WordPress beveiliging: de basis die elke website nodig heeft

WordPress is het populairste websitesysteem ter wereld, en daardoor ook het populairste doelwit voor hackers. Niet omdat WordPress zelf onveilig is, maar omdat er zoveel slecht onderhouden WordPress websites online staan.

In dit artikel zetten we op een rij wat de basisbeveiliging is die elke WordPress website nodig heeft. Geen paniekverhaal, wel concrete stappen.

Hoe worden WordPress websites gehackt?

Drie routes komen veruit het vaakst voor:

1. Verouderde plugins met bekende kwetsbaarheden
2. Zwakke wachtwoorden en brute-force-aanvallen op de loginpagina
3. Onveilige hosting of onveilig ingerichte servers

De overgrote meerderheid van de hacks is niet gericht op jou persoonlijk. Het zijn geautomatiseerde scans die duizenden sites tegelijk proberen. Jouw site wordt geraakt omdat hij toevallig kwetsbaar is.

De basis die elke site nodig heeft

1. Sterke wachtwoorden en 2FA

Gebruik een uniek wachtwoord van minimaal 16 tekens, gegenereerd door een wachtwoordmanager. Zet tweestapsverificatie (2FA) aan voor je WordPress-admin. Een plugin als WP 2FA of Wordfence regelt dit in vijf minuten.

Gebruik nooit admin als gebruikersnaam. Te voorspelbaar, te makkelijk aan te vallen.

2. Alles up-to-date houden

WordPress core, thema's en plugins. Elke update kan een beveiligingsfix bevatten. Stel automatische updates in voor kleine versies, en draai grote updates handmatig na een snelle back-up.

3. SSL-certificaat actief

Je site hoort https:// te gebruiken, niet http://. Vrijwel elke hostingpartij biedt gratis SSL via Let's Encrypt aan. Geen reden om dit niet te hebben.

4. Dagelijkse back-ups

De belangrijkste beveiligingsmaatregel die mensen overslaan. Een back-up is je laatste redmiddel als er iets misgaat. Zet automatische dagelijkse back-ups in via een plugin of je hostingpartij, en bewaar minimaal 30 dagen aan back-ups.

Test minimaal één keer of je back-up ook echt terug te zetten is. Een back-up die je niet kunt restoren, is geen back-up.

5. Een security-plugin

Wordfence, Solid Security (voorheen iThemes Security) of Sucuri zijn de bekendste. Ze bieden firewallbescherming, malware-scanning, login-limitering en monitoring van verdachte activiteit. Één is genoeg, meerdere tegelijk geeft conflicten.

6. Login-URL verbergen

De standaard login-URL is jouwdomein.nl/wp-admin. Hackers weten dat. Wijzig de login-URL naar iets eigens (bijvoorbeeld jouwdomein.nl/toegang) met een plugin als WPS Hide Login. Kleine moeite, veel minder brute-force-pogingen.

7. Login-pogingen limiteren

Sta maximaal vijf mislukte inlogpogingen toe voordat een IP-adres tijdelijk wordt geblokkeerd. Dit zit in de meeste security-plugins ingebouwd.

8. Goede hosting

Goedkope shared hosting is vaker het probleem dan je denkt. Een server die duizenden sites host en slecht wordt beheerd, maakt elke site daarop kwetsbaarder. Kies een hostingpartij met actieve monitoring en serverbeveiliging.

Wat je niet hoeft te doen

Je hoeft geen dure enterprise-beveiliging te installeren voor een zakelijke website. De basis hierboven dekt 95% van de risico's. Paranoïde extra maatregelen (complexe IP-whitelisting, handmatige file-integriteitscontroles) zijn voor sites met hoge waarde of specifieke eisen.

Je hoeft ook geen security-consultant in te huren als je de basis zelf op orde hebt. Een standaard WordPress site met bovenstaande maatregelen zit in de bovenste 10% qua veiligheid.

Wat te doen als je gehackt bent

Paniek is logisch, maar niet productief. Stappen:

1. Zet je site in onderhoudsmodus (maintenance mode)
2. Verander alle wachtwoorden: WordPress, hosting, FTP, database
3. Draai een malware-scan via Wordfence of Sucuri
4. Zet een schone back-up terug van voor de hack
5. Update alles naar de nieuwste versies
6. Schakel professionele hulp in als je geen duidelijke oorzaak vindt

Als je geen recente back-up hebt en geen idee wat je doet, huur dan meteen een specialist in. Zelf rotzooien in een gehackte site maakt het vaak erger.

Wat je hierna kunt doen

Zoek je een specialist die beveiliging kan doen? Bekijk de beste WordPress freelancers. Wil je het zelf aanpakken? Bekijk ook het artikel over WordPress onderhoud en de beste hostingpartijen van Nederland. Of begin bij de basis: het volledige stappenplan in de WordPress Blueprint.