Home › Kennisbank › WordPress
Hoe maak ik mijn WordPress-website veiliger?
Direct antwoord
Je maakt je WordPress-website veiliger met een combinatie van maatregelen: sterke, unieke wachtwoorden uit een wachtwoordmanager, tweestapsverificatie, tijdige updates van WordPress, plugins en thema’s, een firewall via een beveiligingsplugin zoals Wordfence of Sucuri, en het verwijderen van thema’s en plugins die je niet gebruikt. Beperk daarnaast het aantal inlogpogingen om brute force-aanvallen te stoppen.
Wat heb je nodig?
- Een inlog voor het WordPress-dashboard van je website met de rol Beheerder
- Een wachtwoordmanager, zoals Bitwarden, 1Password of de wachtwoordmanager van je browser
- Een smartphone met een authenticator-app voor tweestapsverificatie
- Een recente back-up van je website. Lees hoe je een back-up maakt
Stappenplan9 stappen
- 1Controleer wie toegang heeft
- 2Gebruik sterke, unieke wachtwoorden
- 3Schakel tweestapsverificatie in
- 4Werk WordPress, plugins en thema’s bij
- 5Installeer een firewall en beveiligingsplugin
- 6Verwijder ongebruikte thema’s en plugins
- 7Beperk het aantal inlogpogingen
- 8Maak regelmatig een back-up
- 9Controleer je website met Sitediagnose
Waarom zijn WordPress-websites een doelwit?
WordPress draait op een groot deel van alle websites. Kwaadwillenden gebruiken daarom programma’s die automatisch duizenden WordPress-websites afzoeken naar zwakke wachtwoorden en verouderde plugins. Ze richten zich niet op jou persoonlijk; ze proberen overal binnen te komen waar het lukt.
Een besmette website verspreidt spam of malware, verliest zijn plek in Google en kan door de hostingprovider worden uitgeschakeld. Elke maatregel hieronder sluit één van de deuren voor ongewenste toegang.
Stappenplan 9 stappen
Stap 1: Controleer wie toegang heeft
Log in op jouwdomein.nl/wp-admin en vervang jouwdomein.nl door je eigen domeinnaam. Ga naar Gebruikers > Alle gebruikers. Verwijder accounts die je niet kent of niet meer gebruikt, en geef alleen mensen die de hele website beheren de rol Beheerder. Iemand die alleen berichten schrijft, krijgt de rol Auteur of Redacteur.
Let op: bij het verwijderen van een gebruiker vraagt WordPress wat er met de inhoud van die gebruiker moet gebeuren. Kies ervoor om de inhoud toe te wijzen aan een andere gebruiker, anders verdwijnen die pagina’s en berichten.
Stap 2: Gebruik sterke, unieke wachtwoorden
Ga naar Gebruikers > Profiel en klik onder Accountbeheer op Nieuw wachtwoord instellen. WordPress vult een lang, willekeurig wachtwoord in. Neem dat over, of typ een eigen wachtwoord en controleer of de balk eronder aangeeft dat het sterk is. Bewaar het wachtwoord in een wachtwoordmanager en klik onderaan op Profiel updaten.
Gebruik voor elke website en dienst een ander wachtwoord. Vermijd woorden uit het woordenboek, namen en geboortedata. Gebruik ook niet de gebruikersnaam admin, want die probeert elk aanvalsprogramma als eerste. Lees hoe je je gebruikersnaam wijzigt in WordPress.
Stap 3: Schakel tweestapsverificatie in
Met tweestapsverificatie (2FA) heb je naast je wachtwoord een code uit een app op je telefoon nodig om in te loggen. Wie je wachtwoord steelt, komt dan toch niet binnen. WordPress heeft dit niet zelf; je voegt het toe met een plugin zoals WP 2FA, of met de inlogbeveiliging van Wordfence. Lees hoe je tweestapsverificatie inschakelt in WordPress.
