Als je een WordPress-site beheert, kan beveiliging aanvoelen als een onderwerp zonder grenzen: honderd artikelen, duizend meningen, en geen duidelijke volgorde om dingen in te doen. Het goede nieuws is dat de basis eindig is, en de meeste stappen zijn simpel. Deze WordPress-beveiligingschecklist neemt je in gewone taal mee door alles wat echt telt, verdeeld in zeven onderdelen die je stap voor stap kunt afwerken.
Je hoeft niet technisch te zijn, en je hoeft het niet allemaal vandaag te doen. Begin bovenaan, vink af wat je kunt, en kom later terug voor de rest. Verreweg de meeste WordPress-sites worden gecompromitteerd via bekende problemen met bekende oplossingen, dus door een checklist als deze te doorlopen sluit je precies de deuren die aanvallers gebruiken.
Hoe je deze checklist gebruikt
De onderdelen staan ruwweg op volgorde van impact, van de veranderingen die het meest uitmaken tot de leuke extra's:
Houd alles up-to-date
Controleer je plugins en thema's
Beveilig gebruikers en logins
Zorg dat SSL en certificaten kloppen
Verstevig je configuratie
Zorg voor betrouwbare back-ups
Monitor continu
Als je maar één ding doet voordat je verder leest, doe dit: scan je site, zodat je weet dat van deze punten al aandacht nodig hebben. Het duurt ongeveer twee minuten en laat zien wat een aanvaller van buitenaf ziet.
1. Houd alles up-to-date
Verouderde software is de meest voorkomende reden waarom WordPress-sites worden gehackt. Wanneer er een lek wordt gevonden in een plugin, thema of WordPress zelf, wordt dit gepubliceerd als een openbare kwetsbaarheid, en aanvallers scannen het web op sites die nog de oude, ongepatchte versie draaien. Updaten is zo ongeveer de dichtstbijzijnde beveiligingstruc die er is.
Update WordPress core naar de nieuwste versie. Zet automatische updates voor kleine releases aan als dat nog niet zo is.
Update alle plugins. Kijk bij Dashboard → Updates en werk de lijst weg.
Update je actieve thema (en update of verwijder inactieve thema's).
Update PHP naar een ondersteunde versie via je hostingcontrolepaneel. Oude PHP-versies krijgen geen beveiligingsupdates meer.
Maak van updaten een routine, geen jaarlijkse opschoonactie. Er worden dagelijks nieuwe lekken bekendgemaakt.
2. Controleer je plugins en thema's
Plugins en thema's zijn waar het meeste WordPress-risico zit, simpelweg omdat er zo veel van zijn en iedereen er een kan publiceren. Je hoeft er niet bang voor te zijn; de meeste zijn prima, maar je moet de lijst wel overzichtelijk en betrouwbaar houden.
Verwijder wat je niet gebruikt. Elke gedeactiveerde plugin is nog steeds code op je server. Gebruik je hem niet, verwijder hem dan.
Let op verlaten plugins. Een plugin die al meer dan een jaar niet is bijgewerkt, of uit de officiële directory is gehaald, is een risico. Vervang hem door een onderhouden alternatief.
Installeer alleen vanuit vertrouwde bronnen, de officiële WordPress.org-directory of betrouwbare commerciële ontwikkelaars. Vermijd "nulled" (illegale) premiumplugins volledig; ze zijn een bekende route voor malware.
Beperk het totale aantal plugins. Minder plugins betekent een kleiner aanvalsoppervlak en minder dingen om te patchen.
Vergelijk actieve plugins met een publieke kwetsbaarhedendatabase om te zien of er een bekend lek is.
3. Beveilig gebruikers en logins
De inlogpagina is de voordeur, en brute-force-pogingen daartegen zijn constant en geautomatiseerd. Door accounts en authenticatie strakker te zetten, sluit je een hele categorie aanvallen uit.
Verwijder de standaardgebruikersnaam "admin". Voorspelbare gebruikersnamen geven aanvallers de helft van de puzzel cadeau.
Dwing sterke, unieke wachtwoorden af voor elk account, vooral beheerders. Een wachtwoordmanager maakt dit moeiteloos.
Zet tweefactorauthenticatie (2FA) aan voor alle admin- en editoraccounts. Dit alleen al verslaat de grote meerderheid van wachtwoord-gok-aanvallen.
Bekijk je gebruikerslijst. Verwijder onder Gebruikers → Alle gebruikers iedereen die geen toegang meer nodig heeft, en controleer of er geen accounts bij staan die je niet herkent.
Gebruik het minimale rechtenniveau dat nodig is. Geef iemand geen Beheerder-rechten als Redacteur of Auteur volstaat.
Beperk het aantal inlogpogingen, zodat geautomatiseerd gokken snel wordt geblokkeerd.
Een onbekend beheerdersaccount is een van de duidelijkste tekenen van een compromittering, dus dit onderdeel dient ook als snelle gezondheidscheck.
4. Zorg dat SSL en certificaten kloppen
Een SSL/TLS-certificaat versleutelt het verkeer tussen je bezoekers en je site, en is een basisvereiste voor vertrouwen. Browsers waarschuwen bezoekers zichtbaar voor sites zonder certificaat. Certificaten zijn makkelijk in te stellen en makkelijk te vergeten, en precies daarom veroorzaken ze problemen.
Installeer een geldig SSL-certificaat. De meeste hosts bieden gratis Let's Encrypt-certificaten in een paar klikken.
Forceer HTTPS sitebreed, zodat geen enkele pagina via onversleuteld HTTP laadt.
Let op de verloopdatum. Een verlopen certificaat geeft een angstaanjagende browserwaarschuwing en kan je site feitelijk offline halen. Automatische vernieuwing helpt, maar kan stilletjes mislukken.
