WordPress-website beveiligen: checklist voor MKB

Waarom WordPress vaak doelwit is

WordPress draait een groot deel van het Nederlandse MKB-web, en precies die populariteit maakt het aantrekkelijk voor geautomatiseerde aanvallen. Aanvallers scannen niet handmatig één site uit: ze draaien schaalbare tools die continu het hele internet afzoeken naar bekende, kwetsbare versies van WordPress-core, plugins en thema's. Een kwetsbaarheid die vandaag bekend wordt, kan binnen uren al actief worden misbruikt op duizenden sites tegelijk.

Basis-checklist

• Houd core, plugins en thema's up-to-date. De meeste geslaagde aanvallen misbruiken een kwetsbaarheid waarvoor allang een patch bestaat. Zet automatische updates aan voor minor-releases en controleer major-updates minstens maandelijks.
• Verwijder ongebruikte plugins en thema's volledig, niet alleen deactiveren. Een gedeactiveerde plugin met een kwetsbaarheid is nog steeds aanwezig op de server en kan nog steeds misbruikt worden.
• Gebruik sterke, unieke wachtwoorden en two-factor-authenticatie voor elk beheerdersaccount. Bruteforce-pogingen op /wp-login.php zijn een van de meest voorkomende geautomatiseerde aanvalspatronen.
• Beperk inlogpogingen met een plugin of op serverniveau, zodat geautomatiseerd wachtwoorden raden praktisch onmogelijk wordt.
• Maak regelmatig backups, los van de server zelf. Bij een geslaagde aanval is een recente, extern bewaarde backup vaak het verschil tussen een uur hersteltijd en een bedrijf dat dagen plat ligt.
• Beperk het aantal beheerdersaccounts tot wie het echt nodig heeft, en verwijder accounts van oud-medewerkers of voormalige bureaus direct.

Wat een passieve scan wel en niet ziet

Onze uitgebreide scan kijkt, met jouw expliciete toestemming, passief mee naar de gedetecteerde WordPress-kernversie en zichtbare plugins/thema's, en vergelijkt dat met bekende kwetsbaarheden. Dat is puur fingerprinting: er wordt niet daadwerkelijk ingelogd, niets geëxploiteerd en er worden geen wachtwoorden geraden. Zo'n scan ziet dus wél een verouderde pluginversie met een bekend CVE-nummer, maar ziet bijvoorbeeld niet of je beheerderswachtwoord zwak is of 2FA aanstaat: dat zijn configuratiekeuzes die alleen jijzelf (of je beheerder) kan controleren.

Volgende stap

Een goed ingerichte WordPress-site staat of valt ook met e-mailbeveiliging: een gecompromitteerde site wordt vaak gebruikt om phishing-mail te versturen die op jouw domein lijkt. Lees phishing-mail herkennen om te weten waar je zelf op moet letten, en SPF-record instellen om te voorkomen dat anderen misbruik maken van je domeinnaam.