Stap 4: Werk WordPress, plugins en thema’s bij
Ga naar Dashboard > Updates. Maak eerst een back-up. Installeer daarna de update van WordPress en klik onder de lijsten met plugins en thema’s op Plugins updaten en Thema’s updaten. Verouderde software is de meest gebruikte ingang voor malware en ongewenste toegang, omdat bekende lekken openbaar zijn.
Zet voor plugins die je vertrouwt automatische updates aan via Plugins > Geïnstalleerde plugins en de link Auto-updates inschakelen achter de plugin. Controleer minstens elke week of er updates klaarstaan. Lees hoe je WordPress, thema’s en plugins veilig updatet.
Stap 5: Installeer een firewall en beveiligingsplugin
Een firewall houdt verdacht verkeer tegen voordat het je website bereikt. Een beveiligingsplugin voegt daarnaast een malwarescanner en inlogbeveiliging toe. Veelgebruikte plugins zijn Wordfence en Sucuri.
Ga naar Plugins > Plugin toevoegen, zoek de plugin, klik op Nu installeren en daarna op Activeren. Volg de installatiehulp en vul het e-mailadres in waarop je meldingen wilt krijgen. Gebruik één beveiligingsplugin tegelijk; twee plugins naast elkaar geven conflicten. Lees welke beveiligingsplugins het beste zijn voor WordPress.
Stap 6: Verwijder ongebruikte thema’s en plugins
Elke plugin en elk thema is extra code waarin een lek kan zitten, ook als je het niet gebruikt. Ga naar Plugins > Geïnstalleerde plugins. Klik bij een plugin die je niet gebruikt op Deactiveren en daarna op Verwijderen.
Ga daarna naar Weergave > Thema’s. Klik op een thema dat je niet gebruikt en klik rechtsonder in het venster met de details op Verwijderen. Bewaar naast je actieve thema één standaardthema van WordPress als reserve.
Let op: verwijder nooit het actieve thema of een plugin waarvan je niet weet wat hij doet. Twijfel je, maak dan eerst een back-up of vraag het aan de helpdesk van ViVortis.
Stap 7: Beperk het aantal inlogpogingen
Bij een brute force-aanval probeert een programma eindeloos wachtwoorden tot er één werkt. Een limiet op inlogpogingen blokkeert een IP-adres (het internetadres van een computer) na een paar mislukte pogingen.
Wordfence heeft deze functie ingebouwd bij de instellingen van de firewall, onder de bescherming tegen brute force. Gebruik je geen beveiligingsplugin met deze functie, installeer dan de plugin Limit Login Attempts Reloaded via Plugins > Plugin toevoegen. Stel bijvoorbeeld in dat een IP-adres na vijf mislukte pogingen twintig minuten wordt geblokkeerd.
Stap 8: Maak regelmatig een back-up
Een back-up is een kopie van je website waarmee je alles terugzet als er toch iets misgaat. Maak minstens wekelijks een back-up en bewaar die buiten je website, bijvoorbeeld in een cloudopslag. Lees hoe je een back-up maakt van je WordPress-website.
Stap 9: Controleer je website met Sitediagnose
Ga naar Tools > Sitediagnose. WordPress toont daar meldingen over je beveiliging, zoals een verouderde versie, inactieve thema’s of plugins die je kunt verwijderen, en of je website via HTTPS werkt. Werk de meldingen onder Status sitediagnose één voor één weg.
Controleer of het gelukt is
Het is gelukt als Tools > Sitediagnose geen kritieke beveiligingsmeldingen meer toont, Dashboard > Updates meldt dat alles is bijgewerkt, je bij het inloggen in een privévenster om een code uit je app wordt gevraagd en de beveiligingsplugin een eerste scan zonder problemen heeft afgerond.
Hoe merk ik dat mijn website toch een beveiligingsprobleem heeft?
