WordPress beveiligen: 10 stappen tegen hackers

WordPress beveiligen doe je vooral met de basis: houd WordPress, je thema en je plugins bijgewerkt, gebruik sterke wachtwoorden met tweestapsverificatie, installeer een beveiligingsplugin zoals Wordfence en maak elke dag een back-up die buiten je server staat. Daarmee houd je de meeste aanvallen tegen. Hieronder lees je de 10 stappen die je zelf kunt zetten, in de volgorde waarin ze het meeste opleveren.

Een WordPress-site wordt zelden gehackt omdat iemand hem persoonlijk uitkiest. Aanvallers gebruiken programma’s die automatisch duizenden sites afzoeken naar bekende lekken en zwakke wachtwoorden. Wie de basis op orde heeft, valt daar meestal al uit.

1. Houd WordPress, thema’s en plugins bijgewerkt

Verouderde software is een van de meest voorkomende manieren waarop aanvallers binnenkomen. Zodra een lek in een plugin bekend wordt, zoeken bots naar sites die de oude versie nog draaien.

• Kijk minstens één keer per week bij Dashboard en Updates.

• Zet automatische updates aan voor kleine WordPress-versies en voor plugins die je vertrouwt. Dat doe je per plugin op de pluginpagina.

• Maak voor een grote update eerst een back-up, en test grote updates bij voorkeur op een testomgeving. Lees hoe in WordPress staging.

2. Sterke wachtwoorden en tweestapsverificatie

Veel inbraken beginnen met een geraden of gelekt wachtwoord. Geef elke gebruiker een lang, uniek wachtwoord uit een wachtwoordmanager, en gebruik dat wachtwoord nergens anders.

Zet daarnaast tweestapsverificatie aan. Dan heb je naast je wachtwoord een code uit een app op je telefoon nodig. Een gestolen wachtwoord alleen is dan niet genoeg om in te loggen. De gratis versie van Wordfence heeft dit ingebouwd, en een plugin als WP 2FA kan het ook.

Heet je beheerdersaccount nog “admin”? Maak dan een nieuwe gebruiker aan met de rol Beheerder, log daarmee in en verwijder het oude account. “admin” is de eerste naam die bots proberen.

3. Installeer een beveiligingsplugin: Wordfence en alternatieven

Een beveiligingsplugin scant je site op malware, blokkeert verdacht verkeer met een firewall en beperkt het aantal inlogpogingen. Kies er één, want twee beveiligingsplugins naast elkaar zitten elkaar vaak in de weg.

• Wordfence is de bekendste. De gratis versie heeft een firewall, een malwarescanner, tweestapsverificatie en bescherming tegen te veel inlogpogingen. Volgens de pluginpagina op WordPress.org krijgt de gratis versie nieuwe firewallregels en malwaresignaturen 30 dagen later dan de betaalde versie.

• Sucuri Security richt zich op scannen en het controleren van je bestanden. De firewall van Sucuri is een betaalde dienst die vóór je site draait.

• Kadence Security, eerder bekend als iThemes Security en Solid Security, combineert inlogbeveiliging, tweestapsverificatie en het controleren van bestandswijzigingen.

Een plugin is geen vervanging voor de andere stappen. Zonder updates en back-ups blijft je site kwetsbaar, ook met de beste plugin.

4. Maak back-ups en bewaar ze buiten je server

Een goede back-up is je verzekering als het toch misgaat. Zorg dat je bestanden en je database allebei worden meegenomen, maak elke dag een back-up en bewaar er minstens dertig dagen van.

Bewaar je back-ups niet alleen op dezelfde server als je website. Is de server gehackt of stuk, dan ben je ze allebei kwijt. Kijk eerst of je hostingpartij back-ups maakt en hoe ver je terug kunt. Zo niet, gebruik dan een plugin als UpdraftPlus met externe opslag. Alles over schema’s, opslag en terugzetten lees je in WordPress backup maken.

5. Kies hosting die beveiliging serieus neemt

Je hosting is het fundament. Goedkope gedeelde hosting zet veel sites op één server, en een lek bij een buurman kan dan ook jouw site raken. Let bij het kiezen op:

• een recente PHP-versie en servers die de hostingpartij zelf bijwerkt;

• een firewall en malwarescans op serverniveau;

• automatische back-ups die je zelf kunt terugzetten;

• support die je helpt als er iets mis is.

Wil je weten wat wij daarvoor regelen, kijk dan bij WordPress hosting.

6. Geef gebruikers alleen de rechten die ze nodig hebben

Niet iedereen hoeft Beheerder te zijn. WordPress heeft vaste gebruikersrollen. Een Redacteur kan alle berichten en pagina’s beheren, een Auteur alleen eigen berichten en een Schrijver kan alleen concepten maken. Hoe minder beheerders, hoe minder accounts een aanvaller kan misbruiken.

