WordPress AI-plugins beveiligen: zo lekt je API-sleutel niet

Een AI-plugin in WordPress werkt met een API-sleutel: een code waarmee de plugin op jouw rekening een taalmodel van OpenAI, Anthropic of Google gebruikt. Lekt die sleutel, dan kan iemand anders op jouw kosten AI gebruiken. Bescherm je site met één aparte sleutel per website, een harde bestedingslimiet, alleen beheerders bij de instellingen en snel updaten. Haal AI-plugins weg die je niet meer gebruikt, en vervang de sleutel na elke melding over een lek.

Waarom een AI-plugin een ander risico is dan een gewone plugin

Een gewone plugin met een lek kan je website schade doen. Een AI-plugin met een lek kan daarnaast je portemonnee schade doen. Elke AI-plugin werkt met een API-sleutel: een lange code die je bij OpenAI, Anthropic of Google aanmaakt en in WordPress plakt. Met die sleutel betaalt de plugin het taalmodel. Wie de sleutel heeft, kan dat ook, op jouw rekening.

Daar komen twee dingen bij. Steeds meer AI-plugins doen meer dan teksten schrijven: ze geven AI-assistenten toegang tot je site via MCP, de standaardstekker tussen AI en software. Hoe dat werkt en welke veiligheidsregels daarbij horen, staat in WordPress MCP. Gaat er bij zo'n koppeling iets mis, dan staat niet alleen je sleutel op het spel, maar je hele site.

En sinds WordPress 7.0 heeft WordPress zelf een scherm Connectoren, waar je sleutels van Anthropic, Google en OpenAI op één plek invult. Dat is handig, maar volgens de aankondiging van de Connectors API staan sleutels in de database niet versleuteld. Ze zijn alleen afgeschermd in het scherm. Een plugin draait in WordPress met dezelfde rechten als de rest van je site, dus elke plugin kan in principe bij zo'n instelling.

Dit artikel gaat dus niet over WordPress-beveiliging in het algemeen. Die basis, van updates tot tweestapsverificatie, staat in WordPress beveiligen. Hier gaat het over één ding: de sleutel waarmee je site AI gebruikt.

Gepubliceerde lekken in AI-plugins en wat ze je leren

Hoe het misgaat, zie je het best aan echte meldingen. De vijf hieronder, verdeeld over drie plugins, staan in de officiële CVE-database, het internationale register van beveiligingslekken. Ze zijn allemaal opgelost in nieuwere versies. Ik noem ze niet om makers af te branden, maar omdat ze laten zien waar de zwakke plekken zitten.

Les 1: gemak zonder inlog is een open deur

Bij het eerste lek in AI Engine ging het om een optie die een koppeling zonder inlog mogelijk maakte. Handig om snel iets te testen, maar wie het adres vond, kon via die weg een beheerdersaccount aanmaken. Wordfence gaf het lek een score van 9,8 op 10. Zie je in een AI-plugin een optie om iets zonder inlog of 'zonder authenticatie' bereikbaar te maken, laat die dan uit.

Les 2: een Redacteur ziet meer dan je denkt

Bij het tweede lek konden gebruikers met de rol Redacteur de sleutel lezen, terwijl die elders alleen voor beheerders zichtbaar was. Dat is een herkenbaar scenario: een stagiair, een tekstschrijver of een oud-medewerker met een Redacteur-account. Wie toegang heeft tot je dashboard, kan dus meer zien dan jij bedoelde.

Les 3: een plugin die vaker lekt, verdient extra aandacht

De chatbotplugin van AYS had binnen twee jaar twee meldingen over dezelfde sleutel. Dat zegt niet dat je hem nooit mag gebruiken, maar wel dat je bij de keuze verder kijkt dan het aantal sterren. Zoek de plugin op in een kwetsbaarheidsdatabase zoals die van Wordfence, Patchstack of WPScan voordat je hem installeert.

Les 4: het hoeft geen AI-plugin te zijn

Greenshift is een pagebuilder met AI-functies. De sleutels lekten via een back-up van de instellingen in een openbare map. Elke plugin waar je een AI-sleutel in plakt, hoort dus op je lijst, ook als AI niet de hoofdfunctie is.

