WordPress-Hosting & Plugins
WordPress schnell und sicher machen: Eine Checkliste für Leistung und Plugins
WordPress ist immer nur so schnell und sicher wie die Umgebung, auf der es läuft. Hier ist die praktische Checkliste, die wir auf jede von uns gehostete WordPress-Website anwenden: was zwischengespeichert werden sollte, was abgesichert werden muss und welche Plugins ihren Platz verdienen im Vergleich zu jenen, die durch die Plattform überflüssig werden.
WordPress ist nur so gut wie das, worauf es läuft
WordPress betreibt einen großen Teil des Webs, weil es flexibel ist, aber genau diese Flexibilität führt auch dazu, dass es langsam und unsicher wird: Eine Standardinstallation fragt die Datenbank Dutzende Male pro Seite ab, übermittelt ihre Version und ihren Stack an jeden, der hinsieht, und lädt Sie dazu ein, Plugins anzuhäufen, bis sowohl die Leistung als auch die Angriffsfläche stillschweigend ausufern. Nichts davon ist so sehr ein Fehler von WordPress, sondern vielmehr die Folge davon, dass es auf einer Infrastruktur betrieben wird, die keinerlei Unterstützung bietet.
Die gute Nachricht ist, dass dieselbe Handvoll Entscheidungen den Großteil davon behebt, und es sind Entscheidungen über den Stack und nicht über den Inhalt. Cachen Sie aggressiv auf der richtigen Ebene, halten Sie die Datenbank aus dem Hot Path heraus, betreiben Sie nur die wenigen Plugins, die ihren Platz wirklich verdienen, halten Sie alles auf dem neuesten Stand und isolieren Sie die Website, damit ein Problem eingedämmt bleibt. Dieser Beitrag ist genau diese Checkliste in der Reihenfolge, in der wir sie auf jede WordPress-Website auf der Plattform anwenden.
Cachen Sie auf dem Server, nicht nur in einem Plugin
Der größte Hebel für die Geschwindigkeit von WordPress besteht darin, WordPress bei den meisten Aufrufen gar nicht erst auszuführen. Eine Standardanfrage startet WordPress, führt Ihre Plugins aus und fragt die Datenbank ab, bevor auch nur ein einziges Byte gesendet wird; ein Ganzseiten-Cache liefert die fertige Seite beim nächsten Aufruf direkt vom Webserver aus und überspringt diesen gesamten Startvorgang. Wo dieser Cache liegt, ist entscheidend: Ein Caching-Plugin befindet sich innerhalb von PHP, sodass PHP dennoch startet, bevor der Cache antworten kann, wohingegen ein Cache auf Serverebene früher in der Anfrage antwortet und Seiten in einem Format vorhält, das der Server sofort leeren kann.
Jede von uns gehostete WordPress-Website läuft auf LiteSpeed Enterprise mit LSCache auf Serverebene, und unser eigenes Caching-Plugin verbindet WordPress standardmäßig korrekt damit — vorinstalliert und automatisch aktualisiert, sodass Sie eine Sache weniger konfigurieren oder aktuell halten müssen. Auf einem Nicht-LiteSpeed-Ursprung gibt dasselbe Plugin einfach keine Full-Page-Header aus und hält sich im Hintergrund, während der Objekt-Cache weiterarbeitet, sodass eine migrierte Website niemals halb konfiguriert bleibt. Die praktische Regel für Ihre eigene Checkliste: ein Full-Page-Cache auf Serverebene, und installieren Sie kein zweites Caching-Plugin darüber — sie geraten in Konflikt.
Der Objekt-Cache und die Datenbank
Nicht jede Anfrage kann eine statische Seite sein. Angemeldete Sitzungen, der Administrationsbereich, Suchen, Warenkörbe und jegliche personalisierten Fragmente müssen PHP ausführen, und bei diesen verlagert sich das Ziel vom Überspringen der Anwendung zum Überspringen der Datenbank. Ein seitenbezogener Objekt-Cache — in unserem Fall Redis — hält die Ergebnisse wiederholter Datenbankabfragen im Arbeitsspeicher, sodass dieselben Optionen, Transients und Abfragen nicht bei jedem Aufruf an die Datenbank gerichtet werden. Der Effekt zeigt sich genau dort, wo ein seitenweiter Cache nicht helfen kann: ein schnellerer Administrationsbereich, schnellere Warenkörbe und eine weitaus geringere Datenbanklast bei hohem Traffic.
