Communicatie
Een gehackte WordPress website opnieuw beveiligen doe je door eerst de hack volledig op te ruimen, daarna alle zwakke plekken te dichten en vervolgens een structurele beveiliging op te zetten. Denk aan sterke wachtwoorden, twee-factor-authenticatie, een goede beveiligingsplugin en regelmatige updates. De meeste websites worden opnieuw gehackt omdat de oorzaak nooit goed is aangepakt. In dit artikel beantwoorden we de meest gestelde vragen over WordPress-beveiliging na een hack, zodat jij precies weet wat je moet doen.
Hoe komt een hacker eigenlijk binnen op een WordPress website?
Hackers komen meestal binnen via verouderde plugins, thema’s of WordPress zelf, via zwakke wachtwoorden of via onveilige hosting. Dit zijn de meest voorkomende ingangen, en ze zijn bijna altijd te voorkomen met een beetje regelmaat en aandacht.
WordPress is het meest gebruikte contentmanagementsysteem ter wereld, en dat maakt het ook een geliefd doelwit. Hackers werken grotendeels geautomatiseerd: ze scannen duizenden websites tegelijk op bekende kwetsbaarheden. Als jouw site ergens een verouderde plugin draait of een wachtwoord als “admin123” gebruikt, is de kans groot dat ze binnenkomen.
De meest voorkomende ingangen zijn:
- Verouderde plugins of thema’s met bekende beveiligingslekken
- Zwakke of hergebruikte wachtwoorden
- Een onveilige hostingomgeving
- Geen twee-factor-authenticatie op het beheerdersaccount
- Ongebruikte plugins of thema’s die nog wel actief zijn
- Goedkope of gratis thema’s van onbetrouwbare bronnen
Weet je wat zo vervelend is? Veel van deze ingangen zijn eenvoudig te sluiten. Het kost even tijd, maar het scheelt je achteraf een hoop ellende.
Wat zijn de eerste stappen na een WordPress-hack?
Na een hack zet je jouw website eerst in onderhoudsmodus, maak je een volledige back-up van de huidige situatie en breng je de schade in kaart. Daarna verwijder je alle schadelijke bestanden, verander je alle wachtwoorden en controleer je of er onbekende gebruikers zijn aangemaakt.
Handel dit stap voor stap af:
- Zet de site in onderhoudsmodus zodat bezoekers geen schadelijke inhoud te zien krijgen.
- Maak een back-up van de gehackte versie, ook al is die besmet. Dit kan later helpen bij het analyseren van wat er precies is gebeurd.
- Scan de website met een beveiligingstool zoals Wordfence of Sucuri om schadelijke bestanden op te sporen.
- Verwijder alle besmette bestanden of herstel ze vanuit een schone back-up.
- Verander alle wachtwoorden: WordPress-beheerder, FTP, database en je hostingpaneel.
- Controleer gebruikersaccounts op onbekende of verdachte beheerders en verwijder die direct.
- Informeer je hostingprovider, want zij kunnen helpen bij het opsporen van de besmetting op serverniveau.
Sla geen stap over. Een hack die half is opgeruimd, is eigenlijk geen opgeruimde hack.
Welke WordPress-plugins beschermen tegen een nieuwe hack?
De beste beveiligingsplugins voor WordPress zijn Wordfence, Sucuri Security en iThemes Security. Ze bieden firewallbescherming, malwarescans en meldingen bij verdachte activiteit. Eén van deze plugins instellen is een van de slimste dingen die je kunt doen om een nieuwe WordPress-hack te voorkomen.
Wordfence is de meest gebruikte optie en heeft een gratis versie die voor de meeste MKB-websites meer dan voldoende is. De plugin blokkeert verdachte bezoekers, scant je bestanden op bekende malware en stuurt je een melding als er iets vreemds gebeurt.
Sucuri Security is een goed alternatief, zeker als je ook een externe firewall wilt die verkeer filtert voordat het jouw server bereikt. Dat geeft een extra beschermingslaag.
Naast een beveiligingsplugin is het ook slim om:
- Aanmeldpogingen te beperken met een plugin zoals Limit Login Attempts Reloaded
- Je WordPress-beheerderspagina te verplaatsen naar een ander adres dan het standaard /wp-admin
- Ongebruikte plugins en thema’s te verwijderen, ook als ze uitgeschakeld zijn
Hoe stel je sterke wachtwoorden en twee-factor-authenticatie in?
