WordPress beveiligen (en wat te doen als je site gehackt is)

WordPress beveilig je vooral door alles up-to-date te houden, sterke wachtwoorden met tweestapsverificatie te gebruiken, overbodige plugins te verwijderen en automatische back-ups te maken. De meeste hacks gebeuren niet door slimme hackers, maar door een verouderde plugin of een zwak wachtwoord. Is je site al gehackt? Verderop staat een stappenplan.

Waarom worden WordPress-sites gehackt?

WordPress draait op een groot deel van alle websites. Daardoor is het een populair doelwit voor geautomatiseerde aanvallen. Bots scannen de hele dag websites op bekende zwakke plekken. Ze zoeken niet naar jouw bedrijf, ze zoeken naar elke site met een lek.

De meest voorkomende oorzaken:

• Verouderde plugins en thema’s. Een lek in een plugin wordt bekend, de maker brengt een update uit, maar die update wordt niet geïnstalleerd.
• Zwakke of hergebruikte wachtwoorden. Bots proberen duizenden combinaties op je inlogpagina.
• Illegale of “nulled” plugins. Betaalde plugins die gratis worden aangeboden, bevatten vaak verborgen kwaadaardige code.
• Te veel beheerders. Oud-medewerkers of oud-leveranciers die nog steeds een beheerdersaccount hebben.

WordPress beveiligen: 10 stappen

1. Houd alles up-to-date. WordPress zelf, je thema en al je plugins. Zet kleine beveiligingsupdates automatisch aan en controleer grotere updates eerst op een testomgeving als je site complex is.
2. Verwijder wat je niet gebruikt. Uitgeschakelde plugins en ongebruikte thema’s kunnen nog steeds lekken bevatten. Verwijderen is veiliger dan alleen uitzetten.
3. Gebruik sterke, unieke wachtwoorden. Een wachtwoordmanager maakt dit makkelijk. Gebruik nooit hetzelfde wachtwoord als voor je mail.
4. Zet tweestapsverificatie aan. Ook wel 2FA: naast je wachtwoord vul je een code uit een app op je telefoon in. Een gestolen wachtwoord is dan niet genoeg.
5. Gebruik geen gebruikersnaam “admin”. En geef elke gebruiker alleen de rechten die nodig zijn. Een tekstschrijver heeft genoeg aan de rol Redacteur of Auteur.
6. Beperk inlogpogingen. Een beveiligingsplugin of je hostingpartij kan na een aantal mislukte pogingen een IP-adres tijdelijk blokkeren.
7. Installeer een beveiligingsplugin. Die scant op verdachte bestanden en blokkeert bekende aanvallen. Kies een bekende plugin met veel installaties en regelmatige updates. In de beste WordPress plugins voor ondernemers lees je waar je op let.
8. Maak automatische back-ups. Dagelijks, en bewaar ze op een andere plek dan je website. Test af en toe of je een back-up echt kunt terugzetten.
9. Gebruik HTTPS. Een SSL-certificaat versleutelt het verkeer tussen bezoeker en site. Bij vrijwel elke hostingpartij is dat standaard en gratis beschikbaar.
10. Ruim gebruikers op. Loop elk kwartaal de gebruikerslijst na en verwijder accounts van mensen die niet meer met je site werken.

Wat doet je hostingpartij?

Een goede hostingpartij doet ook een deel van de beveiliging: een firewall op serverniveau, scans op malware, een actuele PHP-versie en back-ups. Vraag na wat er bij jouw pakket inzit. Rekent je hosting op niets van dit alles, dan ligt meer verantwoordelijkheid bij jou of je websitebouwer.

WordPress site gehackt: wat nu?

Je herkent een hack vaak aan vreemde doorverwijzingen naar andere sites, onbekende pagina’s in Google (vaak in een andere taal), een waarschuwing in je browser, onbekende beheerders of een melding van je hostingpartij. Raak niet in paniek, maar werk in deze volgorde:

1. Breng je site tijdelijk offline of in onderhoudsmodus. Zo beperk je de schade voor bezoekers.
2. Neem contact op met je hostingpartij. Zij kunnen vaak zien wat er gebeurd is en hebben soms een schone back-up.
3. Wijzig alle wachtwoorden. Van WordPress, je hostingaccount, FTP, de database en je mail. Doe dit vanaf een computer waarvan je zeker weet dat die schoon is.
4. Zet een schone back-up terug. Kies een back-up van vóór de hack. Werk daarna direct alles bij, anders gebruikt de aanvaller hetzelfde lek opnieuw.
5. Geen schone back-up? Laat de site opschonen. Een beveiligingsplugin kan geïnfecteerde bestanden vinden, maar handmatig opschonen vraagt technische kennis. Schakel dan een specialist in.
6. Controleer Google Search Console. Onder Beveiligingsproblemen zie je of Google je site als onveilig markeert. Na het opschonen vraag je daar een controle aan.
7. Bedenk of er persoonsgegevens gelekt kunnen zijn. Heeft je site een klantaccount, webshop of formulieren met gegevens? Dan kan het een datalek zijn dat je moet melden bij de Autoriteit Persoonsgegevens.

Praktijkvoorbeeld: een schoonheidssalon met een oude plugin

Een schoonheidssalon in Hilversum laat in 2022 een WordPress-site bouwen met een boekingsplugin. Daarna kijkt niemand er meer naar om. Twee jaar later ziet de eigenaar in Google ineens pagina’s met Japanse tekst onder haar domeinnaam. Een verouderde slider-plugin bleek een bekend lek te hebben.

De oplossing kost een paar dagen: site opschonen, alle plugins bijwerken, de slider-plugin vervangen, wachtwoorden wijzigen en 2FA aanzetten. Daarna regelt ze maandelijks onderhoud. De les: een website is geen eenmalige aankoop. Lees in website onderhoud wat er regelmatig moet gebeuren.

Eerlijk advies: zelf doen of uitbesteden?

De basis kun je prima zelf: updates uitvoeren, wachtwoorden en 2FA instellen, gebruikers opruimen en een back-upplugin installeren. Plan daar maandelijks een halfuur voor in. Bij een eenvoudige site met een paar plugins is dat goed te doen.

Uitbesteden is verstandig als je site een webshop of klantgegevens bevat, als je veel plugins hebt die met elkaar samenhangen, of als je merkt dat updates steeds blijven liggen. En bij een hack zonder schone back-up is een specialist bijna altijd sneller en grondiger. Een veilige site is overigens vaak ook een snellere site: minder overbodige plugins helpt allebei. Zie ook website sneller maken.

Wil je een nieuwe website die vanaf het begin veilig en onderhoudbaar is opgezet? Bekijk dan wat we doen bij website laten maken.

Veelgestelde vragen