Das entscheidende Wort lautet „pro Website“ (per-site). Ein geteilter Objekt-Cache (shared object cache) bedeutet, dass eine einzelne stark frequentierte oder schlecht programmierte Website die zwischengespeicherten Daten aller anderen verdrängen und ihren Nachbarn die Datenbankressourcen entziehen kann; ein dedizierter Cache pro Website hält diesen Schadensradius in Verbindung mit Datenbanklimits pro Website unter Kontrolle. Betrachten Sie einen persistenten Objekt-Cache auf Ihrer Checkliste als obligatorisch für jede Website mit angemeldeten Benutzern oder einem Shop, und seien Sie vorsichtig bei Hostings, bei denen er von mehreren Mandanten geteilt wird.
Die Plugins, die sich lohnen – und diejenigen, die die Plattform ersetzt
Jedes Plugin, das Sie hinzufügen, ist Code, der bei Anfragen ausgeführt wird, und eine Tür, durch die eines Tages jemand eintreten könnte; das ehrliche Ziel besteht also darin, möglichst wenige Plugins zu verwenden, die das meiste leisten. Ein guter Host macht eine ganze Kategorie davon überflüssig: Mit Caching auf Serverebene, einem verwalteten Objekt-Cache und Plattform-Backups benötigen Sie kein Caching-Plugin, kein separates Objekt-Cache-Plugin und kein Backup-Plugin – diese Aufgaben werden unter WordPress besser erledigt, und ihre Ausführung darüber sorgt lediglich für Konflikte und zusätzlichen Overhead.
Was sich noch zu betreiben lohnt, ist die kleine Auswahl, die echte Funktionalität bietet: die Plugins, die Ihre Website für ihren Betrieb tatsächlich benötigt, und – auf unserer Plattform – die beiden Plugins auf Repository-Niveau, die wir entwickeln und mit jeder Website ausliefern. Unser Cache-Plugin verbindet WordPress mit dem Server-Cache und sorgt für intelligentes Bereinigen, sodass eine Bearbeitung nur die Seiten leert, die geleert werden sollen. Unser Footprint-Plugin entfernt bei jedem Deployment die Erkennungsmerkmale, die eine standardmäßige WordPress-Installation aussendet – das Versions- und Generator-Tag, Discovery-Endpunkte, XML-RPC, Pingbacks und den powered-by-Header –, damit ein Plugin- oder Theme-Update diese nicht unbemerkt wiederherstellt. Beide entsprechen den Standards des Plugin-Verzeichnisses von WordPress.org, sind kostenlos und aktualisieren sich selbst.
WordPress sicher und aktuell halten
Die meisten Sicherheitsverletzungen bei WordPress sind nicht raffiniert; sie sind alt. Ein veralteter Core, ein veraltetes Theme oder Plugin mit einer bekannten, veröffentlichten Sicherheitslücke ist der weitaus häufigste Weg, wie Websites kompromittiert werden. Dies macht das Aufrechterhalten der Aktualität zur wertvollsten Sicherheitsmaßnahme überhaupt — und zur mühsamsten, weshalb sie oft vernachlässigt wird. Managed Hosting sollte Ihnen diese Arbeit abnehmen: das Patchen des Software-Stacks unter WordPress sowie die sichere Anwendung von Core- und Plugin-Updates, indem Ihnen eine Staging-Kopie zum Testen und ein Backup für ein Rollback bereitgestellt werden.
Über die Aktualität hinaus sollten Sie erwarten, dass Grenzen für Sie durchgesetzt werden: Standardmäßig aktive Malware-Scans, damit eine Infektion abgefangen wird, anstatt von einem Besucher entdeckt zu werden, Isolierung, damit eine kompromittierte Website nicht auf eine andere zugreifen kann, DDoS-Schutz an der Peripherie und TLS überall mit automatisch erneuerten Zertifikaten. Nichts davon ersetzt die grundlegende Hygiene — sichere Zugangsdaten, Zugriff nach dem Prinzip der geringsten Rechte, Entfernen nicht mehr verwendeter Plugins —, aber es bedeutet, dass die Infrastruktur nicht das schwache Glied ist. Auf Ihrer Checkliste lautet die Frage an jeden Host ganz einfach: Ist Sicherheit der Standard oder ein Paket, das Sie kaufen müssen?
