Wat is de beste beveiligingsplugin voor WordPress?

Er is niet één beste. Belangrijker is dat de plugin de basis dekt: bescherming tegen inlogaanvallen, tweestapsverificatie, een scan op bekende kwetsbaarheden en meldingen als bestanden veranderen. Kadence Security doet dat in de gratis versie al. Kies één beveiligingsplugin en installeer er geen drie naast elkaar, want die zitten elkaar vaak in de weg. En onthoud dat geen enkele plugin een gemiste update of een ontbrekende back-up goedmaakt.

Hoe zet je tweestapsverificatie aan in WordPress?

WordPress heeft het niet standaard ingebouwd, dus je gebruikt een plugin. In Kadence Security zet je het aan in de instellingen van de plugin. Daarna koppelt elke gebruiker een authenticator-app, zoals Google Authenticator of Authy, of kiest voor een code per e-mail. Bewaar de reservecodes op een veilige plek. Maak het in elk geval verplicht voor beheerders en zet tweestapsverificatie ook aan op je hostingaccount en het e-mailadres van je beheerder.

Welke WordPress back-up plugin heb je nodig?

Eerst de vraag of je er een nodig hebt. Veel hostingpartijen maken al dagelijks back-ups, maar die staan vaak op dezelfde plek als je website. Een back-up plugin zoals UpdraftPlus kan een extra kopie naar externe opslag sturen. Welke je ook kiest: controleer dat zowel de bestanden als de database worden meegenomen, dat de kopie buiten je server staat en dat je het terugzetten minstens één keer hebt getest.

Is WordPress veilig genoeg voor een zakelijke website?

Ja, als hij goed wordt bijgehouden. WordPress zelf krijgt automatisch beveiligingsupdates en heeft een eigen beveiligingsteam. De meeste problemen ontstaan rond WordPress: verouderde plugins, gekraakte premium thema's, zwakke wachtwoorden en hosting met een oude PHP-versie. Een WordPress-website die maandelijks wordt onderhouden en de tien maatregelen uit dit artikel volgt, is een stuk lastiger te hacken dan een site die na de lancering niemand meer aanraakt.

Moet je de inlogpagina van WordPress verbergen?

Het helpt een beetje tegen de ruis van bots die standaard op wp-login.php aankloppen, maar het is geen echte beveiliging. Een aanvaller die je site gericht onderzoekt, vindt de inlogpagina toch. Steek je tijd liever eerst in tweestapsverificatie, sterke wachtwoorden en het blokkeren van herhaalde inlogpogingen. Verberg je de inlogpagina wel, noteer dan het nieuwe adres op een plek waar je het terugvindt.

WordPress beveiligen: 10 maatregelen tegen hackers

WordPress beveiligen begint niet bij een dure plugin, maar bij de basis: alles up-to-date houden, automatische back-ups buiten je server, sterke unieke wachtwoorden en tweestapsverificatie voor elke beheerder. Daarna volgen inlogbeveiliging, opgeruimde plugins, beperkte rechten, goede hosting en een scan op kwetsbaarheden. Een deel stel je één keer zelf in, de rest hoort in vast onderhoud.

WordPress beveiligen: begin bij hoe hacks echt gebeuren

Bij WordPress beveiligen denk je al snel aan een dure plugin of een ingewikkelde firewall. Maar veel hacks komen binnen via een paar voorspelbare routes: een plugin met een bekend lek die niet is bijgewerkt, een zwak of hergebruikt wachtwoord, of een gekraakt premium thema van een dubieuze downloadsite.

Die aanvallen zijn zelden persoonlijk. Bots scannen automatisch grote aantallen websites op bekende lekken en proberen lijsten met gelekte wachtwoorden uit. Je kleine website is dus net zo goed een doelwit als een grote webshop.

Daarom staan de tien maatregelen hieronder op volgorde van impact. Bij elke maatregel lees je of je hem één keer zelf instelt, of dat hij in onderhoud hoort omdat hij elke maand terugkomt.

10 maatregelen om je WordPress website te beveiligen

1. Houd WordPress, plugins en thema's up-to-date

Hoort in onderhoud. Dit is de maatregel met de meeste impact. Zodra een lek in een plugin bekend wordt, zoeken bots naar sites die de oude versie nog draaien. Hoe langer je wacht, hoe groter de kans dat jouw site op hun lijst staat.

Kleine beveiligingsupdates van WordPress zelf worden standaard automatisch geïnstalleerd. Voor plugins en thema's kun je sinds WordPress 5.5 per stuk automatische updates aanzetten. Dat is beter dan niets, maar niemand controleert dan of je site daarna nog werkt. Gaat het mis, dan lees je in WordPress werkt niet meer hoe je een kritieke fout of wit scherm oplost.

