WordPress AJAX Nonce-Sicherheit: UK Best Practices
17. August 2026
Erfahren Sie, wie Sie Ihre WordPress-AJAX-Anfragen mit Nonces absichern. Ein praxisorientierter, auf Großbritannien ausgerichteter Leitfaden zur Verhinderung von CSRF-Angriffen und Best Practices für 2026.
Was ist ein Nonce und warum brauchen Sie ihn bei AJAX?
Ein Nonce (Kurzform für „number used once", also „eine nur einmal verwendete Zahl") ist ein Sicherheitstoken, mit dem WordPress die Legitimität von Anfragen überprüft. Im Zusammenhang mit AJAX schützen Nonces vor Cross-Site-Request-Forgery-Angriffen (CSRF), bei denen ein Angreifer einen angemeldeten Benutzer dazu verleiten könnte, Aktionen ohne dessen Zustimmung auszuführen. Ohne ein Nonce könnte ein Angreifer eine Anfrage fälschen, um beispielsweise die Rolle eines Benutzers zu ändern oder einen Beitrag zu löschen – einfach, indem er einen manipulierten AJAX-Aufruf sendet. Jedes Nonce ist an einen bestimmten Benutzer, eine bestimmte Aktion und ein bestimmtes Zeitfenster gebunden, was es einzigartig und kurzlebig macht. Für Entwickler im Vereinigten Königreich ist die korrekte Implementierung von Nonces ein grundlegender Schritt, um die Sicherheits-Best Practices der UK GDPR zu erfüllen, die geeignete technische Maßnahmen zum Schutz von Nutzerdaten vorschreibt.
Nonce in WordPress AJAX erstellen und übergeben
Um eine Nonce zu erstellen, verwende die WordPress-Funktion `wp_create_nonce( 'your_action' )`. Es ist wichtig, einen eindeutigen, beschreibenden Aktions-String zu verwenden, der mit der Aufgabe zusammenhängt, wie z. B. 'submit_booking_form'. Übergebe diese Nonce über `wp_localize_script` an dein JavaScript, das Daten sicher an das Frontend ausgibt. Alternativ kannst du sie bei Inline-Skripten in einem Datenattribut einbetten. Füge in deinem JavaScript-AJAX-Aufruf die Nonce in die Daten ein, oft als `_wpnonce` oder `nonce`. Zum Beispiel: `data: { action: 'my_action', nonce: myNonce }`. Auf der Serverseite solltest du die Nonce immer mit `check_ajax_referer( 'your_action', 'nonce' )` oder `wp_verify_nonce` überprüfen. Dieser einfache Schritt stellt sicher, dass die Anfrage authentisch ist und von dort stammt, woher sie stammen sollte.
Nonces im Admin- und Frontend-Bereich verifizieren
WordPress stellt zwei Hauptfunktionen zur Überprüfung von Nonces bereit. `check_ajax_referer()` ist ein praktischer Wrapper, der auch den AJAX-Referer prüft und die Nonce-Verifizierung für dich übernimmt. Er wird häufig in `wp_ajax_`-Hooks verwendet. Für benutzerdefinierte Kontexte bietet `wp_verify_nonce()` mehr Kontrolle, da du `false` zurückgeben und den Fehler elegant behandeln kannst. Wenn die Verifizierung fehlschlägt, gib immer eine ordnungsgemäße HTTP-Antwort zurück, z. B. `wp_send_json_error( 'Invalid nonce' )`, und beende die Ausführung. Setze die Anfrage niemals fort. Denke auch darüber nach, ob sich dein AJAX-Endpunkt im Frontend oder im Admin-Bereich befindet. Stelle für den Admin-Bereich sicher, dass du auch Capabilities prüfst. Ein robuster Ansatz besteht darin, Nonce-Prüfungen mit Capability-Prüfungen zu kombinieren, da dies sowohl CSRF- als auch Autorisierungsprobleme abdeckt.
Häufige Nonce-Fallstricke und wie man sie vermeidet
Ein häufiger Fallstrick ist es, für jeden Seitenaufruf keine neue Nonce zu generieren, insbesondere bei Verwendung von Seiten-Caching. Wenn eine Nonce gecacht wird, läuft sie nach dem standardmäßigen Zeitfenster von 12–24 Stunden ab, und Benutzer können unerwartete Fehler sehen. Um dies zu entschärfen, schließen Sie Seiten mit AJAX-Formularen vom Cache aus oder verwenden Sie eine Nonce, die über einen dedizierten AJAX-Endpunkt aktualisiert werden kann. Ein weiterer Fallstrick ist die Verwendung derselben Nonce für mehrere Aktionen – jede Aktion sollte ihre eigene eindeutige Nonce haben. Vermeiden Sie außerdem, Nonces in der URL zu senden (GET-Anfragen), da diese in Server-Logs protokolliert oder versehentlich geteilt werden können. Verwenden Sie stattdessen POST oder POST mit den Daten im Body. Denken Sie schließlich daran, dass Nonces kein Ersatz für die Bereinigung und Validierung von Eingaben sind – behandeln Sie Benutzerdaten immer als nicht vertrauenswürdig.
Best Practices für UK-Compliance und Sicherheit bei WordPress AJAX
Für britische Unternehmen ist Sicherheit nicht nur eine Frage der Codequalität – sie ist eine gesetzliche Anforderung gemäß der UK GDPR. Nonces sind Teil der „Sicherheit der Verarbeitung" und stellen sicher, dass personenbezogene Daten sicher verarbeitet werden. Bei der Implementierung von AJAX-Endpunkten solltest du immer HTTPS verwenden, um den Datenverkehr zu verschlüsseln, da Nonces bei unverschlüsseltem HTTP abgefangen werden können. Stelle außerdem sicher, dass du über robuste Sicherheitsmaßnahmen auf Website-Ebene verfügst, wie z. B. Firewalls und Rate-Limiting, um Brute-Force-Angriffe auf AJAX-Endpunkte zu verhindern. Denke daran, verdächtige Aktivitäten zu protokollieren, aber achte auf Datenminimierung – protokolliere keine unnötigen personenbezogenen Daten. Wenn du diese Praktiken befolgst, schützt du nicht nur deine Nutzer, sondern schaffst auch Vertrauen und vermeidest mögliche Geldstrafen. Für eine umfassende Sicherheitsüberprüfung solltest du in Betracht ziehen, einen WordPress-Sicherheitsspezialisten zu konsultieren, der mit den britischen Vorschriften vertraut ist.
FAQ
Standardmäßig bleibt ein WordPress-Nonce 12 bis 24 Stunden gültig. Konkret ist er 12 Stunden nach seiner Erstellung gültig, und im Zeitfenster zwischen 12 und 24 Stunden variiert seine Lebensdauer je nach letzter Aktivität. Sie können dies mit dem Filter ‚nonce_life' anpassen, aber Vorsicht: Die Verlängerung des gültigen Zeitfensters erhöht das Risiko, dass ein gestohlener Nonce wiederverwendet wird. Für sensible Aktionen sollten Sie kürzere Ablaufzeiten in Betracht ziehen.