Sicherheit ist so ein Thema, das im WordPress Core grob vernachlässigt wird. Ohne entsprechende Plugins läuft da nichts. Dies betrifft sowohl Brute Force Attacken auf das Login, als auch Kommentar-Spam. Mit viel Fleiß könnte man sich zumindest manuell um den Spam kümmern, aber gegen Brute Force kann man nichts machen (wenn man es dann überhaupt mitbekommt). Akismet ist in der Regel das erste was ich nach der Installation lösche, danach habe ich in der Regel die Antispam Bee, Limit Login Attempts und WP Antivirus installiert.
Allen diesen Lösungen ist gemeinsam, das sie erst im Nachhinein eine Entscheidung treffen. Also zu einem Zeitpunkt an dem WordPress einen entsprechenden Hook zum Eingreifen anbietet. Seit geraumer Zeit setze ich aus diesem Grund Wordfence ein, das sich grundlegend von allen bekannten Sicherheitslösungen unterscheidet, indem es eine Firewall VOR WordPress setzt. Hierzu muss ein Skript entweder in die .htaccess oder in die index.php von WordPress eingebunden werden. In der Regel geht das automatisch, je nach Hoster muss man allerdings auch manuell eingreifen.
Was macht Wordfence jetzt so besonders? Es telefoniert nachhause! Was sich eigentlich schlimm anhört (und dank Akismet eh jeder macht) ist in diesem Fall höchst sinnvoll da alle WordFence untereinander vernetzt sind. Passiert irgendwo was Dummes block Wordfence, obwohl der Angriff ganz woanders stattgefunden hat.
Dummerweise funktioniert WordFence in der Pro-Version für 99$ im Jahr bzgl. Kommentar-Spam erst so richtig gut. In der Regel installiere ich deswegen die Antspam Bee weiterhin parallel. Limit Login Attempts und Antivirus lasse ich dafür weg. Und wer nicht glaubt das sich in Sachen WordPress und Brute Force wirklich was bewegt, hier eine kleine Grafik von meinem Dashbaord:
Das Plugin hat ziemlich viele Einstellungen, in der Regel lasse ich alles auf Default stehen. Ihr könnt viele Werte ändern, und wenn ihr euch unsicher seit lasst einfach die Finger davon. Man kann auch Sicherheitsplugins so konfigurieren, das sie nicht mehr sicher sind ;) Wenn ihr überhaupt noch nichts in dieser Richtung am Start habe, gebt Gas!