WordPress zelf is niet onveilig, maar de manier waarop veel bedrijfssites draaien wel: verouderde plugins, zwakke wachtwoorden en geen back-up. Het gevolg zijn gehackte sites die spam versturen, bezoekers doorsturen naar oplichterssites of door Google als gevaarlijk gemarkeerd worden. Met deze tien maatregelen sluit je de meeste deuren.
1 tot 3: updates, plugins en thema's
Houd WordPress, je thema en alle plugins up-to-date, het liefst wekelijks. Verwijder plugins en thema's die je niet gebruikt: ook uitgeschakelde plugins kunnen een risico zijn. Installeer alleen plugins van bekende makers met recente updates en veel actieve installaties, en nooit 'gratis' versies van betaalde plugins van onofficiële sites.
4 tot 6: inloggen
Gebruik voor elke beheerder een eigen account met een lang, uniek wachtwoord uit een wachtwoordmanager. Zet tweestapsverificatie aan. Beperk het aantal inlogpogingen, zodat bots niet eindeloos kunnen proberen. Geef medewerkers en externe partijen alleen de rechten die ze nodig hebben, en verwijder accounts van mensen die niet meer voor je werken.
7 en 8: back-ups en hosting
Zorg voor dagelijkse back-ups die buiten je hosting bewaard worden, zodat je na een hack een schone versie kunt terugzetten. Kies hosting met een recente PHP-versie, een firewall en malwarescans; de goedkoopste hosting bespaart vaak op precies die zaken.
9: https en beveiligingsheaders
Je hele site hoort via https te lopen. Daarnaast kunnen beveiligingsheaders, zoals een Content Security Policy, voorkomen dat kwaadaardige scripts op je pagina's draaien. Dat stel je in bij je hosting of via een beveiligingsplugin.
10: monitoring
Laat je site bewaken: een melding als hij plat ligt, als er bestanden onverwacht veranderen of als Google een probleem ziet in Search Console. Hoe sneller je een hack opmerkt, hoe kleiner de schade.
Of: geen WordPress
Voor veel kleine bedrijfssites is de veiligste WordPress-site geen WordPress-site. Een statische website heeft geen database, geen inlogscherm en geen plugins, en dus niets om te hacken of bij te werken. Voor sites met een webshop of ledenomgeving blijft WordPress met goed onderhoud een prima keuze.
Snelle check: hoe veilig is jouw site nu?
- Staan er updates open in je dashboard?
- Zijn er plugins die al een jaar geen update kregen?
- Heeft elke beheerder tweestapsverificatie?
- Weet je waar je laatste back-up staat en hoe oud die is?
- Krijg je een melding als je site plat ligt?
Beveiliging is geen eenmalige klus maar wekelijks onderhoud. Wat een onderhoudscontract daarvoor kost, lees je in ons overzicht van WordPress onderhoudscontracten. Wil je weten hoe je site er nu voor staat, vraag dan de gratis check aan. Meer over beveiliging van bedrijven lees je in de kennisbank van Cyberdijk.