WordPress security & beveiliging

Een WordPress-website die gehackt wordt, merk je zelden als eerste. Meestal is het Google die je site markeert, of een klant die belt omdat hij wordt doorgestuurd naar een goksite. Tegen die tijd ben je bezoekers, omzet en vertrouwen kwijt, en kost het opruimen een veelvoud van wat voorkomen had gekost.

Wij beveiligen WordPress- en WooCommerce-websites van binnenuit: we sluiten de gaten waar aanvallers echt binnenkomen, houden de boel in de gaten en staan klaar als het toch misgaat.

Waarom WordPress geraakt wordt

WordPress draait op ruwweg vier op de tien websites, en dat maakt het een aantrekkelijk doelwit. Maar bijna geen enkele aanval is persoonlijk. Het overgrote deel gaat volledig geautomatiseerd: bots scannen dag en nacht het internet af op sites met een bekend lek en proberen dat uit, zonder dat er ooit iemand naar jouw website heeft gekeken. Of je nu een lokale installateur bent of een webshop met duizenden orders per maand draait, maakt daarbij niets uit. Je bent een regel in een lijst.

En dat lek zit vrijwel altijd op dezelfde plek: in een plugin die niet is bijgehouden. Zelden in de kern van WordPress zelf, want die wordt goed onderhouden en razendsnel gepatcht. Het gaat mis bij plugins waarvan de maker ermee gestopt is, bij thema’s van dubieuze herkomst en bij updates die al maanden klaarstaan maar nooit zijn uitgevoerd. Zodra zo’n lek openbaar wordt, zitten de bots er binnen enkele dagen achteraan.

Dat is tegelijk het goede nieuws: de meeste inbraken zijn te voorkomen met maatregelen die niets met geluk te maken hebben.

Beveiliging die verder gaat dan een plugin installeren

Een securityplugin is een prima onderdeel, maar het is geen oplossing op zichzelf. Wij kijken naar de hele keten: welke plugins draai je en zijn ze nog onderhouden, wie heeft er een beheerdersaccount, hoe zijn de bestandsrechten geregeld en wat gebeurt er op serverniveau.

We schakelen uit wat je niet gebruikt, sluiten af wat niet open hoeft, zetten tweefactorauthenticatie op de accounts die ertoe doen en zorgen dat PHP en de database op ondersteunde versies draaien. Geen dichtgetimmerde site waar niemand meer in kan werken, wel een site die geen laaghangend fruit meer is.

Juist omdat die aanvallen geautomatiseerd zijn en op de makkelijkste doelwitten mikken, levert die basis onevenredig veel op. Heb je hem op orde, dan sta je er beter voor dan zo’n 90% van alle WordPress-websites. Niet omdat wij iets exotisch doen, maar omdat het overgrote deel van die sites het simpelweg nooit heeft laten inrichten.

Gehackt? Dan schakelen we direct

Staat er malware op je site, is hij geblacklist door Google of stuurt hij bezoekers door naar ergens anders, dan pakken we het in die volgorde aan: eerst de site schoon en weer in de lucht, dan uitzoeken hoe ze binnenkwamen, en dan dat gat dichten. Die laatste stap wordt vaak overgeslagen, en dat is precies waarom sites een maand later opnieuw besmet zijn.

Daarna helpen we bok de administratieve nasleep zoals het het intrekken van de Google-waarschuwing en, als er persoonsgegevens bij betrokken waren, het onderbouwen van je melding bij de Autoriteit Persoonsgegevens.

Monitoring die aanslaat voordat je klanten het merken

Kies je voor ons onderhoudscontract, dan wordt continu gecontroleerd op bereikbaarheid. Wijkt er iets af, dan krijgen wij een melding, geen loze mail in jouw inbox waar je zelf iets mee moet. Back-ups draaien buiten je eigen server, zodat je altijd een schoon punt hebt om op terug te vallen. Ook als de aanvaller de back-ups op de server zelf heeft gewist.

Wat het je oplevert

Rust. Jij hoeft niet te weten wat een cross-site scripting-lek is of welke plugin vorige week een noodpatch kreeg. Dat is ons werk. Jij hoort van ons als er iets van je gevraagd wordt, en verder draait je site gewoon.

Wil je weten hoe jouw website ervoor staat? We doen een security-scan en vertellen je precies wat we zien, in gewoon Nederlands. Neem contact op en we plannen een gesprek.