Zijn WordPress-plugins veilig?

Plugins maken WordPress zo bruikbaar. Ze voegen in een paar klikken contactformulieren, webshops, boekingskalenders en paginabouwers toe, zonder dat iemand code hoeft aan te raken. Dus het is een terechte vraag: zijn WordPress-plugins veilig genoeg om te installeren en je site aan toe te vertrouwen? Het korte antwoord is dat de meeste plugins meestal veilig zijn, maar plugins zijn ook de meest voorkomende manier waarop WordPress-sites worden gehackt. Dat klinkt tegenstrijdig, dus laten we uitzoeken wat er echt aan de hand is en, belangrijker nog, wat je eraan kunt doen.

Het goede nieuws is dat je geen developer hoeft te zijn om te voorkomen dat plugins een risico worden. Een handvol gewoontes, plus een manier om je site te zien zoals een aanvaller dat doet, dekt het grootste deel van het risico.

Het eerlijke antwoord: plugins zijn meestal veilig, maar wel het grootste doelwit

Een plugin is gewoon code die op je website draait. Als je er een installeert, vertrouw je erop dat de auteur veilige code schrijft en die up-to-date houdt. Plugins van betrouwbare ontwikkelaars, gedownload uit de officiële WordPress.org-directory, voldoen over het algemeen aan die maatstaf.

Het probleem is de hoeveelheid. Een gemiddelde WordPress-site draait ergens tussen een tiental en enkele tientallen plugins, elk geschreven door een ander team, met een eigen updateschema en een eigen codekwaliteit. Elke plugin maakt deel uit van het aanvalsoppervlak van je site, de verzameling dingen waar een aanvaller aan kan porren. Hoe meer plugins je draait, hoe meer code een aanvaller kan aftasten op zoek naar een ingang.

WordPress-core zelf wordt goed onderhouden en is zelden de zwakke plek. Aanvallers weten dat, dus richten ze zich op het makkelijkere doelwit: het plugin-ecosysteem. Wanneer onderzoekers en aanvallers een lek vinden in een populaire plugin, kan dat ene lek meteen tienduizenden of honderdduizenden sites treffen. Die schaal is precies waarom plugins, niet core, de meeste meldingen van datalekken domineren.

Waarom pluginfouten tot gehackte sites leiden

Het helpt om te begrijpen hoe een plugin precies een ingang kan worden. Geen van deze redenen vereist dat de pluginauteur kwaadwillend is; de meeste zijn oprechte fouten in verder legitieme software.

Bekende kwetsbaarheden die nooit gepatcht werden

Wanneer een beveiligingslek in een plugin wordt gevonden, wordt dit publiek gedocumenteerd als een CVE, een Common Vulnerabilities and Exposures-item, en brengt de auteur meestal een gerepareerde versie uit. Hier zit de adder onder het gras: zodra die oplossing openbaar is, weten aanvallers precies wat het lek is en welke versies kwetsbaar zijn. Ze schrijven geautomatiseerde scripts die het web afspeuren naar sites die nog de oude versie draaien.

Heb je niet geüpdatet, dan ben je nu een makkelijk doelwit voor een lek waar een gepubliceerde gebruiksaanwijzing voor bestaat. Dit is verreweg het meest voorkomende verhaal achter een datalek. De kwetsbaarheid was opgelost; de sitebeheerder heeft de update alleen nooit geïnstalleerd.

Verlaten en verouderde plugins

Sommige plugins krijgen helemaal geen updates meer. De auteur gaat verder met iets anders, het project valt stil, en de code veroudert langzaam terwijl WordPress en PHP eromheen blijven veranderen. Een verlaten plugin krijgt nooit meer een patch, dus elk lek dat erin wordt gevonden, blijft voor altijd openstaan. Een plugin die al een jaar of twee niet is bijgewerkt, verdient een kritische blik.

Nulled, illegale en niet-officiële plugins

"Nulled" plugins zijn gekraakte kopieën van betaalde plugins, gratis verspreid via dubieuze sites. Het is een van de snelste manieren om gehackt te worden, want wie ze verspreidt, bouwt er vaak verborgen backdoors in. Je installeert iets wat eruitziet als een premiumplugin en geeft een aanvaller stilletjes een sleutel tot je site. Hetzelfde risico geldt voor plugins gedownload van willekeurige forums of bestandsdelingssites in plaats van de officiële directory of de site van de ontwikkelaar zelf.