Een sterk wachtwoord bestaat uit minimaal twaalf tekens met een combinatie van letters, cijfers en leestekens, en je gebruikt het nergens anders. Twee-factor-authenticatie voeg je toe via een plugin zoals WP 2FA, waarna je bij elke aanmelding een extra code invoert vanuit een authenticatie-app.
Gebruik een wachtwoordbeheerder zoals Bitwarden of 1Password om sterke, unieke wachtwoorden bij te houden. Zo hoef je ze niet te onthouden en loop je geen risico op hergebruik.
Twee-factor-authenticatie is misschien wel de meest effectieve maatregel die je kunt nemen. Zelfs als iemand jouw wachtwoord heeft, komt diegene niet binnen zonder de extra code. De plugin WP 2FA is gratis, werkt met bekende authenticatie-apps en is binnen een kwartier ingesteld.
Waarom zijn regelmatige WordPress-updates zo belangrijk voor beveiliging?
Updates dichten bekende beveiligingslekken. Zodra een kwetsbaarheid in een plugin of thema publiekelijk bekend is, beginnen hackers er automatisch naar te zoeken. Websites die niet zijn bijgewerkt, worden dan een makkelijk doelwit om opnieuw gehackt te worden.
WordPress brengt regelmatig beveiligingsupdates uit, en hetzelfde geldt voor de meeste serieuze plugins. Een update overslaan lijkt onschuldig, maar de informatie over wat er precies is gepatcht, is vaak openbaar. Hackers gebruiken die informatie actief om niet-bijgewerkte sites aan te vallen.
Stel automatische updates in voor kleine WordPress-versies en controleer maandelijks of je plugins en thema’s up-to-date zijn. Doe dit bij voorkeur na een back-up, zodat je altijd kunt terugdraaien als een update iets stuk maakt.
Hoe maak je veilige back-ups zodat je altijd kunt herstellen?
Een veilige back-up maak je automatisch, op vaste momenten, en je slaat hem op buiten je eigen server. Plugins zoals UpdraftPlus of BlogVault maken dit eenvoudig en kunnen back-ups rechtstreeks opslaan in Google Drive, Dropbox of een andere externe locatie.
Bewaar back-ups op minimaal twee plekken: één op een externe cloudopslag en één lokaal op je eigen computer. Zo ben je ook gedekt als je hostingomgeving volledig uitvalt of besmet raakt.
Stel de back-upfrequentie in op basis van hoe vaak je website verandert. Heb je een webshop of blog waar dagelijks iets nieuws verschijnt? Kies dan voor dagelijkse back-ups. Is jouw site meer een digitale visitekaart? Dan is wekelijks prima. Controleer ook af en toe of je back-up daadwerkelijk werkt door hem een keer terug te zetten op een testomgeving.
Wanneer is professionele hulp bij WordPress-beveiliging verstandig?
Professionele hulp is verstandig als je niet zeker weet of de hack volledig is opgeruimd, als je website opnieuw wordt gehackt na herstel, of als je simpelweg geen tijd hebt om dit zelf bij te houden. WordPress-beveiliging na een hack vraagt om technische kennis en regelmaat, en dat is niet voor iedereen weggelegd.
Een professional kijkt verder dan de oppervlakte. Soms zit de besmetting diep in de serverbestanden of zijn er achterdeurtjes achtergelaten die je met een gewone scan niet ziet. Een expert spoort die op en sluit ze definitief.
Ook als je gewoon geen zin hebt in het bijhouden van updates, back-ups en beveiligingsscans, is uitbesteden een slimme keuze. Jij doet waar jij goed in bent, en iemand anders zorgt dat jouw website veilig blijft.
Hoe Appel en Eelman helpt met WordPress-beveiliging
Wij helpen MKB-ondernemers met het beveiligen, herstellen en onderhouden van hun WordPress-websites. Geen ingewikkeld gedoe, gewoon duidelijke taal en praktische hulp. Dit is wat we voor je kunnen doen:
- De hack volledig opsporen en opruimen, inclusief verborgen achterdeurtjes
- Beveiligingsplugins instellen en configureren
- Twee-factor-authenticatie en sterke wachtwoorden implementeren
- Automatische back-ups inrichten op een externe locatie
- Regelmatig onderhoud uitvoeren zodat alles up-to-date blijft
- Jou uitleggen wat we doen en waarom, zodat je het begrijpt
Je hoeft dit echt niet allemaal zelf te doen. Wij nemen het graag van je over, zodat jij je kunt richten op je eigen werk. Neem gerust contact met ons op en we kijken samen wat jouw website nodig heeft.