Hoe houd ik mijn website veilig

Regelmatig komt de vraag voorbij. Hoe kan ik er voor zorgen dat ik mijn website veilig houd.
Welke stappen moet ik daarvoor nemen.
In deze blog probeer ik daar in 10 stappen enige duidelijkheid in te scheppen.

1 Kies een goede en veilige host partij

Er zijn veel grote en kleine partijen die webhosting aanbieden.
Sommigen bieden een standaard pakket aan.
Anderen zijn gespecialiseerd in WordPress.

Kies een partij die veiligheid hoog in zijn vaandel heeft staan en die op tijd updates op zijn systemen uitvoert. Ook het hebben van een goede en bereikbare helpdesk is van belang.

2 Maak regelmatig een backup

Backups zijn voor een veilige omgeving erg belangrijk. Stel je bent slachtoffer geworden van een Ransomeware aanval, dan is het wel zo’n fijn gevoel dat je snel een backup kunt terugzetten.

Er zijn binnen WordPress diverse betrouwbare Backup plugins beschikbaar.
Meestal kun je hier aangeven wanneer er een backup moet worden gemaakt.
Ook de locaties van de backup bestanden, waar komen ze te staan, zijn vaak in te stellen.

Het is belangrijk om regelmatig een backup te maken.
Zeker na wijzigingen.

3 Voorkom ongewenste inlogpogingen

Dagelijks wordt er door hackers geprobeerd op websites in te loggen. Deze pogingen komen vanuit de gehele wereld. Veel van deze pogingen zijn geautomatiseerd.

Hoe kun je bovenstaande vermijden?

• Verwijder de standaard gebruikers namen als “admin” en “beheer”
• Gebruik lange en unieke passwords. Liefst 12 of meer karakters lang.
• Gebruik een beveiligingsplugin. Deze zorgt er bijvoorbeeld voor dat een ongewenste inlogpoging na 3 keer wordt geblokkeerd.

4 Zorg voor bescherming tegen geautomatiseerde Bot aanvallen

Elke dag worden er wereldwijd vele geautomatiseerde aanvallen op gezet.
De zogenaamde Bot aanvallen.
Deze Bots zijn zo gemaakt dat ze het volgende kunnen uitvoeren:

• Brute force attack, hier wordt geprobeerd de login gegevens te achterhalen en om in te loggen. Als het is gelukt om in te loggen, zal de website worden gebruikt om bijvoorbeeld Spam te versturen, gegevens te stelen en/of de website om te leiden naar een dubieuze website.
• Content Scraping Bots, deze proberen de teksten van je website te downloaden zonder je toestemming. Het gebeurt dat deze teksten later worden gebruikt voor illegale doeleinden. Zoals het dupliceren van je website.
• Spambots zoeken het internet af naar mailadressen. Mailadressen die later voor het verzenden van Spam worden gebruikt.

Hoe kun je bovenstaande vermijden?

• Maak gebruik van een beveiligingsplugin.
• Gebruik lange en unieke passwords.
• Zorg dat je regelmatig je website update.
• Maak gebruik van Google reCAPTCHA
• Gebruik 2FA (two factor authentication) om in te loggen. 2FA is een authenticatie methode waarbij je twee stappen succesvol moet doorlopen om toegang te krijgen tot je website. Gebruik Google Authenticator.

5 Gebruik geen onbekende plugins of thema’s

Binnen de WordPress community kun je veel (gratis) extra software of thema’s krijgen.
Veel van die extra software of thema’s is met goede bedoelingen gemaakt.
Echter, door continue ontwikkelingen binnen WordPress, moet de software regelmatig worden aangepast. Ook gebeurt het dat er achteraf een beveiligingslek in de software zit. Niet snel of tijdig aanpassen van de software kan tot grote risico’s leiden. Hackers weten dit vaak eerder dat er een probleem is dan jou.

Hoe te voorkomen?

• Gebruik alleen betrouwbare software. (Plugins en Thema’s)
• Update je website regelmatig
• Maak gebruik van een beveiligingsplugin.

6 Onveilige gebruikers

Veel inbraken vinden plaats omdat gebruikers slechte wachtwoorden gebruiken. Korte herkenbare wachtwoorden zijn mooi in het gebruik maar uiterst kwetsbaar.
Er zijn nog steeds gebruikers die het wachtwoord 1234567 gebruiken.
Slechte zaak dus.
Een geautomatiseerd inbraak programma zal weinig moeite hebben om een dergelijk wachtwoord te achterhalen.
Daarom is het gebruik van goede wachtwoorden ook zo belangrijk.

Hoe te voorkomen?

• Maak een wachtwoord aan die bestaat uit kleine letters, hoofdletters, cijfers en karakters. Je website geeft wel aan of het een sterk wachtwoord is. Zo niet, pas het aan.
• Gebruik naast de gebruikelijke naam en wachtwoord een 2FA (two factor authentication) om in te loggen. 2FA is een authenticatie methode waarbij je twee stappen succesvol moet doorlopen om toegang te krijgen tot je website.

7 Geen SSL

Er zijn nog steeds websites die geen gebruik maken van SSL.
SSL staat letterlijk voor Secure Sockets Layer wat betekent dat er een beveiligde laag geplaatst wordt tussen je webserver en je browser.

Hierdoor worden de gegevens die bijvoorbeeld in een contactformulier worden ingevuld, versleuteld verstuurd.
De gegevens zijn dus niet door een ander te lezen en komen veilig bij je aan.

Hoe te regelen?
Vraag je webhost of je webbeheerder of dit kan worden geregeld.
Vaak zijn er wat kosten aan verbonden.

8 Geen of onvoldoende beveiliging monitor

Op veel websites is geen beveiligingssoftware geïnstalleerd.
De eigenaren en de beheerders kunnen dus niet zien hoevaak men probeert op hun website in te loggen. Of welke plugins een update nodig hebben.

De meeste beveiligingssoftware stuurt een aantal keren per maand een overzicht naar de eigenaren/beheerders met daarin de bestaande zwakheden en inbraakpogingen.

Hoe te regelen?
Beveiligingssoftware installeren en op je juiste manier inrichten.

9 Ongebruikte plugins en thema’s

Op veel websites staan nog ongebruikte plugins of thema’s.
Deze zaken kunnen een beveiligings risico zijn voor je website.
Verwijder ongebruikte plugins of Thema’s.

10 Installatie onbetrouwbare software

Er wordt op het Internet veel gratis software voor websites aangeboden.|
Software waarvan niet altijd duidelijk is wie de maker is en of het wel betrouwbaar is.

Soms kan het goed fout gaan en blijkt de gratis software een achterdeurtje te hebben waarmee jouw website door anderen gebruikt kan worden.

Denk dus goed na voordat je onbekende zaken installeert.
Als je het niet vertrouwd, raadpleeg een expert.

Meer info:

Wil je meer weten over de beveiligingsopties voor jouw website?
Neem dan contact met ons op.

Bronnen:

• Google Authentication
• iThemes security
• Wordfence
• Wikipedia