Een activiteitenlog voor je website: wie deed wat, en wanneer?

“De prijzen op de website kloppen ineens niet meer.” “Wie heeft die pagina verwijderd?” “Sinds vanochtend is het contactformulier weg.” Wie met meerdere mensen aan een website werkt, kent dit soort vragen. WordPress houdt standaard nauwelijks bij wie wat doet: je ziet hooguit de auteur van een bericht en de datum van de laatste wijziging. Wat er precies is veranderd, door wie, en of dat wel de bedoeling was — daar blijft het stil. Een activiteitenlog vult dat gat.

Wat een activiteitenlog registreert

Een activiteitenlog (ook wel audit log) is een plugin die vrijwel elke handeling in het beheer vastlegt: inloggen en mislukte inlogpogingen, aangemaakte en gewijzigde pagina’s, verwijderde media, geïnstalleerde of geactiveerde plugins, aangepaste instellingen, nieuwe gebruikers en veranderde rollen. Per regel zie je wie het deed, wanneer, vanaf welk IP-adres en vaak ook wat de oude en nieuwe waarde was. Het is het zwarte doosje van je website: je hebt het zelden nodig, maar als je het nodig hebt, is het onmisbaar.

Waarom je er één wilt

• Fouten herleiden. Iets kapot? In het log zie je in een minuut welke wijziging eraan voorafging, in plaats van een middag zoeken.
• Inbraak herkennen. Een nieuwe beheerder om drie uur ’s nachts, een plugin die niemand heeft geïnstalleerd, honderden mislukte inlogpogingen: dat zijn de signalen die een log zichtbaar maakt voordat de schade groot is.
• Samenwerken zonder ruzie. Als het duidelijk is wie wat deed, gaan gesprekken over het hóe in plaats van over het wie.
• Verantwoording afleggen. Werk je met klantgegevens, dan wil je kunnen aantonen wie daar toegang toe had. Een log is dan geen luxe maar een vereiste.
• Externe partijen in de gaten houden. Gaf je een bureau of freelancer toegang? Dan zie je precies wat er onder die inlog is gebeurd — en of het account daarna is opgeruimd.

Waar je op moet letten

Een log dat alles bewaart, groeit snel en vertraagt je database. Stel daarom een bewaartermijn in — drie tot zes maanden is voor de meeste bedrijven ruim voldoende — en laat oude regels automatisch opruimen. Zet meldingen aan voor de handelingen die er echt toe doen, zoals een nieuwe beheerder of een gewijzigd wachtwoord, en niet voor elke opgeslagen conceptversie. En bedenk dat het log zelf persoonsgegevens bevat (IP-adressen, namen): benoem het in je privacyverklaring en beperk wie het mag inzien.

Onze conclusie

Werk je alleen in je site, dan kun je zonder. Zodra er twee of meer mensen inloggen — collega’s, een bureau, een stagiair — is een activiteitenlog een van de goedkoopste verzekeringen die je kunt afsluiten. Installeren kost een kwartier; de eerste keer dat je erin moet kijken, verdient hij zichzelf terug.

Wil je weten hoe je website er qua toegang en beheer voorstaat? Neem contact op, dan lopen we het samen na.