WordPress beveiligen doe je met een vaste set basismaatregelen: alles up-to-date houden, ongebruikte plugins en thema's verwijderen, sterke wachtwoorden met tweestapsverificatie, beperkte beheerdersrechten, een firewall, HTTPS en dagelijkse back-ups die buiten de server worden bewaard. Die combinatie maakt je site voor geautomatiseerde aanvallen een lastig doelwit. WordPress zelf is niet onveiliger dan andere systemen. Het […]
WordPress beveiligen doe je met een vaste set basismaatregelen: alles up-to-date houden, ongebruikte plugins en thema's verwijderen, sterke wachtwoorden met tweestapsverificatie, beperkte beheerdersrechten, een firewall, HTTPS en dagelijkse back-ups die buiten de server worden bewaard. Die combinatie maakt je site voor geautomatiseerde aanvallen een lastig doelwit.
WordPress zelf is niet onveiliger dan andere systemen. Het is wel het meest gebruikte CMS ter wereld, en daardoor het favoriete doelwit van bots die het internet afstruinen op bekende zwakke plekken. Die bots kiezen je site niet uit; ze proberen gewoon alles. Hieronder staan de maatregelen op volgorde van wat het meeste oplevert, plus wat je doet als het toch misgaat.
Hoe komen aanvallers meestal binnen?
De meeste inbraken op WordPress-sites lopen via verouderde plugins of thema's met een bekend lek, via zwakke of gelekte inloggegevens, of via een onveilige hostingomgeving. Zelden is het een gerichte aanval op jouw bedrijf; het is bijna altijd automatisering die een open deur vindt.
Dat is goed nieuws, want het betekent dat je met basishygiëne het grootste risico wegneemt. Een bot die duizenden sites per uur afgaat, zoekt naar de makkelijke gevallen: een plugin die al maanden geen update heeft gehad, een account met de gebruikersnaam "admin" en een simpel wachtwoord, een bestand dat op de server staat terwijl het daar niet hoort. Ben je geen makkelijk geval, dan gaat de bot door naar de volgende.
De basischecklist in volgorde van impact
Begin bovenaan deze lijst en werk naar beneden: de eerste vier punten leveren samen het meeste op en kosten het minste tijd. Elk punt dat je afvinkt, maakt je site een minder aantrekkelijk doelwit.
- Update WordPress, plugins en thema's. Beveiligingsupdates dichten bekende lekken; zodra een lek publiek is, gaan bots er gericht naar zoeken. Kleine updates kunnen automatisch, grotere test je eerst op een kopie van je site.
- Verwijder wat je niet gebruikt. Een gedeactiveerde plugin staat nog steeds op de server en kan nog steeds lek zijn. Hetzelfde geldt voor oude standaardthema's die je niet gebruikt.
- Zet tweestapsverificatie aan voor elk beheerdersaccount. Zelfs als een wachtwoord uitlekt, komt een aanvaller dan niet binnen zonder de tweede factor.
- Zorg voor automatische back-ups buiten de server. Dagelijks, met meerdere herstelpunten, en opgeslagen op een andere locatie dan je website.
- Beperk inlogpogingen. Blokkeer tijdelijk na een aantal mislukte pogingen, zodat wachtwoorden raden onbegonnen werk wordt.
- Gebruik HTTPS op de hele site. Inloggegevens en formulierdata gaan dan versleuteld over de lijn. Waarom dat ook voor vindbaarheid telt, lees je in HTTP vs HTTPS.
- Schakel de bestandseditor in het dashboard uit. Komt iemand toch binnen, dan kan hij niet direct via de beheeromgeving code aanpassen.
- Draai op een actuele PHP-versie. Oude versies krijgen geen beveiligingsupdates meer, ook als WordPress zelf wel bij is.
- Zet een firewall voor je site. Op serverniveau of via een dienst die verkeer filtert voordat het WordPress bereikt.
- Controleer regelmatig op wijzigingen. Een scan op gewijzigde bestanden en onbekende gebruikers vangt problemen op voordat bezoekers of Google ze opmerken.
Inloggen en gebruikers: houd de voordeur dicht
Het beheerdersaccount is de sleutel tot je hele site, dus het aantal mensen met die sleutel moet zo klein mogelijk zijn. Geef iedereen een eigen account met alleen de rechten die nodig zijn, en ruim accounts op zodra iemand niet meer aan de site werkt.
Een paar concrete afspraken die veel risico wegnemen:
- Geen gedeelde accounts. Werkt een collega of freelancer aan de site, dan krijgt die een eigen login, zodat je kunt zien wie wat deed en toegang los kunt intrekken.
- Rollen bewust kiezen. Een tekstschrijver heeft de rol redacteur of auteur nodig, geen beheerdersrechten.
- Geen voor de hand liggende gebruikersnamen zoals "admin" of je bedrijfsnaam.
- Lange, unieke wachtwoorden uit een wachtwoordmanager, nooit hergebruikt van een andere dienst.
- Oude accounts van ex-medewerkers, vorige webbouwers of tijdelijke hulp verwijderen.
Plugins en thema's: minder is veiliger
Elke plugin is code van een externe partij die op je server draait, dus elke plugin vergroot het aanvalsoppervlak. Kies plugins op actief onderhoud en noodzaak, en vraag je bij elke nieuwe plugin af of hetzelfde niet met een paar regels eigen code of een bestaande functie kan.
Waar je op let bij het kiezen en houden van plugins:
- Wordt de plugin actief bijgewerkt en is hij getest met recente WordPress-versies?
