De meeste gehackte WordPress-sites zijn geen kwestie van pech. Het is bijna altijd achterstallig onderhoud. Een verouderde plugin, een zwak wachtwoord, een installatie die iemand ooit deed en daarna vergat. Dat zijn de deuren waar aanvallers door binnenkomen. Goede WordPress beveiliging en onderhoud draait er niet om dat je expert wordt — het draait erom dat je die deuren dichthoudt. En dat kun je grotendeels zelf.
Waarom WordPress een geliefd doelwit is
WordPress draait achter een enorm deel van het internet. Dat maakt het populair, maar ook aantrekkelijk om aan te vallen. Aanvallers zoeken niet specifiek jouw site uit. Ze laten geautomatiseerde scripts los die het hele web afzoeken naar bekende zwakke plekken. Heb jij toevallig zo'n zwakke plek? Dan word je gevonden, ongeacht hoe klein je site is. Dat klinkt vervelend, maar het betekent ook iets geruststellends: je hoeft geen beveiligingsexpert te worden. Je hoeft alleen de bekende ingangen dicht te houden.
De drie meest voorkomende ingangen
Veruit de meeste hacks komen binnen via een handvol terugkerende oorzaken. Ken je die, dan weet je waar je je aandacht op moet richten.
1. Verouderde plugins en thema's
Dit is veruit de grootste oorzaak. Wanneer een plugin een lek heeft, brengt de maker meestal snel een update uit. Maar zolang jij die update niet installeert, blijft het lek open staan. Aanvallers kennen die lekken precies en zoeken er gericht naar.
2. Zwakke of hergebruikte wachtwoorden
Een wachtwoord als `admin123` of een wachtwoord dat je ook ergens anders gebruikt, is zo gekraakt. Combineer dat met een inlognaam als `admin` en je maakt het wel heel makkelijk.
3. Vergeten installaties
Een testsite die nog ergens draait, een oude plugin die je niet meer gebruikt maar nooit verwijderde, een thema dat al jaren niet meer is bijgewerkt. Alles wat je niet actief onderhoudt, is een risico.
WordPress beveiliging en onderhoud: wat je zelf kunt doen
Het goede nieuws is dat je het grootste deel zelf in de hand hebt. Met een paar vaste gewoontes sluit je de meeste ingangen.
- Houd je software bij. Installeer updates voor WordPress zelf, je thema en je plugins op tijd. Niet ooit, maar structureel. Plan er een vast moment voor in als dat helpt.
- Ruim op wat je niet gebruikt. Elke plugin en elk thema dat je niet nodig hebt, kun je beter verwijderen dan deactiveren. Wat weg is, kan ook niet gehackt worden.
- Gebruik sterke, unieke wachtwoorden. Voor je beheerdersaccount, maar ook voor je hosting en je database. Een wachtwoordmanager maakt dit een stuk minder gedoe.
- Vermijd standaard gebruikersnamen. Log niet in als `admin`. Dat scheelt de helft van de geautomatiseerde aanvallen al meteen werk.
Geen van deze stappen is ingewikkeld. Het lastige zit hem niet in de techniek, maar in het volhouden.
De back-up die je vaak vergeet te testen
Een back-up is je vangnet. Maar een vangnet dat je nooit hebt gecontroleerd, is geen vangnet. Veel mensen denken dat ze een back-up hebben, tot het moment dat ze hem nodig hebben en blijkt dat hij niet compleet is of niet terug te zetten valt. Zorg daarom voor twee dingen:
- Een back-up die automatisch draait en regelmatig, en die ergens los van je site bewaard wordt.
- Een back-up die je daadwerkelijk een keer hebt teruggezet om te zien of het werkt. Pas dan weet je zeker dat je veilig zit.
Voorkomen kost minder dan herstellen
Een gehackte site terugbrengen kost tijd, geld en vaak zenuwen. Soms is de schade aan je vindbaarheid in Google er ook nog. Onderhoud kost daarentegen weinig en voorkomt het grootste deel van de ellende. Het is simpelweg de goedkoopste verzekering die je hebt. Het eerlijke verhaal: de meeste mensen weten dit best. Het probleem is niet kennis, maar tijd. Updates, beveiliging en back-ups bijhouden is precies het soort werk dat altijd doorschuift naar "volgende week" — totdat het te laat is.
Deel dit artikel