WordPress beveiligen: de checklist die echt helpt

De meeste WordPress-sites worden niet gehackt door een hacker die het specifiek op jou gemunt heeft, maar door geautomatiseerde bots die het hele internet afzoeken naar bekende zwakke plekken. Het goede nieuws: daarmee kun je jezelf met een paar vaste maatregelen goed beschermen. Hieronder vind je de checklist, op volgorde van belangrijkheid.

1. Houd alles up-to-date

Verouderde plugins en thema’s zijn de grootste bron van gehackte WordPress-sites. Zodra een lek bekend wordt, gaan bots op zoek naar sites die de update nog niet hebben. Werk WordPress, je thema en je plugins dus regelmatig bij, en controleer of je PHP-versie nog ondersteund wordt. Hoe je dat veilig doet, lees je in WordPress onderhoud.

2. Verwijder wat je niet gebruikt

Een uitgeschakelde plugin kan nog steeds een lek bevatten, want de bestanden staan er nog. Verwijder plugins en thema’s die je niet gebruikt. Let ook op plugins die al lang geen updates meer krijgen: als de maker ermee gestopt is, wordt een lek nooit meer gedicht. Zoek dan een alternatief.

3. Gebruik geen illegale premium plugins

“Nulled” plugins en thema’s, gratis gekopieerde versies van betaalde producten, bevatten regelmatig een achterdeur. Het geld dat je bespaart, betaal je later dubbel terug.

4. Sterke wachtwoorden en eigen accounts

• Gebruik voor elk account een lang, uniek wachtwoord, het liefst via een wachtwoordbeheerder.
• Geef iedereen een eigen account met alleen de rechten die nodig zijn. Een tekstschrijver hoeft geen beheerder te zijn.
• Verwijder accounts van oud-medewerkers en externe partijen die klaar zijn.
• Gebruik niet “admin” als gebruikersnaam.

5. Zet tweestapsverificatie aan

Met tweestapsverificatie heb je naast je wachtwoord ook een code van je telefoon nodig. Zelfs als je wachtwoord uitlekt, komt een inbreker dan niet binnen. Dit kan met een plugin en is voor beheerders de beste losse maatregel na updates.

6. Beperk inlogpogingen

Bots proberen duizenden wachtwoorden achter elkaar. Beperk het aantal mislukte pogingen per IP-adres. Veel beveiligingsplugins doen dit, en sommige hosters blokkeren het al op serverniveau. Kom je zelf niet meer binnen, lees dan inloggen in WordPress lukt niet.

7. Maak back-ups, buiten je server

Een back-up is je vangnet als alles misgaat. Bewaar meerdere versies, ook buiten de server waar je site staat, en test af en toe of terugzetten werkt. Een hack wordt soms pas na weken ontdekt, dus alleen de back-up van gisteren is niet genoeg.

8. SSL (https) op de hele site

Met SSL wordt het verkeer tussen bezoeker en site versleuteld, ook inloggegevens. Zorg dat de hele site via https loopt en dat http automatisch wordt doorgestuurd. Meer in veilige website met SSL.

9. Een beveiligingsplugin of firewall

Een beveiligingsplugin zoals Wordfence of een vergelijkbaar alternatief kan bekende aanvallen tegenhouden, bestanden vergelijken met de originele versies en je waarschuwen bij verdachte wijzigingen. Het is een aanvulling, geen vervanging van updates. Gebruik er maar één tegelijk; twee beveiligingsplugins zitten elkaar vaak in de weg.

10. Bestandsbewerking in het beheer uitzetten

WordPress heeft een ingebouwde editor voor thema- en pluginbestanden. Komt een inbreker in je beheer, dan kan hij daarmee direct code toevoegen. Zet hem uit door in wp-config.php de regel define( 'DISALLOW_FILE_EDIT', true ); op te nemen.

11. Juiste bestandsrechten

Gebruikelijk zijn 755 voor mappen en 644 voor bestanden. Zet nooit 777, ook niet “even om iets te laten werken”. Bescherm wp-config.php extra, want daar staan je databasegegevens in.

12. Houd een oogje in het zeil

Laat je waarschuwen als je site onbereikbaar is, als er nieuwe beheerders bijkomen of als bestanden veranderen. Meld je site aan bij Google Search Console: Google laat het je weten als het malware of een hack ziet. Doorlopende controle kan ook met de WordPress malware-scan.

Wat je hoster moet regelen

Een deel van de beveiliging ligt niet bij WordPress, maar bij de server. Vraag je hoster of deze punten geregeld zijn: een ondersteunde PHP-versie, gescheiden accounts zodat een besmette site op dezelfde server niet bij jouw bestanden kan, een firewall die bekende aanvallen en agressieve bots tegenhoudt, back-ups die buiten de server worden bewaard, en hulp als er toch iets misgaat. Goedkope hosting zonder deze basis maakt alle maatregelen in WordPress minder effectief. Hoe je hosting beoordeelt, lees je in WordPress hosting kiezen.

Toch gehackt?

Geen enkele maatregel geeft honderd procent zekerheid. Zie je tekenen van een hack, lees dan WordPress gehackt: wat nu? of ga direct naar WordPress-spoedhulp. Wil je de beveiliging uit handen geven, dan kan je site draaien op onze WordPress hosting met Website Onderhoud voor €79 per maand, waarin updates, back-ups en beveiliging zijn geregeld.

Lees ook: WordPress-spoedhulp · WordPress hosting · WordPress onderhoud · WordPress gehackt · veilige website met SSL · WordPress malware-scan

← Terug naar de kennisbank