WordPress beveiligen – zonder paniek.

Hoe WordPress-sites echt worden aangevallen

Bijna niemand zit gericht naar een lek in uw site te zoeken. Aanvallen verlopen automatisch: programma’s gaan miljoenen websites af en proberen bekende kwetsbaarheden en gangbare wachtwoorden uit. Omgekeerd betekent dit: wie de bekende lekken dicht en geen zwakke wachtwoorden gebruikt, valt buiten het vizier.

De meest voorkomende toegangspoorten zijn verouderde plugins en thema’s, te raden of elders gelekte wachtwoorden en uitbreidingen uit onbetrouwbare bronnen.

Updates: de belangrijkste maatregel

Wordt er in een plugin een lek bekend, dan verschijnt er meestal binnen enkele dagen een update – en precies vanaf dat moment zoeken automatische aanvallen naar sites die deze nog niet hebben.

• Kleine beveiligingsupdates van de WordPress-kern installeert WordPress uit zichzelf. Voor plugins kunt u automatische updates per plugin inschakelen.
• Grote updates (nieuwe hoofdversie, pagebuilder, webshop) probeert u beter eerst uit. Bij ons maakt u daarvoor in het Klantenportaal een testkopie van uw website aan.
• Een plugin die al jaren geen update meer heeft gekregen, vervangt u. Niemand dicht daar nog lekken.

Toegang beschermen

• Lange, unieke wachtwoorden voor elk account, het makkelijkst met een wachtwoordmanager.
• Tweestapsverificatie voor alle beheerders – een gratis plugin volstaat, daarna is een gestolen wachtwoord alleen niet meer genoeg.
• Rollen spaarzaam toekennen. Wie alleen berichten schrijft, heeft geen beheerdersaccount nodig.
• Oude accounts verwijderen, bijvoorbeeld van het bureau dat de site jaren geleden heeft gebouwd.

Uitbreidingen zorgvuldig kiezen

Installeer plugins en thema’s uit de officiële directory op wordpress.org of rechtstreeks bij de maker. Blijf weg van „gratis” kopieën van betaalde uitbreidingen (vaak „nulled” genoemd): dat is de makkelijkste weg waarlangs schadelijke code in een website komt.

Vóór de installatie loont een blik: wanneer kwam de laatste update, hoeveel installaties zijn er, reageert de ontwikkelaar op vragen? En wat u niet meer gebruikt, verwijdert u – ook gedeactiveerd staat het op de server.

Back-ups: het plan B

Geen enkele maatregel beschermt volledig. Wat in noodgevallen telt, is een schone stand van eergisteren. Een goede back-up staat minstens één keer buiten de server, gaat meerdere dagen terug en is getest – een back-up die niet terug te zetten is, is er geen.

Bij ons wordt elke webruimte dagelijks geback-upt, op de server en daarnaast extern. Wij bewaren 7 dag- en 4 weekstanden, en een stand daaruit zetten wij gratis voor u terug. Vóór een grotere update maakt u in het hostingpaneel daarnaast zelf een back-up aan.

Wat de server moet bijdragen

Een en ander ligt niet in uw hand, maar bij de aanbieder: een versleutelde verbinding (HTTPS), een actuele PHP-versie, tijdig geïnstalleerde beveiligingsupdates van het besturingssysteem en een bescherming die adressen met te veel mislukte inlogpogingen blokkeert. Vraag uw aanbieder ernaar – bij ons is dat allemaal standaard.

Uw site is gehackt – wat nu?

1. Rustig blijven en niets verwijderen – u heeft de toestand nodig om de oorzaak te vinden.
2. Alle wachtwoorden wijzigen: WordPress-accounts, database, FTP, Klantenportaal.
3. Een stand van vóór de besmetting terugzetten. Daarom gaan back-ups meerdere dagen terug.
4. Het lek dichten voordat de site weer online gaat – anders is hij binnen enkele uren opnieuw besmet. Meestal betekent dat: alles bijwerken, verdachte plugins verwijderen.

U hoeft dat niet alleen te doen. Neem contact met ons op, wij helpen bij het opruimen.