Is mijn site veilig?

Eerlijk is eerlijk: geen enkele website is onkraakbaar, en wie dat belooft, overdrijft. Waar het om gaat, is dat je het aanvallers zo lastig mogelijk maakt en voorbereid bent als er toch iets gebeurt. De meeste aanvallen zijn ook niet persoonlijk. Ze komen van geautomatiseerde programma's die het internet afstruinen op zoek naar zwakke plekken, zoals een verouderde plugin of een makkelijk te raden wachtwoord.

Bijhouden is het halve werk

Het grootste risico voor een WordPress-site is software die achterloopt. Zodra er een lek in een plugin bekend wordt, gaan die programma's er gericht naar zoeken. Wie dan nog op een oude versie draait, is een makkelijk doelwit. Dat geldt ook voor de software op de server zelf, iets wat vaak wordt vergeten: ook daar komen updates uit die gaten dichten.

Op maat bouwen helpt daarbij. Elke plugin is extra code van een andere partij, die weer onderhouden moet worden. Hoe minder overbodige onderdelen er op een site staan, hoe minder plekken er zijn waar iets mis kan gaan.

Afschermen en versleutelen

Afschermen tegen inbraakpogingen komt in de praktijk neer op twee dingen: het lastig maken om eindeloos wachtwoorden uit te proberen, en ingangen dichtzetten die een site niet nodig heeft. Daarnaast loopt het verkeer tussen bezoeker en site via een beveiligde verbinding. Wat iemand in een formulier typt of waarmee hij inlogt, is onderweg dan niet mee te lezen. En mocht het ondanks alles misgaan, dan kan er een schone versie uit een back-up worden teruggezet.

Wat je zelf kunt doen

Een groot deel van de beveiliging ligt bij ons, maar het zwakste punt is vaak een inlog. Een paar gewoontes maken veel uit:

• gebruik voor je site een lang wachtwoord dat je nergens anders gebruikt
• geef iedere collega een eigen account in plaats van één gedeelde inlog
• verwijder accounts van mensen die niet meer bij je werken
• geef mensen alleen de rechten die ze nodig hebben: wie teksten schrijft, hoeft geen plugins te installeren
• zet tweestapsverificatie aan waar dat kan, ook op je e-mail
• wees wantrouwig bij mails die je vragen in te loggen via een link

Dat laatste is minder vanzelfsprekend dan het klinkt. Nepmails die zich voordoen als je hostingpartij of als WordPress zien er soms heel overtuigend uit. Twijfel je, klik dan niet op de link. Ga zelf naar het adres waar je normaal inlogt, of check het bij de afzender via een telefoonnummer dat je al had.