2. Maak automatische back-ups op een andere plek

Hoort in onderhoud. Een back-up houdt een hack niet tegen, maar bepaalt wel hoe erg een hack is. Met een schone back-up van vorige week ben je vaak snel weer online. Zonder back-up begin je aan een zoektocht door duizenden bestanden.

Zorg dat de back-up zowel de bestanden als de database bevat en dat er een kopie buiten je server staat. Een WordPress back-up plugin die naar externe opslag schrijft, of de back-ups van je hostingpartij plus een eigen kopie, voldoet. Het NCSC adviseert ondernemers de 3-2-1-methode: drie kopieën, op twee soorten opslag, waarvan één op een andere plek.

3. Gebruik sterke, unieke wachtwoorden

Zelf instellen. Elk account dat kan inloggen op je site, je hosting of je database heeft een lang, willekeurig wachtwoord nodig dat je nergens anders gebruikt. Hergebruik je een wachtwoord dat ooit bij een andere dienst is gelekt, dan probeert een bot het vroeg of laat ook bij jou.

Een wachtwoordmanager maakt dit haalbaar: hij bedenkt en onthoudt de wachtwoorden voor je. WordPress laat bij het instellen van een wachtwoord zien hoe sterk het is. Neem alleen genoegen met een sterk wachtwoord.

4. Zet tweestapsverificatie aan voor elke beheerder

Zelf instellen, de plugin hoort in onderhoud. Na sterke wachtwoorden is tweestapsverificatie in WordPress de grootste stap. Een gestolen wachtwoord alleen is dan niet genoeg om binnen te komen, want er is ook een code van je telefoon nodig.

WordPress heeft dit niet standaard ingebouwd. Met Kadence Security stel je het in de gratis versie al in, met een authenticator-app zoals Google Authenticator of Authy, een code per e-mail of reservecodes. Maak het minimaal verplicht voor beheerders.

Vergeet de accounts rond je website niet. Zet tweestapsverificatie ook aan op je hostingaccount en op het e-mailadres van je beheerder. Wie dat mailadres overneemt, kan via 'wachtwoord vergeten' alsnog je site in.

5. Ruim plugins en thema's op die je niet gebruikt

Zelf en in onderhoud. Elke plugin is code van een andere maker op je server, ook als hij uitgeschakeld is. Verwijder plugins en thema's die je niet gebruikt, in plaats van ze alleen te deactiveren. Houd één standaardthema van WordPress over als reserve.

Installeer daarnaast alleen plugins en thema's uit de officiële plugin-bibliotheek of rechtstreeks van de maker. Een gekraakte versie van een premium plugin, vaak 'nulled' genoemd, bevat regelmatig verstopte code waarmee anderen later binnenkomen. Wat je bespaart op de licentie, betaal je dan dubbel terug.

6. Geef iedereen alleen de rechten die nodig zijn

Zelf instellen. Niet iedereen die blogs schrijft, hoeft beheerder te zijn. WordPress heeft rollen als Redacteur en Auteur, met minder rechten. Hoe minder beheerders, hoe minder accounts die een aanvaller kan misbruiken.

Loop daarnaast eens per kwartaal de gebruikerslijst na. Staan er nog accounts van oud-medewerkers, een vorig bureau of een eenmalige klus? Verwijder ze. En gebruik geen gebruikersnaam als 'admin', want dat is de eerste die bots proberen.

7. Blokkeer inlogaanvallen

Hoort in onderhoud. Bots proberen op WordPress-sites massaal combinaties van gebruikersnaam en wachtwoord uit. Zonder beperking kunnen ze dat eindeloos doen.

Kadence Security heeft daar in de gratis versie twee functies voor. De lokale bescherming blokkeert een bezoeker na te veel mislukte inlogpogingen. De netwerkbescherming deelt adressen die op andere sites al aanvallen, zodat je ze blokkeert voordat ze bij jou beginnen. In de betaalde versie komt daar onder meer reCAPTCHA bij.

8. Kies hosting met een actuele PHP-versie en HTTPS

Eenmalig kiezen, in onderhoud bewaken. WordPress draait op PHP, en WordPress raadt op dit moment PHP 8.3 of hoger aan, met HTTPS. Een oude PHP-versie krijgt op een gegeven moment geen beveiligingsupdates meer.

Let bij hosting ook op wat er rond je site gebeurt: worden sites op dezelfde server van elkaar afgeschermd, maakt de hostingpartij zelf back-ups en kun je de PHP-versie eenvoudig bijwerken? Goedkope hosting die op dit soort punten achterloopt, kost je later meer dan je nu bespaart.

9. Laat je site scannen op kwetsbaarheden en wijzigingen

Hoort in onderhoud. Een scan vertelt je welke plugins of thema's een bekend lek hebben, ook als er nog geen update is. Kadence Security controleert in de gratis versie vier keer per dag WordPress, je plugins en je thema's op bekende kwetsbaarheden. In de betaalde versie gebeurt dat elk uur.

