Dein Testprozess sollte kontinuierlich sein, und das kannst du auch mit der Kinsta-API erreichen. Diese ständigen und fortlaufenden Tests und Aktualisierungen stellen sicher, dass deine Website und ihre Sicherheit auch bei neuen Bedrohungen wirksam bleiben.

Und schließlich ist das Prinzip der geringsten Rechte fast schon ein Muss, wenn du Zugriffsrechte für dein Team oder für Dienste von Drittanbietern einrichtest. Kurz gesagt: Gewähre jedem Nutzer oder Dienst nur so viel Zugriff, wie er zur Erfüllung seiner Aufgaben benötigt. Außerdem solltest du alle unnötigen Berechtigungen regelmäßig überprüfen und widerrufen.

Berichte über IP-Beschränkungen und Aktivitätsüberwachung

Für das Sicherheitsmanagement von Kundenstandorten ist es eine gute Praxis – und so gut wie unverzichtbar -, regelmäßig und transparent darüber zu berichten, wie effektiv deine Strategie ist. Deine Kunden verdienen es, über die Maßnahmen, die du zum Schutz ihrer Websites ergreifst, und über die Ergebnisse deiner Bemühungen informiert zu werden. Das stärkt das Vertrauen und zeigt, wie wertvoll dein Angebot ist.

Deshalb solltest du sicherstellen, dass die Berichte, die du deinen Kunden lieferst, so viele Informationen wie möglich enthalten. Mit Kinsta kannst du eine Reihe von Kennzahlen und Erkenntnissen für jede einzelne Website abrufen:

  • Die Anzahl der blockierten IP-Adressen.
  • Trends bei verdächtigen Aktivitäten, wie fehlgeschlagene Anmeldeversuche oder ungewöhnliche Traffic-Muster.
  • Kennzahlen zur Leistung und Betriebszeit deiner Website. Diese können auf potenzielle Sicherheitsprobleme hindeuten.

Natürlich hast du noch viel mehr zur Verfügung. Trotzdem ist es wichtig, dass du diese Informationen so aufbereitest, dass sie für deine Kunden verständlich sind. Hier sind ein paar Tipps, was du berücksichtigen solltest:

  • Die Maßnahmen, die du als Reaktion auf erkannte Bedrohungen ergriffen hast, wie z. B. Backups der Website oder Sicherheits-Patches.
  • Verwende Datenvisualisierungstools, um klare, zugängliche und verständliche Informationen über die Sicherheit einer Website zu präsentieren. Grafiken, Diagramme und Dashboards können deinen Kunden helfen, sich über die aktuellen Sicherheitsvorkehrungen zu informieren und herauszufinden, ob deine Bemühungen effektiv sind.
  • Du solltest darauf achten, dass du Kontext und Erklärungen zu den Daten lieferst, die du präsentierst. Es ist ein Fehler, davon auszugehen, dass deine Kunden ein tiefes technisches Verständnis für Sicherheitskonzepte haben. Verwende stattdessen eine verständliche Sprache und liefere Beispiele, damit sie die Bedeutung und Ernsthaftigkeit der Kennzahlen und Trends, über die du berichtest, verstehen können.

Schildere alle Herausforderungen und Einschränkungen, auf die du bei der Sicherheit der Website stößt, transparent. Bei schwierigen Bedrohungen oder Problemen ist es eine gute Idee, offen darüber zu sprechen und zu erklären, was ihr tut, um sie zu verbessern.

An dieser Stelle kann es hilfreich sein, Empfehlungen für weitere Sicherheitsverbesserungen zu geben. Diese werden sich aus deinen Erkenntnissen und Analysen ergeben. Das können zum Beispiel Vorschläge für zusätzliche Sicherheitsmaßnahmen sein, wie die Einführung einer Zwei-Faktor-Authentifizierung oder die Aktualisierung veralteter Plugins.

Zusammenfassung

Die Kinsta-API bietet viel Spielraum für eine Vielzahl von Aufgaben auf der Website. Wenn es um die Sicherheit geht, ist sie ein guter Weg, um deine Website und deine Nutzer/innen zu schützen. Mit ihr kannst du Aufgaben wie das Abrufen von Logs, die Überprüfung auf ungewöhnliche Aktivitäten und das automatische Sperren von IPs automatisieren.

Uns gefällt der überzeugende und leistungsstarke Ansatz, die API mit anderen Anwendungen und Tools zu verknüpfen. Auf diese Weise erhältst du eine vollständige programmatische Methode zur Sicherung deiner Website. In Verbindung mit den Visualisierungsoptionen des Kinsta APM kann deine Website für lange Zeit sicher bleiben.

Wie würdest du die Kinsta-API nutzen, um die Sicherheit deiner Website zu verwalten? Bitte teile uns deine Gedanken und Erkenntnisse in den Kommentaren mit!

Jeremy Holcombe Kinsta

Content & Marketing Editor bei Kinsta, WordPress Web Developer und Content Writer. Außerhalb von WordPress genieße ich den Strand, Golf und Filme. Außerdem habe ich Probleme mit großen Menschen ;).