WordPress website beveiligen? Zo komen aanvallers meestal binnen
WordPress website beveiligen? Dan helpt het om eerst te snappen hoe het misgaat. WordPress zelf is redelijk veilig en krijgt snel beveiligingsupdates. Het probleem zit bijna altijd ernaast: in plugins, thema's en wachtwoorden.
Een plugin die al maanden geen update heeft gehad, is de klassieke ingang. Zodra een lek openbaar wordt, scannen geautomatiseerde scripts het hele internet op sites die die versie nog draaien. Daar hoeft niemand jouw bedrijf voor uit te kiezen. Je bent geen doelwit, je bent een treffer in een lijst.
De andere grote ingangen zijn zwakke of hergebruikte wachtwoorden, illegale gekraakte versies van betaalde thema's (die vaak al een achterdeur bevatten) en verouderde PHP op de server. Ook oude testinstallaties in een submap die iedereen vergeten is, zie ik vaker dan je zou denken.
Wat kun je zelf doen? De basis van WordPress beveiliging
Een groot deel van de risico's haal je weg met discipline in plaats van dure software. Dit is de lijst die ik iedere eigenaar zou meegeven.
- Update WordPress, plugins en thema's, en verwijder alles wat je niet gebruikt in plaats van het alleen uit te zetten
- Gebruik een uniek, lang wachtwoord en zet tweestapsverificatie aan voor elk beheerdersaccount
- Geef medewerkers alleen de rol die ze nodig hebben, niet standaard beheerder
- Beperk het aantal inlogpogingen en schakel XML-RPC uit als je het niet gebruikt
- Zorg voor dagelijkse back-ups die buiten je eigen server worden bewaard
- Draai op een PHP-versie die nog beveiligingsupdates krijgt
Wat erin zit
Beveiligingscheck
We lopen plugins, thema's, gebruikers, PHP-versie en serverinstellingen na en vertellen wat er moet gebeuren.
Opschonen na een hack
Lek dichten, achterdeuren verwijderen, verborgen accounts opsporen en de site bij Google laten herbeoordelen.
Hardening
Tweestapsverificatie, beperkte inlogpogingen, juiste bestandsrechten en het uitschakelen van wat je niet gebruikt.
Dagelijkse back-ups
Back-ups buiten je eigen server, zodat je altijd een schone versie hebt om op terug te vallen.
Vaste updates
In de onderhoudsplannen worden security-updates doorgevoerd en gecontroleerd, niet blind aangeklikt.
Helpt een beveiligingsplugin? De eerlijke uitleg
Beveiligingsplugins zijn zeker niet zinloos. Een goede firewallplugin blokkeert veel automatisch verkeer en waarschuwt je bij verdachte bestanden. Voor een kleine site is dat een prima extra laag.
Alleen zie ik vaak dat eigenaren denken dat de plugin het werk doet. Draait er ondertussen een contactformulierplugin met een bekend lek die al een half jaar niet is bijgewerkt, dan houdt de firewall dat niet altijd tegen. Een beveiligingsplugin is een slot op de deur, terwijl het raam openstaat. Stapel ook niet twee of drie van die plugins op elkaar: ze zitten elkaar in de weg en maken je site trager.
Wat in onze ogen het meeste oplevert: vaste updates, back-ups die je echt kunt terugzetten en iemand die meekijkt als er iets vreemds gebeurt. Dat is ook precies wat WordPress onderhoud is, met security-updates en dagelijkse back-ups in elk plan.
WordPress website gehackt? Dit doe je eerst
Een gehackte WordPress website herken je aan spam-pagina's in Google, doorverwijzingen naar vreemde sites, onbekende beheerders of een waarschuwing van je hostingpartij. Soms merk je zelf niks en zie je het pas als Google je site als onveilig markeert.
Raak niet in paniek en ga ook niet meteen alles verwijderen. Wijzig eerst de wachtwoorden van beheer, hosting en database. Zoek daarna uit wanneer de besmetting begon, zodat je weet welke back-up nog schoon is.
Het lastige deel: alleen een back-up terugzetten lost het lek zelf niet op. Zit de verouderde plugin er nog in, dan ben je binnen een paar dagen opnieuw de klos. Hackers laten ook vaak extra bestanden achter, verstopt tussen gewone WordPress-bestanden, of een verborgen beheerdersaccount. Opschonen betekent het lek dichten, de achterdeurtjes vinden en daarna je site bij Google laten herbeoordelen.
WordPress beveiliging uitbesteden bij Direct Online
We kunnen je site op twee manieren helpen. Een eenmalige beveiligingscheck of opschoning na een hack is prijs op aanvraag, omdat elke besmetting anders is. Na een kort gesprek krijg je een vrijblijvende offerte.
Voor de doorlopende kant zijn er de onderhoudsplannen, die je op de pagina kosten website onderhoud vergelijkt. Wil je beveiliging en snelheid tegelijk aanpakken, dan raakt dit ook aan website versnellen, want een opgeschoonde site met minder plugins is vrijwel altijd ook een snellere site.
Een veilige website laten maken: beveiliging begint bij de bouw
De goedkoopste beveiliging is een site die niet onnodig ingewikkeld is. Elke plugin is code van iemand anders die je moet blijven vertrouwen. Een beveiligde website laten bouwen betekent dus vooral: weinig plugins, bekende en goed onderhouden componenten, en een hostingomgeving die actueel blijft.
Bouw je een nieuwe site, vraag dan expliciet hoeveel plugins erin komen en wie ze gaat bijwerken. Krijg je daar geen helder antwoord op, dan weet je eigenlijk al genoeg.