Los mixed-content-waarschuwingen op, afbeeldingen of scripts die nog via HTTP laden op een verder beveiligde pagina.
5. Verstevig je configuratie
Verstevigen betekent simpelweg functies uitschakelen die je niet nodig hebt en deuren sluiten die je niet gebruikt. Geen van deze stappen is moeilijk, en samen beperken ze aanzienlijk waar een aanvaller mee kan werken.
Schakel de ingebouwde bestandseditor uit. De code-editor voor plugins/thema's in het dashboard is een cadeautje voor iedereen die binnenkomt.
Bescherm wp-config.php en andere gevoelige bestanden tegen publieke toegang.
Schakel XML-RPC uit als je het niet gebruikt; het is een veelvoorkomend doelwit voor brute-force- en versterkingsaanvallen.
Zet het tonen van mapinhoud uit, zodat bezoekers de inhoud van je mappen niet kunnen bekijken.
Stel de juiste bestandsrechten in (doorgaans 644 voor bestanden, 755 voor mappen).
Overweeg een beveiligingsplugin of firewall. Een firewall blokkeert kwaadaardig verkeer voordat het WordPress bereikt, een ander en aanvullend werk dan scannen.
Een korte opmerking over tools, want dit zorgt vaak voor verwarring: een firewall en malwarescanner (zoals Wordfence of Sucuri) draait binnen WordPress om bedreigingen te blokkeren en op te ruimen. Een kwetsbaarhedenscanner controleert van buitenaf op bekende zwakke plekken die je nog moet oplossen. Het zijn geen concurrenten; de sterkste opzet gebruikt beide.
6. Zorg voor betrouwbare back-ups
Back-ups voorkomen geen aanval, maar ze maken van een ramp een ongemak. Als het ergste gebeurt, is een recente schone back-up vaak de snelste weg terug naar een werkende site.
Automatiseer regelmatige back-ups, minimaal wekelijks, en vaker voor actieve sites.
Maak back-ups van bestanden én de database, niet slechts van één van de twee.
Bewaar kopieën op een andere locatie, los van je hosting. Een back-up die alleen op een gecompromitteerde server staat, helpt weinig.
Test minstens één keer een herstel. Een ongeteste back-up is een hoop, geen plan.
Bewaar meerdere versies, zodat je kunt terugkeren naar een punt voordat een probleem begon.
7. Monitor continu
Dit is het addertje onder het gras bij elke checklist: het is een momentopname. Je kunt je site vandaag perfect beveiligen, en morgen wordt er een gloednieuwe kwetsbaarheid bekendgemaakt in een plugin die je al jaren probleemloos draait, zonder dat jij iets hebt aangeraakt. Beveiliging is geen eenmalig project; het is een doorlopende staat.
Scan continu op kwetsbaarheden, niet slechts één keer, zodat nieuwe blootstellingen jou bereiken voordat ze een aanvaller bereiken.
Monitor je SSL-certificaat en DNS op verlopen en onverwachte wijzigingen.
Let op de waarschuwingssignalen van een compromittering: onverwachte redirects, onbekende accounts, dalend verkeer, browserwaarschuwingen.
Controleer Google Search Console op beveiligingsmeldingen.
Houd nieuwe CVE's in de gaten die de plugins en thema's raken die jij daadwerkelijk gebruikt.
Dit is precies het gat dat Catcher24 opvult. Het scant je WordPress-site van buitenaf, hetzelfde perspectief dat een aanvaller heeft, op bekende kwetsbaarheden (CVE's), plus certificaat- en DNS-problemen, en blijft in de gaten houden als er nieuwe dreigingen verschijnen. Er wordt niets op je server geïnstalleerd, en er is geen plugin die je site vertraagt. Het vervangt geen firewall of malwarescanner, dus gebruik het ernaast. Samen dekken ze vinden, blokkeren en herstellen.
Je printbare checklist, in één overzicht
Loop deze door en je hebt de basis gedekt die de overgrote meerderheid van WordPress-aanvallen stopt:
Updates: core, plugins, thema's en PHP allemaal actueel; updaten is routine.
Plugins & thema's: ongebruikte verwijderd, verlaten vervangen, bronnen vertrouwd.
Gebruikers & logins: geen "admin"-gebruiker, sterke wachtwoorden, 2FA aan, gebruikerslijst schoon.
SSL & certificaten: geldig certificaat, HTTPS geforceerd, verlopen wordt gemonitord.
Verstevigen: bestandseditor uit, XML-RPC uit indien ongebruikt, gevoelige bestanden beschermd, firewall aanwezig.
Back-ups: geautomatiseerd, op andere locatie, versies bewaard, en getest.
Monitoring: continue kwetsbaarhedenscan, certificaat- en DNS-monitoring, oog voor de waarschuwingssignalen.
Weet je niet zeker hoe je site er nu voor staat op deze lijst? Gok niet. Een scan controleert de extern zichtbare punten in enkele minuten en vertelt je precies wat je eerst moet oplossen.
Zie hoe je site ervoor staat. De snelste manier om deze checklist in actie te zetten, is te zien wat een aanvaller ziet: verouderde onderdelen, certificaatproblemen en bekende kwetsbaarheden, allemaal gerangschikt, zodat je weet wat je eerst moet aanpakken. Je eerste WordPress-site scan je gratis, zonder creditcard.
Beveilig WordPress Gratis
Pak bekende CVE's aan voordat ze worden misbruikt. Installeer onze plugin om geautomatiseerde kwetsbaarheidscontroles uit te voeren op uw thema's, plugins en kernbestanden, rechtstreeks vanuit uw beheerpaneel.
Gratis voor nieuwe registraties · Geen creditcard · Installatie in enkele minuten
