In het kort

De meeste gehackte WordPress-sites worden niet gekraakt via WordPress zelf, maar via verouderde plugins en thema's of zwakke wachtwoorden. Houd alles bijgewerkt, gebruik zo min mogelijk plugins, zet tweestapsverificatie aan en zorg voor automatische back-ups buiten je server. Daarmee ben je al beter beveiligd dan het gros van de websites.

WordPress is het populairste websitesysteem ter wereld. Dat maakt het ook een geliefd doelwit: hackers scannen automatisch duizenden sites per uur op bekende lekken. Het gaat dus niet om de vraag of jouw site interessant genoeg is, maar of hij een open deur heeft. Met deze tien maatregelen sluit je de belangrijkste.

1. Houd WordPress, plugins en thema's bijgewerkt

Dit is veruit de belangrijkste tip. Het overgrote deel van de bekende kwetsbaarheden zit in plugins en thema's. Zodra een lek bekend wordt, gaan geautomatiseerde aanvallen er binnen korte tijd naar zoeken. Installeer beveiligingsupdates daarom snel. Werk ook de PHP-versie op je server bij: verouderde versies krijgen geen beveiligingsupdates meer.

Tip: maak voor een grote update eerst een back-up, of test de update op een kopie van je site.

2. Gebruik zo min mogelijk plugins

Elke plugin is extra code en dus een mogelijke ingang. Verwijder plugins die je niet gebruikt (uitschakelen is niet genoeg) en kies bij nieuwe plugins voor bekende, actief onderhouden exemplaren. Kijk op wanneer de laatste update verscheen. Is dat langer dan een jaar geleden, zoek dan een alternatief. Download nooit "gratis" versies van betaalde plugins van onofficiële sites: daar zit vaak malware in.

3. Gebruik sterke, unieke wachtwoorden

Bots proberen dagelijks in te loggen met veelgebruikte wachtwoorden en gelekte combinaties van andere sites. Gebruik voor je WordPress-account een lang, uniek wachtwoord uit een wachtwoordmanager. Doe hetzelfde voor je hostingaccount, je database en je FTP- of SFTP-toegang.

4. Zet tweestapsverificatie aan

Met tweestapsverificatie heb je naast je wachtwoord ook een code uit een app op je telefoon nodig. Zelfs als iemand je wachtwoord weet, komt hij er dan niet in. Voor beheerders zou dit verplicht moeten zijn.

5. Geef gebruikers alleen de rechten die ze nodig hebben

Niet iedereen hoeft beheerder te zijn. Iemand die alleen blogs schrijft, krijgt de rol "auteur" of "redacteur". Verwijder accounts van oud-medewerkers en van je vorige webbouwer als die geen toegang meer nodig heeft. Gebruik geen account met de gebruikersnaam "admin".

6. Bescherm de inlogpagina

Beperk het aantal inlogpogingen, zodat bots na een paar mislukte pogingen worden geblokkeerd. Veel goede hostingpartijen doen dit al op serverniveau. Zet ook XML-RPC uit als je het niet gebruikt; dat is een veelgebruikte route voor geautomatiseerde aanvallen.

7. Maak automatische back-ups, buiten je server

Een back-up is je verzekering. Zorg dat er dagelijks automatisch een back-up wordt gemaakt van je bestanden én je database, en dat die op een andere plek staat dan de website zelf. Staat de back-up op dezelfde server, dan ben je hem kwijt als die server getroffen wordt. Test af en toe of terugzetten echt werkt.

8. Kies hosting die meehelpt

Goede hosting doet veel beveiligingswerk voor je: een firewall, malwarescans, isolatie tussen accounts, actuele PHP-versies en een back-up op serverniveau. Goedkope hosting bespaart vaak precies op die punten. Lees waar je op let in webhosting kiezen.

9. Gebruik https op je hele site

Met een SSL-certificaat gaat alle verkeer tussen bezoeker en website versleuteld, dus ook wachtwoorden en formuliergegevens. Certificaten zijn tegenwoordig vaak gratis en worden automatisch verlengd. Zorg dat elke pagina via https laadt en dat http automatisch wordt doorgestuurd. Browsers waarschuwen bezoekers bij sites zonder https.

10. Weet wat je doet als het toch misgaat

Merk je vreemde doorverwijzingen, onbekende gebruikers of een waarschuwing van Google? Handel dan snel:

  1. Verander direct alle wachtwoorden: WordPress, hosting, database en FTP.
  2. Zet een schone back-up terug van vóór de hack, of laat de site professioneel opschonen.
  3. Werk daarna meteen alles bij, anders komen ze via hetzelfde lek terug.
  4. Controleer in Google Search Console of er beveiligingsproblemen worden gemeld, en vraag na het opschonen een nieuwe beoordeling aan.

Geen zin om dit allemaal zelf bij te houden? Bij website-onderhoud regelen we updates, back-ups en beveiliging voor je.