- Komt hij uit de officiële bibliotheek of van een bekende ontwikkelaar? Gekraakte premium-plugins van onofficiële bronnen bevatten regelmatig verborgen code.
- Doet hij één ding goed, of trekt hij een hoop extra functies mee die je niet gebruikt?
- Overlapt hij met een plugin die je al hebt?
Minder plugins is overigens niet alleen veiliger. Het scheelt ook laadtijd en conflicten bij updates, zoals je terugleest in website sneller maken.
Wat regel je in WordPress en wat bij je hosting?
Een deel van de beveiliging zit buiten WordPress, op de server. Een goed ingerichte hosting vangt aanvallen af voordat ze je site bereiken; slechte hosting maakt alle maatregelen in WordPress minder effectief.
| Maatregel | Waar geregeld | Waarom het telt |
|---|---|---|
| Updates, gebruikers, plugins | WordPress | Bekende lekken dicht en minder toegangspunten |
| Tweestapsverificatie en inlogbeperking | WordPress | Gestolen of geraden wachtwoorden zijn niet genoeg |
| PHP-versie | Hosting | Verouderde versies krijgen geen beveiligingsupdates meer |
| Firewall en bot-filtering | Hosting of externe dienst | Kwaadaardig verkeer wordt tegengehouden voor het WordPress raakt |
| Isolatie tussen sites | Hosting | Een gehackte buursite op dezelfde server kan niet bij jouw bestanden |
| Back-ups op een externe locatie | Hosting of back-upplugin | Herstel blijft mogelijk als de server zelf getroffen is |
Vraag je hostingpartij gericht naar deze punten. Een antwoord als "we maken back-ups" is pas geruststellend als je weet hoe vaak, hoe lang ze bewaard blijven, waar ze staan en hoe snel er teruggezet kan worden.
Wat we zien bij het beheer van veel WordPress-sites
Met meer dan 200 websites en klanten in beheer zien we dat beveiligingsproblemen bijna nooit uit exotische aanvallen komen, maar uit achterstallig onderhoud. Een site die maanden niet is bijgewerkt, is het probleem; de hack is het gevolg.
Patronen die steeds terugkomen bij sites die we overnemen:
- Plugins die ooit zijn geïnstalleerd voor één actie en daarna jarenlang ongebruikt zijn blijven staan.
- Een vorige webbouwer die nog beheerderstoegang heeft, soms met een account dat niemand meer herkent.
- Back-ups die alleen op dezelfde server staan, en dus samen met de site verloren gaan.
- Een verouderde PHP-versie omdat een oude plugin anders niet meer werkt, waarmee één plugin de hele site kwetsbaar houdt.
- Updates die niemand durft te draaien omdat er geen testomgeving is, waardoor de achterstand alleen maar groeit.
Het laatste punt is de kern. Veilig blijven is geen eenmalige actie maar een routine: wekelijks bijwerken, testen, controleren. Wil je die routine niet zelf dragen, lees dan wat WordPress-onderhoud uitbesteden inhoudt en wanneer het loont.
Gehackt? Zo pak je het aan
Is je site gehackt, handel dan in een vaste volgorde: eerst de schade beperken, dan de oorzaak vinden, dan pas herstellen. Een back-up terugzetten zonder het lek te dichten, betekent dat je binnen korte tijd opnieuw getroffen wordt.
- Zet de site tijdelijk in onderhoudsmodus of offline als bezoekers worden doorgestuurd of er schadelijke inhoud zichtbaar is.
- Wijzig alle wachtwoorden: WordPress-accounts, hosting, database, FTP of SSH en e-mail.
- Zoek uit hoe de aanvaller binnenkwam, bijvoorbeeld via de serverlogs en een lijst van recent gewijzigde bestanden.
- Herstel een schone back-up van vóór de inbraak, of schoon de site handmatig op.
- Dicht het lek: update of verwijder de betrokken plugin, ruim onbekende accounts op.
- Controleer in Google Search Console of er een beveiligingsmelding staat en vraag na herstel een beoordeling aan.
Veelgestelde vragen
Heb ik een beveiligingsplugin nodig?
Een beveiligingsplugin kan handig zijn voor inlogbeperking, tweestapsverificatie en bestandsscans, maar is geen vervanging voor updates en goede hosting. Kies er hooguit één, zodat functies elkaar niet in de weg zitten. Draait je hosting al een firewall en malwarescan, dan heb je soms aan een lichte oplossing genoeg.
Kan ik WordPress-updates automatisch laten uitvoeren?
Kleine beveiligingsupdates van WordPress zelf kunnen veilig automatisch. Voor plugins en grote versie-updates ligt dat genuanceerder: een update kan conflicteren met je thema of een andere plugin. Test die bij voorkeur eerst op een kopie van de site, of zorg dat je snel kunt terugzetten.
Hoe vaak moet ik een back-up maken?
Voor de meeste bedrijfssites is dagelijks een goede standaard, met meerdere herstelpunten over een paar weken. Webshops met veel bestellingen hebben baat bij vaker. Belangrijker dan de frequentie is dat back-ups buiten de server staan en dat je af en toe test of terugzetten echt werkt.
Is een kleine bedrijfswebsite wel interessant voor hackers?
Ja, omdat aanvallen geautomatiseerd zijn en niet om jouw bedrijf draaien. Een gehackte site wordt gebruikt om spam te versturen, bezoekers door te sturen of andere sites aan te vallen. Grootte maakt daarbij niet uit; een open deur wel.
Wil je een site die vanaf de start veilig is ingericht en daarna ook zo blijft? Bij website laten maken lees je hoe wij hosting, updates en back-ups standaard meenemen in plaats van als losse optie.