WooCommerce und die Seiten, die Sie niemals cachen dürfen
In einem Shop erzielt aggressives Caching seinen größten Nutzen und richtet den größten Schaden an, wenn es unbedarft umgesetzt wird. Katalog-, Produkt- und Kategorieseiten sind die Seiten mit dem höchsten Datenverkehr und der besten Cache-Fähigkeit, die Sie haben, und deren Auslieferung über einen Full-Page-Cache ist das Beste, was Sie für die Geschwindigkeit eines Shops tun können. Warenkorb-, Kassen- und Kontoseiten sind jedoch persönlich und dürfen niemals aus einem gemeinsam genutzten Cache bereitgestellt werden – tun Sie dies dennoch, sieht ein Käufer den Warenkorb einer anderen Person, was sowohl einen fehlerhaften Shop als auch eine Datenschutzverletzung darstellt.
Um beides zu erreichen, wird die Seite zwischengespeichert und für die dynamischen Bereiche ausgespart. Edge Side Includes rendern das Warenkorb-Fragment, die Gesamtsummen des Mini-Warenkorbs und den Kontostatus pro Anfrage, während der Rest der Seite aus dem Cache bereitgestellt wird; cart, checkout, my-account sowie alle Nonce- oder Session-Seiten sind standardmäßig ausgeschlossen. Die Aktualität wird durch ein intelligentes automatisches Bereinigen gewährleistet, das bei jeder Änderung von Produkten, Preisen oder Bestellungen ausgelöst wird, sodass veraltete Preise niemals bestehen bleiben. Wenn Sie WooCommerce nutzen, ist dies der Teil der Checkliste, der exakt stimmen muss: schneller Storefront aus dem Cache, dynamischer Warenkorb pro Benutzer und niemals zwischengespeicherte persönliche Daten.
Häufig gestellte Fragen
Benötige ich noch ein Caching-Plugin wie WP Rocket?
Nein. Das Caching ganzer Seiten wird auf dem Webserver von LSCache von LiteSpeed übernommen, unser eigenes Cache-Plugin verbindet WordPress damit und steuert das intelligente Bereinigen, und ein seitenbezogener Redis-Objekt-Cache arbeitet im Hintergrund. Das Hinzufügen eines zweiten Plugins für seitenweites Caching führt typischerweise eher zu Konflikten mit dem Cache auf Serverebene als zu helfen; es ist daher weder erforderlich noch empfehlenswert.
Welche Plugins macht die Plattform überflüssig?
Caching-Plugins, separate Objekt-Cache-Plugins und Backup-Plugins sind hier überflüssig, da diese Aufgaben unterhalb von WordPress erledigt werden – serverseitiges Caching, ein verwalteter Objekt-Cache pro Website und Plattform-Backups. Deren Entfernung reduziert Konflikte und Angriffsflächen. Was sich weiterhin lohnt auszuführen, sind die Plugins, die Ihre Website für ihre Funktion tatsächlich benötigt, zuzüglich unserer beiden kostenlosen Cache- und Footprint-Plugins, die vorinstalliert ausgeliefert werden.
Wird das Caching meinen WooCommerce-Warenkorb oder Seiten für angemeldete Benutzer beschädigen?
Nein. Cart-, checkout-, my-account- sowie alle Nonce- oder Sitzungsseiten sind standardmäßig vom Cache ausgeschlossen, und Edge Side Includes halten das Warenkorbfragment und die Gesamtsummen auf ansonsten gecachten Seiten aktuell. Käufer sehen immer ihren eigenen Warenkorb und einen funktionierenden Checkout, während die Storefront weiterhin aus dem Cache geladen wird, und die intelligente automatische Bereinigung löscht betroffene Seiten, wenn sich ein Produkt, ein Preis oder eine Bestellung ändert.
Wie halten Sie WordPress sicher, ohne dass ich es verwalten muss?
Wir patchen den Stack unter WordPress, sorgen mit Staging und Ein-Klick-Wiederherstellung für sichere Core- und Plugin-Aktualisierungen, aktivieren Malware-Scans und DDoS-Schutz standardmäßig, isolieren jede Website, damit sich eine Kompromittierung nicht ausbreiten kann, und stellen TLS-Zertifikate automatisch aus und erneuern sie. Dadurch wird die Infrastruktur als Schwachstelle eliminiert; grundlegende Sicherheitsmaßnahmen wie starke Zugangsdaten und das Entfernen ungenutzter Plugins liegen weiterhin bei Ihnen.
Verwandt
14 Tage lang kostenlos testen
Starten Sie Ihre ersten Websites 14 Tage lang kostenlos — keine Kreditkarte erforderlich. Ziehen Sie mit einer bestehenden Website oder einem Netzwerk um? Migrationen sind kostenlos und unbegrenzt.
Kostenlos starten