Veelvoorkomende codeerfouten

Zelfs goedbedoelde plugins kunnen met klassieke webkwetsbaarheden worden uitgebracht. Twee komen voortdurend terug:

• Cross-site scripting (XSS): een lek waarmee een aanvaller kwaadaardige scripts kan injecteren in pagina's die je bezoekers zien, vaak gebruikt om sessies te stelen of gebruikers om te leiden.

• SQL-injectie: een lek waarmee een aanvaller je database kan manipuleren, en mogelijk gegevens kan lezen of wijzigen die hij nooit had mogen aanraken.

Je hoeft de code achter deze lekken niet te begrijpen om erdoor geraakt te worden, en je hoeft de code niet zelf te repareren. Je moet weten welke van je plugins momenteel een bekend lek hebben, zodat je ze kunt updaten of vervangen.

Hoe je een plugin controleert voordat je hem installeert

De goedkoopste beveiligingswinst is om risicovolle software in de eerste plaats niet te installeren. Loop, voordat je een plugin toevoegt, een snelle mentale checklist door:

• Bron. Installeer vanuit de officiële WordPress.org-directory of rechtstreeks bij de ontwikkelaar. Nooit vanaf een nulled- of bestandsdelingssite.

• Laatst bijgewerkt. Controleer de datum "laatst bijgewerkt". Recente activiteit is een goed teken dat de auteur oplet.

• Actieve installaties en beoordelingen. Een plugin met een grote, actieve gebruikersbasis en gestage beoordelingen heeft meer ogen op zich gericht, en lekken worden vaker sneller gemeld en opgelost.

• Compatibiliteit. WordPress laat zien of een plugin is getest met jouw versie. Een plugin die bij recente releases als ongetest staat gemarkeerd, drijft mogelijk richting verlating.

• Reactiesnelheid van support. Bekijk het supportforum. Een auteur die vragen beantwoordt, is een auteur die waarschijnlijk ook beveiligingsupdates uitbrengt.

Geen van deze garandeert veiligheid, maar samen filteren ze de duidelijk risicovolle keuzes eruit.

Hoe je je pluginrisico beperkt

Controleren is stap één. Het beperken van de hoeveelheid plugincode die je draait, is stap twee.

Draai minder plugins. Elke plugin die je verwijdert, is een aanvalsoppervlak waar je je geen zorgen meer over hoeft te maken. Doorloop je lijst en deactiveer alles wat je niet actief gebruikt. Verwijder het daarna ook echt; een gedeactiveerde plugin staat nog steeds op je server en kan nog steeds worden misbruikt als hij een lek heeft, dus deactiveren is niet hetzelfde als verwijderen.

Geef de voorkeur aan één goed gebouwde plugin boven drie overlappende plugins. Minder bewegende delen betekent minder dingen die mis kunnen gaan, en minder dingen om te patchen.

Controleer je plugins van buitenaf

Een regelmatige scan van buitenaf maakt van pluginbeveiliging een checklist in plaats van giswerk. In plaats van je af te vragen of je plugins veilig zijn, krijg je een antwoord waar je op kunt handelen. Catcher24 controleert je actieve plugins tegen bekende kwetsbaarheden (CVE's), zodat je precies weet welke aandacht nodig hebben, zonder ook maar één supportforum te hoeven openen.

Dus, zijn WordPress-plugins veilig?

Ja, met een kanttekening die serieus genomen moet worden. Plugins van betrouwbare bronnen, up-to-date gehouden en beperkt tot wat je daadwerkelijk nodig hebt, zijn veilig genoeg om een bedrijf op te bouwen. Het gevaar zit niet in plugins zelf, het zit in ongepatchte, verlaten, illegale of simpelweg vergeten plugins die stilletjes met een bekend lek op je site staan.

De oplossing is niet om te stoppen met plugins gebruiken. Het is om te controleren wat je installeert, alleen te draaien wat je nodig hebt, consistent te updaten, en van buitenaf te controleren wat een aanvaller al kan zien. Doe die vier dingen, en de meest voorkomende manier waarop WordPress-sites worden gehackt houdt op een bedreiging voor jou te zijn en wordt gewoon nog iets wat je onder controle hebt.