De meeste websites worden niet gericht aangevallen, maar automatisch: bots scannen het hele internet af op verouderde software en zwakke wachtwoorden. Juist daarom voorkom je de meeste inbraken met een paar vaste maatregelen. In dit artikel loop je de acht belangrijkste beveiligingsstappen langs die voor elke website gelden, van een simpele bedrijfssite tot een webshop.
Waarom beveiliging niet iets voor later is
Een gehackte website kost je meer dan alleen een middagje herstel. Bezoekers krijgen een waarschuwing van hun browser te zien, Google kan je site uit de resultaten halen en je e-mail kan op zwarte lijsten belanden doordat er spam vanaf je domein wordt verstuurd. Voorkomen is aanzienlijk goedkoper en sneller dan opruimen. De onderstaande maatregelen vragen samen weinig tijd en dekken de risico's af waar de meeste aanvallen gebruik van maken.
1. Houd alles up-to-date
Verouderde software is met afstand de belangrijkste oorzaak van gehackte websites. Zodra een lek in een CMS, thema of plug-in bekend wordt, gaan bots gericht op zoek naar sites die de update nog niet hebben gedraaid. Werk daarom je CMS, je thema en al je plug-ins bij zodra er updates zijn, en verwijder alles wat je niet gebruikt. Draai je WordPress, lees dan hoe je dat veilig doet in WordPress-updates uitvoeren.
Maak altijd eerst een back-up voordat je een grote update draait. Gaat er iets mis, dan zet je in minuten de werkende versie terug in plaats van uren te zoeken naar de oorzaak.
2. Gebruik sterke wachtwoorden en 2FA
Zwakke en hergebruikte wachtwoorden zijn na verouderde software de tweede grote oorzaak. Bots proberen bekende wachtwoorden en gelekte combinaties automatisch uit op inlogpagina's. Gebruik voor elk account een lang, uniek wachtwoord en bewaar die in een wachtwoordmanager. Zet daarnaast twee-factor-authenticatie aan waar dat kan, zodat een gestolen wachtwoord alleen niet genoeg is. Meer hierover lees je in sterke wachtwoorden maken en beheren.
3. Zet een SSL-certificaat en https aan
Een SSL-certificaat versleutelt het verkeer tussen je bezoeker en de server, zodat inloggegevens en formuliergegevens onderweg niet leesbaar zijn. Bij elk webhostingpakket van Webosa zit een gratis certificaat van Let's Encrypt. Zorg dat je hele site via https laadt en dat verkeer van http automatisch wordt doorgestuurd.
4. Zorg voor betrouwbare back-ups
Een back-up voorkomt geen inbraak, maar bepaalt wel hoe snel je weer online bent. Webosa maakt dagelijkse back-ups van je hosting. Zorg dat je weet hoe je een back-up terugzet en test dat af en toe. In een goede back-up-strategie voor je website lees je wat je precies bewaart en hoe vaak.
5. Beperk de hoeveelheid software
Elke plug-in, elk thema en elke extra toepassing is een mogelijke ingang. Hoe meer code er op je site draait, hoe groter de kans dat er een kwetsbaarheid tussen zit. Installeer alleen wat je echt gebruikt, kies onderdelen die actief onderhouden worden en verwijder ongebruikte plug-ins en thema's volledig in plaats van ze alleen te deactiveren.
6. Gebruik een firewall of WAF
Een webapplicatiefirewall (WAF) filtert verdacht verkeer nog voordat het je website bereikt en blokkeert bekende aanvalspatronen. Veel aanvallen, zoals geautomatiseerde inlogpogingen en injectiepogingen, worden zo al buiten de deur gehouden. Op serverniveau draait Webosa firewall- en filtermaatregelen; op je eigen website kun je dit aanvullen met een beveiligingsplug-in.
7. Stel de juiste bestandsrechten in
Bestandsrechten bepalen wie een bestand mag lezen, wijzigen of uitvoeren. Te ruime rechten maken het voor een aanvaller makkelijker om bestanden aan te passen of eigen code te plaatsen. Als vuistregel krijgen mappen doorgaans 755 en bestanden 644, en houd je configuratiebestanden zo streng mogelijk. Pas dit aan in het Beheerpaneel via de bestandsbeheerder.
8. Houd je site in de gaten
Hoe eerder je merkt dat er iets mis is, hoe minder schade. Let op onverwachte redirects, onbekende beheerdersaccounts, plotseling trage laadtijden of vreemde bestanden. Controleer regelmatig wie er toegang heeft tot je CMS en verwijder oude accounts. Op serverniveau bewaakt Webosa de omgeving en zie je storingen terug op de netwerkstatus.
Beveiliging in het kort
| Maatregel | Beschermt tegen |
|---|---|
| Alles up-to-date houden | Misbruik van bekende lekken |
| Sterke wachtwoorden en 2FA | Geraden en gelekte wachtwoorden |
| SSL en https | Onderscheppen van gegevens |
| Back-ups | Dataverlies en lange downtime |
| Minder software | Onnodige kwetsbaarheden |
| Firewall of WAF | Geautomatiseerde aanvallen |
| Juiste bestandsrechten | Ongewenste wijzigingen |
| Monitoring | Late ontdekking van een inbraak |
Veelgestelde vragen
Wat is de belangrijkste beveiligingsmaatregel?
Alles up-to-date houden. Verouderde CMS-software, thema's en plug-ins zijn de meest gebruikte ingang voor geautomatiseerde aanvallen. Direct daarna komen sterke, unieke wachtwoorden met twee-factor-authenticatie.
Beschermt mijn hostingprovider mijn website tegen hackers?
Deels. Webosa beveiligt de server, de serversoftware en het netwerk en maakt dagelijkse back-ups. De inhoud van je website, je wachtwoorden en de updates van je CMS en plug-ins beheer je zelf. Beveiliging is een gedeelde verantwoordelijkheid.
Is een kleine website ook een doelwit?
Ja. De meeste aanvallen zijn niet persoonlijk maar geautomatiseerd. Bots scannen willekeurig het internet af op kwetsbare sites, ongeacht hoe klein of onbekend die zijn.
Wat doe ik als mijn site toch gehackt is?
Zet je site op onderhoud, zet een schone back-up terug, reset je wachtwoorden en dicht de oorzaak. Malware laten opsporen en verwijderen is een betaalde dienst. Meer hierover lees je in het artikel over malware herkennen en verwijderen.
Wil je op een omgeving zitten waar de serverbeveiliging, updates en dagelijkse back-ups voor je geregeld zijn? Bekijk wat er in een webhostingpakket zit.