Let op deze signalen: onbekende beheerders in je gebruikerslijst, vreemde advertenties of links op je pagina’s, een waarschuwing van Google of je browser, een website die opeens veel trager laadt, of e-mails die vanaf je domein worden verstuurd zonder dat jij dat doet. Een beveiligingsplugin stuurt je een melding bij gewijzigde bestanden.
Zie je zulke signalen, lees dan wat je doet als je WordPress-website is besmet met malware.
Werkt het niet?
Je bent zelf buitengesloten door de inloglimiet
Wacht tot de blokkade is verlopen, meestal na een kwartier tot een uur, en log opnieuw in. Lukt het dan nog niet, vraag dan een andere beheerder om je IP-adres vrij te geven in de instellingen van de plugin, of dien een ticket in bij de helpdesk van ViVortis.
Je website werkt niet meer na een update
Zet de back-up terug die je vóór de update hebt gemaakt. Lees hoe je een gecrashte WordPress-website herstelt.
Twee beveiligingsplugins geven foutmeldingen
Beveiligingsplugins grijpen diep in op je website en werken niet goed naast elkaar. Deactiveer er één en houd één plugin over.
Je kunt een plugin niet verwijderen omdat de knop ontbreekt
Een actieve plugin kun je niet verwijderen. Klik eerst op Deactiveren; daarna verschijnt de link Verwijderen.
Je bent je nieuwe wachtwoord vergeten
Klik op het inlogscherm op Je wachtwoord vergeten? en volg de e-mail die je ontvangt. Lees wat je doet als je je WordPress-wachtwoord bent vergeten.
Veelgestelde vragen
Is een gratis beveiligingsplugin genoeg?
Voor de meeste websites wel. De gratis versie van Wordfence biedt een firewall, een malwarescanner en inlogbeveiliging. De gratis versie van Sucuri scant en bewaakt je bestanden; de firewall van Sucuri is een betaalde dienst. De basis blijft altijd: updates, sterke wachtwoorden en tweestapsverificatie.
Hoe vaak moet ik updates installeren?
Controleer minstens elke week. Beveiligingsupdates installeer je zo snel mogelijk. Automatische updates voor plugins die je vertrouwt maken dat makkelijker.
Moet ik mijn inlogadres wp-admin verbergen?
Het helpt tegen automatische aanvallen, maar het vervangt tweestapsverificatie en een inloglimiet niet. Een plugin zoals WPS Hide Login geeft je inlogpagina een eigen adres. Bewaar dat adres goed, want /wp-admin werkt daarna niet meer.
Is mijn website met een SSL-certificaat volledig beveiligd?
Nee. Een SSL-certificaat versleutelt het verkeer tussen de bezoeker en je website, zodat niemand wachtwoorden kan meelezen. Het beschermt niet tegen zwakke wachtwoorden of verouderde plugins. Lees wat een SSL-certificaat is.
Wat is het verschil tussen een firewall en een beveiligingsplugin?
Een firewall filtert het verkeer naar je website en blokkeert aanvallen. Een beveiligingsplugin bevat vaak een firewall en voegt daar een malwarescanner, inlogbeveiliging en meldingen aan toe. Lees wat een WordPress-firewall is.
Hulp nodig?
Schakel de helpdesk van ViVortis in als:
- je onbekende beheerders of gewijzigde bestanden op je website ziet
- je website na een update of het verwijderen van een plugin niet meer werkt
- je zelf buitengesloten bent en geen andere beheerder hebt
- je wilt dat ViVortis de beveiliging en updates van je website overneemt
Dien een ticket in via de helpdesk van ViVortis en voeg waar mogelijk een screenshot toe.
Lukt het niet?
Dien een ticket in met een screenshot van wat je ziet. De helpdesk reageert meestal binnen één werkdag.
Verder lezen
- Hoe schakel ik tweestapsverificatie (2FA) in voor WordPress?
- Welke beveiligingsplugins zijn het beste voor WordPress?
- Hoe update ik WordPress, thema’s en plugins veilig?
- Wat moet ik doen als mijn WordPress-website is besmet met malware?
Meer van ViVortis