WordPress-Audit · 8 Prüfungen nur für WordPress

Kostenloses WordPress-Audit. 8 Prüfungen nur für WordPress.

Ein Scan ausschließlich für WordPress. Wir finden typische Lücken, die generische Scanner übersehen: vergessene wp-config-Backups, öffentliche Benutzerliste, lesbares debug.log und mehr.

Passiver Scan · ohne Anmeldung · Ergebnisse in 30 Sekunden

https://

Scan dauert 30 Sekunden. PDF-Bericht anschließend über die Schaltfläche auf der Ergebnisseite anfordern.

So funktioniert es

3 Schritte · 30 Sekunden

WP-Domain eingeben

Wir erkennen WordPress automatisch. Sie müssen weder Version noch Theme angeben.

8 Prüfungen nur für WordPress

xmlrpc, REST-User-Enumeration, Autoren-Archiv, debug.log, Uploads-Listing, readme.html, license.txt und wp-config-Backups.

Ergebnisse und PDF-Bericht

Die schwerwiegendsten Befunde sehen Sie sofort. Den vollständigen PDF-Bericht senden wir Ihnen kostenlos per E-Mail. Darin wird jeder Befund erklärt und mit konkreter Behebung versehen.

WP-spezifische Befunde, die wir prüfen

WordPress hat eigene typische Probleme. Generische Scanner übersehen sie oft. Wir suchen sie gezielt.

WP RESTkritisch

User-Enumeration über /wp-json/wp/v2/users

Jeder kann die Liste aller Autoren inkl. user_login herunterladen. Das ist die halbe Strecke zum Brute-Force-Angriff.

GET /wp-json/wp/v2/users → ["admin","editor"]

Exposedkritisch

debug.log aus dem Internet lesbar

WP_DEBUG_LOG = true schreibt nach /wp-content/debug.log. Darin können Queries, Pfade, manchmal Passwörter stehen.

GET /wp-content/debug.log → 200 OK

xmlrpcWarnung

XML-RPC ist aktiviert

Über xmlrpc.php probiert ein Angreifer 1000 Passwörter in einer Anfrage. 99% der WP-Sites brauchen es nicht.

POST /xmlrpc.php → system.listMethods OK

ListingWarnung

Uploads-Verzeichnis erlaubt Listing

Ein Besucher sieht alle hochgeladenen Dateien inkl. Rechnungs-PDFs oder Testbildern.

GET /wp-content/uploads/ → Index of

DateienWarnung

readme.html aus dem Internet erreichbar

Die Datei bestätigt, dass die Website mit WordPress läuft, und verrät bei älteren Installationen auch die Version. Löschen oder sperren Sie sie.

GET /readme.html → 200 OK

BackupWarnung

wp-config.php.bak im Root

Jeder lädt die Datenbank-Zugänge herunter.

GET /wp-config.php.bak → 200 OK (4.3 KB)

Über Vulscan

Wir betreuen WordPress-Sites für Kunden seit Jahren und wissen, wo gängige Plugins und Themes Türen offenlassen. Dieser Scan sucht konkret nach dem, was wir in der Praxis als echten Angriff gesehen haben.

hello@vulscan.app LinkedIn

Passiver Scan

Keine invasiven Tests. Wir verhalten uns wie ein Besucher, Ihre Website merkt nichts davon.

Europäischer Kontext

Wir kennen lokale Hoster, CMS-Systeme und Registrare, daher sind unsere Empfehlungen konkret.

Echte Hilfe

Wenn Sie einen Befund nicht verstehen, schreiben Sie uns. Wir antworten.

Häufig gestellte Fragen

Funktioniert es auch für Multi-Site WP?+

Ja, aber wir scannen nur die Hauptdomain. Für ein Netzwerk von Subdomains / Subdirectories schreiben Sie uns. Wir erklären den einfachsten Weg.

Ist der Scan sicher? Beschädigt er die Website nicht?+

Ja. Der Scan ist passiv. Er verhält sich wie ein gewöhnlicher Besucher. Wir probieren keine Exploits aus, knacken keine Passwörter, senden keine invasiven Payloads. Die Website merkt nichts davon.

Was machen Sie mit den Daten? Wo gehen die Ergebnisse hin?+

Die schwerwiegendsten Befunde sehen Sie direkt auf der Website. Den vollständigen PDF-Bericht können Sie sich mit einem Klick per E-Mail senden. Wir behalten Ihre E-Mail, um Sie zu informieren, falls ein neuer ernsthafter Befund auf Ihrer Domain auftaucht. Sie können sich jederzeit abmelden.

Was, wenn Sie ein kritisches Problem finden?+

Sie erhalten einen Bericht, in dem jedes Problem erklärt ist und einen konkreten Behebungsschritt hat. Das meiste schafft Ihr Webmaster. Wenn nicht, schreiben Sie uns. Wir schauen es uns gerne an.

Kostet es etwas? Wo ist der Haken?+

Ein einmaliger Scan ist kostenlos.

Kostenloser WordPress-Scan. PDF-Bericht mit Behebungsschritten.

Wir finden xmlrpc, debug.log, User-Enum, exponierte wp-config und weitere WordPress-Probleme. Für jeden Befund sagen wir konkret, welcher Schritt zur Behebung führt.