WordPress beveiliging: zo houd je je site uit handen van hackers
Een WordPress-site beveiligen draait niet om de zwaarste plugin, maar om een paar dingen die je elke dag goed doet. Wij doen dat op de server, elke nacht, voor jou.
WordPress beveiligen doe je met drie dingen: alles bijwerken zodra er een update is, regelmatig scannen op malware en een back-up die los van je site staat. Correcthosting uit Beverwijk regelt dat met WordPress-onderhoud voor € 150 per jaar per site, exclusief btw: elke nacht updates, een scan met onze eigen malwarescanner en een back-up. Daarnaast houden firewall, fail2ban en een botfilter op de server aanvallen tegen vóórdat ze je site bereiken.
Hoe een WordPress-site gehackt wordt
Op onze servers zien we elke dag dezelfde paar oorzaken terugkomen. Verreweg de grootste is een plugin of thema dat niet is bijgewerkt: zodra een lek publiek bekend is, scannen bots het hele internet af op sites die die versie nog draaien. Daarna komen gelekte of zwakke wachtwoorden, die met brute-force-aanvallen op wp-login.php worden geraden. En dan zijn er de gekraakte ("nulled") premiumplugins, waar de achterdeur al in zit voordat je ze installeert.
Een geslaagde inbraak is meestal niet meteen zichtbaar. Een aanvaller zet een verstopt beheerdersaccount in de database, een webshell tussen je uploads of een loader in een kernbestand, en komt later terug. Daarom is scannen net zo belangrijk als voorkomen. Welke signalen op een hack wijzen, lees je in signalen dat je WordPress-site gehackt is.
Elke nacht bijwerken
WordPress, thema en plugins worden 's nachts bijgewerkt, met een back-up klaar voor het geval een update iets breekt. Dat dicht de grootste oorzaak van hacks.
Eigen malwarescanner
Elke nacht scannen we bestanden en database met signaturen die we zelf bijhouden: webshells in de uploads-map, verstopte beheerders en loaders in kernbestanden. Vinden we iets, dan hoor je het van ons.
Aanvallen tegenhouden
Firewall en fail2ban blokkeren brute-force-pogingen en aanvalspatronen automatisch. Met botbescherming (€ 25 per jaar) houd je ook scrapers en nep-browsers buiten de deur.
Waarom een beveiligingsplugin niet genoeg is
Een beveiligingsplugin draait binnen WordPress en ziet alleen wat WordPress ziet. Is de site eenmaal binnengedrongen, dan kan de aanvaller de plugin net zo goed uitzetten. En de grootste oorzaak, verouderde plugins, lost een plugin niet op: die moeten gewoon worden bijgewerkt. Daarom doen wij de beveiliging vanaf de server. De malwarescanner kijkt in alle bestanden en in de database, de back-up staat op een aparte back-upserver en de firewall houdt aanvallen tegen voordat WordPress er iets van merkt.
Wat we op elke server standaard doen, staat op veiligheid: nachtelijke scans, updates van besturingssysteem en PHP, gecontroleerde back-ups en 24/7 monitoring. Voor de site zelf komt daar het WordPress-onderhoud bij.
Zelf je WordPress-site beveiligen
Wil je eerst zelf aan de slag? Begin met unieke, lange wachtwoorden voor alle beheerders, verwijder plugins en thema's die je niet gebruikt, en installeer nooit premiumplugins van een andere bron dan de maker. Een uitgebreide lijst staat in WordPress-site beveiligen: 11 praktische tips; hoe je de aanvallen op je inlogpagina stopt, lees je in brute-force op wp-login.php stoppen.
Is je site al gehackt?
Dan helpt beveiligen pas als de site eerst schoon is. Met de spoedhulp voor een gehackte WordPress-site halen we alle malware en achterdeurtjes eruit, ook uit de database, dichten we het lek en scannen we opnieuw tot er nul treffers over zijn. Dat kost € 50 inclusief btw, meestal binnen een uur, elke dag van 06:00 tot 24:00 en ook als je site elders gehost is. Niet opgelost, dan betaal je niets.
Veelgestelde vragen
Hoe beveilig ik mijn WordPress-website?
Werk WordPress, je thema en alle plugins bij zodra er een update is, gebruik voor elke beheerder een uniek en lang wachtwoord, verwijder plugins die je niet gebruikt en installeer nooit gekraakte premiumplugins. Scan daarnaast regelmatig op malware en zorg voor een back-up die los van je site staat. Correcthosting doet dat elke nacht voor € 150 per jaar.
Wat kost WordPress beveiliging bij Correcthosting?
WordPress-onderhoud kost € 150 per jaar per website, exclusief btw. Daarin zitten de nachtelijke updates van WordPress, thema en plugins, een scan met onze eigen malwarescanner en een recente back-up. Botbescherming op de server kost € 25 per jaar per site. Is je site al gehackt, dan maken we hem eerst schoon voor € 50 inclusief btw.
Is een beveiligingsplugin zoals Wordfence genoeg?
Een beveiligingsplugin helpt, maar draait binnen WordPress en ziet alleen wat WordPress ziet. Een aanvaller die binnen is, kan hem uitzetten, en de grootste oorzaak van hacks, verouderde plugins, lost hij niet op. Correcthosting beveiligt daarom vanaf de server: nachtelijke updates, een eigen malwarescanner op bestanden en database, firewall, fail2ban en back-ups op een aparte server.
Waardoor wordt een WordPress-site meestal gehackt?
De grootste oorzaak is een plugin of thema met een bekend lek dat niet is bijgewerkt: bots scannen het internet af op precies die versies. Daarna volgen gelekte of zwakke wachtwoorden, die via brute-force op wp-login.php worden geraden, en gekraakte premiumplugins waar al een achterdeur in zit. Nachtelijke updates en een malwarescan vangen het grootste deel daarvan af.
Moet mijn site bij Correcthosting staan voor de beveiliging?
Niet voor het onderhoud: de nachtelijke updates met automatisch terugzetten werken ook bij je huidige hoster via onze update-plugin. Firewall, fail2ban, botbescherming, de malwarescan op serverniveau en de back-ups op een aparte server krijg je alleen als je site bij ons draait. Verhuizen is gratis en zonder downtime, je oude hoster zeg je pas daarna op.
Weten hoe veilig jouw site is?
Stuur een appje met je domeinnaam. Dan kijk ik of je WordPress, thema en plugins bijgewerkt zijn en vertel ik je eerlijk wat er beter kan.