Wat iemand met je API-sleutel kan doen

Een gelekte sleutel is meer dan een vervelend incident. Dit kan iemand ermee:

• Op jouw kosten AI gebruiken. Elk verzoek gaat van jouw tegoed of jouw factuur af. Hoe hoog de schade wordt, hangt af van je tegoed, of je automatisch opwaardeert en welke limieten je hebt ingesteld.
• Bij gegevens onder die sleutel. Bij Anthropic horen bijvoorbeeld geüploade bestanden en batches bij een werkruimte. Een sleutel van die werkruimte kan erbij. Gebruik je één sleutel voor alles, dan geef je met één lek alles prijs.
• Je limieten opmaken. Gebruikt iemand anders je tegoed of je limiet, dan stopt ook je eigen chatbot of vertaalfunctie.

Wat AI niet voor je doet: zien dat het verbruik ineens tien keer zo hoog is. Dat moet een mens opmerken, of een melding die een mens heeft ingesteld.

Zo richt je het in: één sleutel per site, met een limiet

Dit is de inrichting die ik iedere website met AI-functies aanraad. De meeste stappen doe je één keer.

1. Maak een aparte sleutel per website. Bij OpenAI maak je per site een eigen project, met een sleutel binnen dat project. Bij Anthropic maak je in de Claude Console per site een eigen werkruimte en een sleutel die alleen daar werkt. Geef ze een herkenbare naam, zoals 'jouwsite.nl chatbot'. Lekt er één, dan trek je alleen die in.
2. Zet een harde bestedingslimiet aan. Bij OpenAI stel je per project een maandlimiet in en zet je 'Enforce a hard limit' aan. Daarna weigert de API verzoeken zodra de limiet is bereikt. Volgens de handleiding van OpenAI over spend limits kan het verbruik de limiet net iets overschrijden voordat de blokkade ingaat. Bij Anthropic stel je de limiet in per werkruimte, maar niet op de standaardwerkruimte. Dat is nog een reden voor een eigen werkruimte, zie de documentatie over werkruimtes. Zet bij allebei ook een melding aan, ruim onder de limiet.
3. Bewaar de sleutel buiten de database. WordPress 7 zoekt een sleutel voor Connectoren eerst in een omgevingsvariabele op de server, dan in een PHP-constante en pas daarna in de database. Laat je bouwer of hostingpartij de sleutel op een van de eerste twee plekken zetten. Het scherm Connectoren laat zien welke bron in gebruik is. Biedt een plugin zelf zo'n optie, gebruik die dan ook. Gebruik je de officiële AI-plugin, dan kun je ook het experiment Key Encryption aanzetten: dat slaat sleutels versleuteld op in de database. Zet je het experiment uit of deactiveer je de plugin, dan staan ze weer onversleuteld.
4. Alleen beheerders bij de instellingen. Loop je gebruikers na: wie is beheerder, wie Redacteur, en is dat nog nodig? Heeft de AI-plugin eigen toegangsinstellingen, beperk die dan tot beheerders. Gebruik je de officiële AI-plugin van WordPress, zet dan het experiment Connector approvals aan. Plugins en thema's mogen je AI-koppelingen dan pas gebruiken als een beheerder dat goedkeurt. Wat die plugin verder doet, lees je in WordPress AI-plugin.
5. Houd de sleutel uit de browser. Een goede chatbotplugin praat via je server met de AI, nooit rechtstreeks vanuit de browser van je bezoeker. Controleer het zelf: open een pagina met de chatbot, bekijk de paginabron en zoek op 'sk-' gevolgd door een lange reeks letters en cijfers. Sleutels van OpenAI en Anthropic beginnen zo. Vind je er een, haal de plugin dan direct offline en vervang de sleutel.
6. Zet opties zonder inlog uit. Geen MCP-adres zonder inloggen, geen openbare exportbestanden van instellingen. Koppel je AI aan je site, doe het dan met een aparte gebruiker en een applicatiewachtwoord.

