Bijna elke gehackte website die we opschonen, had voorkomen kunnen worden. Niet met dure beveiliging, maar met een paar vaste gewoontes die er in de drukte bij inschoten. Hieronder de tien maatregelen die in onze ervaring het meeste opleveren, op volgorde van belang.
Het korte antwoord
Werk alles binnen een paar dagen bij, gebruik sterke wachtwoorden met tweestapsverificatie, en maak dagelijks een back-up op een andere plek dan je server. Met die drie sluit je de ingangen die aanvallers het vaakst gebruiken, en kun je terug als het toch misgaat.
De tien maatregelen
- Werk alles bij. WordPress, plugins, thema's, het framework, de afhankelijkheden en PHP zelf. De meeste aanvallen gebruiken lekken waarvoor al een update bestond.
- Verwijder wat je niet gebruikt. Een uitgeschakelde plugin, een oud thema of een vergeten testinstallatie in een submap kan nog steeds een ingang zijn.
- Gebruik unieke, sterke wachtwoorden. Uit een wachtwoordmanager, voor het beheer van je site, je hosting, (S)FTP, de database en je mail. Hergebruikte wachtwoorden worden uitgeprobeerd zodra een andere dienst lekt.
- Zet tweestapsverificatie aan. Voor iedereen met beheerrechten, en voor je hosting- en domeinaccount. Dat is het account waarmee iemand alles kan overnemen.
- Geef zo weinig mogelijk mensen beheerrechten. Een redacteur hoeft geen beheerder te zijn. Haal accounts van oud-medewerkers en oud-leveranciers weg.
- Maak dagelijks een back-up op een andere plek. Bewaar er minstens een paar weken van, want een hack wordt vaak pas na weken ontdekt. En test af en toe of je een back-up ook echt terug kunt zetten.
- Draai op een ondersteunde PHP-versie. PHP 8.1 en ouder krijgen geen beveiligingsupdates meer; PHP 8.2 nog tot en met 31 december 2026.
- Gebruik alleen software uit betrouwbare bron. Geen "gratis" premium-plugins of -thema's van downloadsites; daar zit regelmatig al een achterdeur in.
- Houd je site in de gaten. Bewaking op bereikbaarheid en foutmeldingen, en Google Search Console gekoppeld. Dan hoor je het van een melding, niet van een klant.
- Zet SPF, DKIM en DMARC goed. Dat maakt het moeilijker om mail namens jouw domein te vervalsen, en helpt je eigen mail in de inbox te komen.
WordPress of maatwerk: waar zit het verschil?
Bij WordPress zit het risico vooral in plugins en thema's van veel verschillende makers. Daar draait beveiliging om bijwerken, opruimen en een goed slot op het beheer. Wat er gebeurt als dat misgaat, lees je op WordPress gehackt.
Bij Laravel en PHP-maatwerk zit het risico ook in de eigen code: hoe uploads, formulieren en toegangsrechten gebouwd zijn. Bijwerken blijft belangrijk; een Laravel-versie krijgt twee jaar beveiligingsupdates. Daarnaast loont het om de code af en toe te laten nakijken. Hoe wij dat doen, staat bij Laravel onderhoud.
Liever niet zelf?
Al gehackt?
Dan is het te laat voor preventie en is de volgorde anders: eerst de schade beperken, dan opschonen, dan pas deze maatregelen. Begin bij website gehackt: eerste hulp.
Veelgestelde vragen
Wat is de belangrijkste maatregel om je website te beveiligen?
Bijwerken. Het overgrote deel van de hacks die we opschonen begon bij een plugin, thema, framework of PHP-versie met een bekend lek waarvoor al lang een update bestond. Wie binnen een paar dagen bijwerkt, sluit de meest gebruikte ingang.
Is een beveiligingsplugin genoeg?
Een plugin als Wordfence of Sucuri is een goede aanvulling: hij blokkeert bekende aanvallen en waarschuwt bij verdachte bestanden. Maar hij vervangt geen updates, sterke wachtwoorden en back-ups. Een site met verouderde plugins en een beveiligingsplugin is nog steeds kwetsbaar.
Hoe vaak moet ik een back-up maken?
Voor de meeste bedrijfssites is dagelijks een goed ritme, met minstens een paar weken aan back-ups bewaard. Dat laatste is belangrijk: een hack wordt vaak pas na weken ontdekt, en dan wil je terug naar een versie van vóór de besmetting. Bewaar de back-ups op een andere plek dan je server.
Wat kost het om een website goed te laten beveiligen?
Bij ons kost een beheerpakket met updates, dagelijkse back-ups en monitoring €39 per maand, of €79 per maand inclusief foutbewaking, een maandrapport en een uur werk (excl. btw). Is je site al gehackt, dan schonen we hem eerst op, vanaf €395.
Is mijn website te klein om interessant te zijn voor hackers?
Nee. Bijna alle aanvallen zijn geautomatiseerd: programma's scannen het hele internet op bekende lekken, ongeacht wie de eigenaar is. Een kleine site wordt gebruikt om spam te versturen, bezoekers door te sturen of pagina's in Google te zetten.