Loop een paar keer per jaar je lijst bij Gebruikers na. Verwijder oud-collega’s, oude bureaus en accounts die je niet herkent.

7. Bescherm je inlogpagina

De inlogpagina van elke WordPress-site staat op hetzelfde adres, dus bots weten precies waar ze moeten proberen. Maak het ze lastig:

• Beperk het aantal inlogpogingen, zodat een IP-adres na een paar foute pogingen tijdelijk wordt geblokkeerd. Wordfence en Kadence Security kunnen dat.

• Voeg een CAPTCHA toe aan het inlogformulier.

• Overweeg een ander inlogadres dan /wp-admin. Dat stopt geen gerichte aanval, maar wel veel automatische pogingen. Noteer het nieuwe adres goed, anders sluit je jezelf buiten.

8. Zorg voor SSL, zodat je site via https draait

Met een SSL-certificaat gaat het verkeer tussen bezoeker en website versleuteld. Wachtwoorden en formuliergegevens zijn dan niet zomaar te onderscheppen. Bijna elke hostingpartij levert een gratis certificaat. Controleer of je site overal via https opent en of http automatisch doorstuurt naar https. Browsers tonen een site zonder SSL als niet veilig, en dat schrikt bezoekers af.

9. Houd je site in de gaten

Hoe eerder je een probleem ziet, hoe kleiner de schade. Regel daarom een paar vaste signalen:

• Laat je beveiligingsplugin mailen bij een scanresultaat, een nieuwe beheerder of veel mislukte inlogpogingen.

• Gebruik een uptime-monitor die je waarschuwt als je site onbereikbaar is.

• Koppel Google Search Console. Google meldt daar beveiligingsproblemen die het op je site vindt. Lees hoe in Google Search Console instellen.

10. Ruim op en sluit achterdeurtjes

Elke plugin en elk thema is code die een lek kan bevatten, ook als hij uit staat. Verwijder daarom alles wat je niet gebruikt. Download plugins en thema’s alleen uit de officiële WordPress-bibliotheek of bij bekende aanbieders. Een gratis versie van een betaald thema van een onbekende site bevat vaak kwaadaardige code.

Zet tot slot de bestandseditor in het dashboard uit met deze regel in je wp-config.php:

Dan kan niemand via het dashboard de PHP-bestanden van je thema en plugins aanpassen, ook een aanvaller niet die toch binnenkomt. Werk je liever niet in dit bestand, vraag het dan aan je hostingpartij.

Is het al te laat en zie je vreemde doorverwijzingen, onbekende beheerders of een waarschuwing van Google? Volg dan eerst het stappenplan in WordPress gehackt.

Veelgestelde vragen

WordPress inloggen lukt niet, wat nu?

Kijk eerst naar de melding op het scherm. Bij een fout wachtwoord gebruik je de link “Wachtwoord vergeten?” op de inlogpagina. Zie je dat je IP-adres geblokkeerd is, dan heeft je beveiligingsplugin je na te veel pogingen buitengesloten. Wacht de blokkade af of vraag een andere beheerder om je te deblokkeren. Lukt dat niet, hernoem dan via FTP of het bestandsbeheer van je host de map van de beveiligingsplugin in wp-content/plugins. Die plugin staat dan uit en je kunt weer inloggen. Ben je je telefoon met de tweestapscode kwijt, gebruik dan de herstelcodes die je bij het instellen kreeg. Helpt niets, dan kan je hostingpartij je wachtwoord of e-mailadres via phpMyAdmin aanpassen.

Is Wordfence gratis?

Ja, er is een gratis versie met firewall, malwarescanner en tweestapsverificatie. De betaalde versie krijgt nieuwe firewallregels en malwaresignaturen direct, de gratis versie 30 dagen later. Voor de meeste kleine sites is de gratis versie een goede start.

Hoe vaak moet ik een WordPress backup maken?

Dagelijks voor een gewone website en vaker voor een webshop met veel bestellingen. Maak daarnaast een back-up voor elke grote update, en test af en toe of je hem echt kunt terugzetten.

Is WordPress onveilig?

Nee. WordPress zelf wordt goed onderhouden. De meeste problemen ontstaan door verouderde plugins en thema’s, zwakke wachtwoorden en ontbrekende back-ups. Precies daar gaan de stappen in dit artikel over.

Heb ik een beveiligingsplugin nodig als mijn host al beveiliging heeft?

Beveiliging bij je host en een plugin vullen elkaar aan. De host beschermt de server, de plugin let op wat er binnen WordPress gebeurt, zoals inlogpogingen en gewijzigde bestanden. Vraag je host wat er al geregeld is, zodat je niets dubbel doet.

Liever laten regelen?

Updates, back-ups en beveiliging vragen elke maand aandacht, en het gaat precies mis in de maand dat je er geen tijd voor hebt. Met WordPress onderhoud houden wij dat voor je bij, en je krijgt elke maand een rapport van wat we hebben gedaan.