Voorbeeldprompt: laat AI meelezen in de instellingen

AI kan je helpen om een plugin te beoordelen voordat je hem installeert, zolang je de uitkomst zelf natrekt. Plak nooit je sleutel in de chat.

Ik wil de WordPress-plugin [naam] gebruiken voor [functie]. Hieronder staan de beschrijving en de changelog van wordpress.org. Welke instellingen geven mogelijk toegang zonder inloggen? Waar slaat de plugin de API-sleutel op, voor zover dat uit de tekst blijkt? Welke beveiligingsfixes staan er in de changelog van het afgelopen jaar? Zet bij elk antwoord de zin uit de tekst waarop je het baseert, en zeg het als de tekst het niet vermeldt.

Die laatste zin is belangrijk. Een taalmodel vult gaten graag in met iets wat logisch klinkt. Laat het daarom aanwijzen waar het staat, en zoek de plugin daarna zelf op in een kwetsbaarheidsdatabase.

Bijhouden: updates, opruimen en een sleutel vervangen

Een goede inrichting is een begin. Veiligheid zit in wat je daarna elke maand doet.

Snel updaten. Voor alle lekken hierboven kwam een update. Wie die installeerde, was beschermd. Wie hem liet liggen, niet. Een beveiligingsupdate van een AI-plugin installeer je binnen een paar dagen, met een back-up vooraf. De vaste volgorde staat in WordPress updaten zonder crash.

Ongebruikte AI-plugins weg. Uitschakelen is niet genoeg. De bestanden blijven op je server staan en de instellingen, met je sleutel, blijven in de database. Verwijder de plugin, controleer of hij zijn instellingen heeft opgeruimd, en trek de sleutel in bij de aanbieder.

Elke maand naar het verbruik kijken. Bij OpenAI en Anthropic zie je het verbruik per project of werkruimte. Een piek die je niet kunt verklaren, is een reden om de sleutel te vervangen.

Na een melding: vervangen, niet afwachten. Lees je dat een plugin die je gebruikt een lek had waarbij sleutels zichtbaar waren? Update dan, trek de oude sleutel in en maak een nieuwe. Je weet namelijk niet of iemand hem in de tussentijd heeft gezien. Zie je ook onbekende beheerders op je site, volg dan het noodplan in WordPress website gehackt.

Wat de plugin doet en waar jij nodig bent

De rode draad: de AI-plugin doet het werk, maar jij houdt de sleutel. Zo verdeel je het.

Je ziet het patroon: alles in de rechterkolom is saai, en precies daar gaat het mis als niemand het doet.

Checklist: is je AI-sleutel veilig?

Loop deze lijst één keer na, en daarna bij elke onderhoudsronde.

• Elke website heeft een eigen sleutel, in een eigen project of werkruimte.
• Er staat een harde bestedingslimiet en een melding ruim daaronder.
• De sleutel staat in een omgevingsvariabele of constante, niet alleen in de database.
• Alleen beheerders kunnen de instellingen van AI-plugins zien.
• Gebruikersaccounts zijn nagelopen: geen oude Redacteuren of onbekende beheerders.
• In de paginabron van je site staat geen sleutel die met 'sk-' begint.
• Opties voor toegang zonder inlog staan uit.
• AI-plugins die je niet gebruikt, zijn verwijderd, en hun sleutels ingetrokken.
• Beveiligingsupdates van AI-plugins worden binnen een paar dagen geïnstalleerd.
• Iemand kijkt elke maand naar het verbruik per sleutel.

Conclusie: AI erbij, maar jij houdt de sleutel

WordPress AI security draait om één vraag: wat gebeurt er als je sleutel uitlekt? Met één sleutel per site, een harde limiet, alleen beheerders bij de instellingen en snelle updates is het antwoord: weinig. De gepubliceerde lekken in AI Engine, de chatbot van AYS en Greenshift laten zien dat het meestal misgaat bij gemakopties, te ruime rechten en updates die blijven liggen.

Een AI-plugin is dus geen eenmalige installatie, maar een extra punt op je onderhoudslijst. Wat er in goed onderhoud hoort, lees je in website onderhoud: wat het kost. Wil je weten wat onderhoud bij mij kost? Download dan de prijslijst.