Ook handig: detectie van gewijzigde bestanden. Verandert er ineens een bestand dat niemand heeft aangeraakt, dan krijg je een melding. Zo'n melding betekent niet altijd een hack, maar is wel het moment om te gaan kijken.

10. Zet de bestandseditor uit en scherm gevoelige bestanden af

Eenmalig, technisch. WordPress heeft een ingebouwde editor waarmee je vanuit het dashboard de PHP-code van je thema en plugins aanpast. Komt een aanvaller binnen als beheerder, dan is dat zijn favoriete gereedschap. Met de regel define( 'DISALLOW_FILE_EDIT', true ); in wp-config.php zet je die editor uit.

Laat daarbij de bestandsrechten op je server goed instellen. De handleiding van WordPress noemt 755 voor mappen en 644 voor bestanden als gebruikelijke instelling. Dit is werk voor je bouwer of hostingpartij, maar je mag erom vragen.

Wat je zelf instelt en wat in onderhoud hoort

Maatregel	Wie	Hoe vaak
1. Updates	Onderhoud	Elke maand, of vaker bij een kritiek lek
2. Back-ups buiten je server	Onderhoud	Automatisch, terugzetten af en toe testen
3. Sterke, unieke wachtwoorden	Jijzelf	Eenmalig, en bij elk nieuw account
4. Tweestapsverificatie	Jijzelf, plugin via onderhoud	Eenmalig per gebruiker
5. Plugins en thema's opruimen	Jijzelf en onderhoud	Bij elke onderhoudsronde
6. Rechten beperken	Jijzelf	Elk kwartaal de gebruikers nalopen
7. Inlogaanvallen blokkeren	Onderhoud	Instellen en meldingen bijhouden
8. Hosting en PHP-versie	Jij kiest, onderhoud bewaakt	Jaarlijks checken
9. Scan op kwetsbaarheden	Onderhoud	Automatisch, meldingen elke maand bekijken
10. Bestandseditor uit, rechten goed	Bouwer of onderhoud	Eenmalig

Zie je dat de helft in onderhoud valt? Dat is geen toeval. Beveiliging is geen klus die je één keer afrondt, maar een gewoonte. Wat goed onderhoud kost en wat erin hoort te zitten, lees je in website onderhoud: wat het kost.

Kadence Security: wat het doet en wat niet

Kadence Security is de beveiligingsplugin van Kadence, eerder bekend als iThemes Security en daarna Solid Security. Volgens de plugin-bibliotheek van WordPress draait hij op meer dan 700.000 websites. Ik ben Kadence WP Partner, dus ik noem hem niet toevallig. Maar het eerlijke verhaal is belangrijker dan de naam.

Wat de gratis versie al doet:

Tweestapsverificatie met een app, e-mail of reservecodes.
Bescherming tegen inlogaanvallen, lokaal en via het netwerk.
Eisen aan wachtwoorden en het blokkeren van verdachte bezoekers.
Een scan op bekende kwetsbaarheden, vier keer per dag.
Detectie van gewijzigde bestanden.

Wat de betaalde versie (Kadence Security Pro) toevoegt:

Een scan elk uur en automatisch bijwerken van software met een bekend lek.
Virtuele patches via Patchstack, die sommige lekken afdekken voordat de maker een update heeft uitgebracht.
Onder meer inloggen zonder wachtwoord, vertrouwde apparaten, reCAPTCHA en een logboek van wat gebruikers doen.

Wat geen enkele beveiligingsplugin voor je doet:

Updates installeren en controleren of je site daarna nog werkt.
Een back-up maken die buiten je server staat.
Je wachtwoorden sterk maken of oude accounts opruimen.
Een gehackte site voor je opschonen.

Een plugin is dus een hulpmiddel, geen vervanging voor onderhoud. Je bouwt hem bij voorkeur meteen in als je website wordt gemaakt. Hoe zo'n traject verloopt, lees je in zo verloopt een websitetraject stap voor stap.

Is het toch misgegaan?

Ook met goede beveiliging bestaat er geen garantie. Zie je ineens vreemde pagina's in Google, een waarschuwing in je browser of beheerders die je niet kent, dan wil je snel en in de goede volgorde handelen. Het noodplan staat in WordPress website gehackt? Dit doe je in het eerste uur.

Conclusie: WordPress beveiligen is vooral een gewoonte

WordPress beveiligen draait om de saaie basis. Houd alles up-to-date, zorg voor back-ups buiten je server, gebruik sterke unieke wachtwoorden en zet tweestapsverificatie aan. Ruim daarna plugins en gebruikers op, blokkeer inlogaanvallen, kies hosting met een actuele PHP-versie en laat je site scannen. Een paar maatregelen stel je één keer in, de rest komt elke maand terug.

Wil je weten wat er in mijn maandelijkse onderhoud zit en wat het kost? Download dan de prijslijst.