Zo controleer je je WordPress-site gratis op kwetsbaarheden

Je kunt geen kwetsbaarheid oplossen die je niet kent. En bij WordPress zijn de kwetsbaarheden waardoor sites worden gehackt zelden exotisch, het zijn bekende problemen, met bekende oplossingen, die gewoon zichtbaar zijn: een verouderde plugin, een verlopen certificaat, een verkeerde configuratie. Het moeilijke is niet het oplossen ervan. Het moeilijke is dat niemand je vertelt dat ze er zijn.

Deze gids laat je drie manieren zien om je WordPress-site op kwetsbaarheden te controleren, van een gratis scan van twee minuten tot een handmatige controle, zodat je precies weet waar je vandaag staat.

Eerst: een kwetsbaarhedenscan en een malwarescan zijn niet hetzelfde

Het is goed om dit even helder te maken, want de termen worden vaak door elkaar gebruikt.

Een kwetsbaarhedenscan zoekt naar zwakke plekken die een aanvaller zou kunnen misbruiken: verouderde software met bekende gebreken, blootgestelde endpoints, zwakke configuraties. Het beantwoordt de vraag: "Hoe zou iemand kunnen binnendringen?"

Een malwarescan zoekt naar kwaadaardige code die al op je site staat: geïnjecteerde scripts, backdoors, spampagina's. Het beantwoordt de vraag: "Is er al iemand binnengedrongen?"

Je wilt allebei. Deze gids gaat over de eerste: de open ramen vinden voordat iemand naar binnen klimt.

Methode 1: Voer een kwetsbaarhedenscan uit (snelst)

De snelste manier om te weten waar je staat, is je site van buitenaf te scannen, op dezelfde manier als een aanvaller dat zou zien. Dat is precies wat de WordPress-scanner van Catcher24 doet, en het duurt ongeveer twee minuten:

1. Voeg je site toe: vul je domein in, of installeer de plugin vanuit je WordPress-dashboard.

2. Voer de scan uit: Catcher24 controleert je site tegen de laatste bekende kwetsbaarheden (CVE's), bekijkt je plugins en thema's, je SSL-certificaat en je DNS-configuratie.

3. Bekijk je resultaten: elke bevinding krijgt een ernstniveau (CVSS-score), zodat je weet wat je eerst moet oplossen.

Omdat de scan van buitenaf werkt, wordt er niets op je server geïnstalleerd, er is geen plugin die resources opslokt en niets om te onderhouden. Je eerste WordPress-site scan je gratis.

Methode 2: Handmatig controleren (gratis, maar onvolledig)

Wil je liever zelf kijken? Je kunt de basis zelf controleren:

• Updates: Ga in je dashboard naar Dashboard → Updates. Alles wat verouderd is, is een kandidaat, verouderde plugins zijn de meest voorkomende manier waarop WordPress-sites worden gehackt.

• Plugins en thema's: Noteer de versie van elk, en vergelijk die met een publieke kwetsbaarhedendatabase (zoals de WPScan-database) om te zien of er een bekend lek is.

• SSL / certificaat: Controleer of je certificaat geldig is en niet bijna verloopt, een verlopen certificaat breekt vertrouwen en kan je site offline halen.

• Gebruikers: Kijk onder Gebruikers → Alle gebruikers of er een beheerdersaccount bij staat die je niet herkent.

• Configuratie: Controleer of risicovolle functies open staan, XML-RPC, het tonen van mapinhoud en de ingebouwde bestandseditor zijn veelvoorkomende boosdoeners.

Wees eerlijk over de beperkingen: een handmatige controle is een momentopname van één dag, je mist makkelijk iets, en er worden voortdurend nieuwe kwetsbaarheden bekendgemaakt. Het is een goede gewoonte, geen volledig antwoord.

Methode 3: Een beveiligingsplugin (firewall + malware)

Plugins zoals Wordfence en Sucuri voegen een firewall en een malwarescanner toe die binnen WordPress draaien. Ze zijn echt nuttig, maar doen een ander soort werk. Ze verdedigen en ruimen vooral op, en richten zich op de WordPress-installatie zelf. Ze geven je niet het perspectief van buitenaf van een aanvaller, en ze signaleren geen DNS-fout of certificaatprobleem.

De sterkste opzet is allebei: een firewall om te blokkeren en op te ruimen, en een scanner van buitenaf om te vinden wat blootgesteld is.

Wat je met je resultaten doet

1. Los eerst kritieke en ernstige problemen op, daar is de CVSS-ranking voor bedoeld.

2. Update of verwijder de betreffende plugin of het thema. Is een plugin verlaten en niet gepatcht, vervang hem dan.

3. Vernieuw of herstel eventuele certificaat- of DNS-problemen.

4. Scan opnieuw om te bevestigen dat het probleem is opgelost.

Hoe vaak moet je controleren?

Eén keer is niet genoeg. Elke dag komen nieuwe CVE's bij, wat betekent dat een plugin die vandaag volkomen veilig is, morgen een bekende kwetsbaarheid kan zijn, zonder dat jij iets hebt veranderd. Het gaat er niet om één keer te scannen en achterover te leunen; het gaat erom continu te scannen, zodat jij een nieuwe blootstelling hoort voordat een aanvaller dat doet.

Weet je niet zeker of je site al is gecompromitteerd? Lees de 7 waarschuwingssignalen dat je WordPress-site is gehackt.