Hoe houd ik mijn WordPress website veilig?

Als je website eenmaal is gecrashed of gehacked heb je een groot probleem. Je bezoekers kunnen je niet meer vinden en het kost veel tijd om een site weer op te zetten. Een beveiligde website zorgt voor betere privacy van je gegevens, voorkomt malware en virussen op je website of het hacken van je site. 100% veiligheid is bijna niet te garanderen, maar met de onderstaande tips kom je een heel eind.

Voorkom dat je website wordt gehacked!

De eerste tips zijn voor iedere gebruiker gemakkelijk aan te passen, maar daarna ga ik ook in op complexere zaken waar je eigen website bouwer waarschijnlijk bij kan helpen.

Host je website bij een goed hostingbedrijf

De meeste hacks worden gedaan via de server (en die staat bij je hostingbedrijf). Een goed hostingbedrijf kan een hoop problemen voorkomen. Lees mijn artikel over hoe je een goed hostingbedrijf vindt:

Hoe vind ik een goed hostingbedrijf voor mijn website?

Sterke wachtwoorden

Een goed wachtwoord is er eentje die lang is en complex. Dat is vervelend als je hem moet onthouden, maar kies toch voor een goed wachtwoord voor de veiligheid van je website. Ik gebruik meestal de volgende password generator:  https://1password.com/password-generator/

Lees ook mijn artikel Wachtwoorden en 2-factor authentication: maak het jezelf gemakkelijk en veilig!

Two-factor authentication

Met een plugin als iThemes Security kun je gemakkelijk two-factor authentication aanzetten. Dit zorgt ervoor dat er een extra beveiligingslaag is voor het inloggen op je site, je hebt namelijk naast je wachtwoord ook een code nodig die je via email, een usb-stick of een app op je telefoon binnenkrijgt. De makkelijkste manier is om een authenticator app op je telefoon te downloaden, ik beveel Google Authenticator aan. Dan krijg je na het inloggen het volgende scherm te zien, waar je de code die in je app staat kan invullen:

Houd je website, thema’s en plugins up-to-date

Het internet is constant in ontwikkeling: hackers verzinnen steeds nieuwe manieren om in te breken en WordPress komt regelmatig met nieuwe versies die veiliger zijn en nieuwe functies hebben. Als je niet je website update kan het zijn dat je site gevoeliger wordt voor problemen.

In de bovenste balk van je dashboard zie je meteen of er een update nodig is, klik op het icoontje en voer alle updates uit.

Check daarna wel meteen of alles het nog doet, en maak altijd voldoende backups voordat je veranderingen aanbrengt. Durf je niet zomaar op de update knop te drukken omdat je bang bent dat je website crasht? Vraag dan bij je website bouwer naar Managed WordPress Hosting, waarbij het technisch onderhoud door de experts wordt gedaan.

Weg met die admin!

Zodra je een WordPress website aanmaakt geeft hij je automatisch een gebruikersnaam ADMIN (tenzij je dat meteen al veranderd). Hackers weten dit ook, waardoor het een gemakkelijk doelwit is om in te breken op je website.

Maak dus een nieuwe Administrator account (in het Nederlands “Beheerder”) aan voor jezelf met een complex wachtwoord en verwijder het oude ADMIN account.

Voorkom spam

Als je geen reacties op je site hebt ingesteld, kun je dat helemaal uitschakelen via Instellingen > Reacties. Heb je wel reacties onder je blog staan, installeer dan Akismet.

Gebruik een beveiligingsplugin

Er zijn een aantal plugins beschikbaar die je helpen om je website veiliger te maken.

• Limit Login Attempts Dit is een plugin die vaak standaard al geïnstalleerd is, hij voorkomt dat iemand met 100 pogingen je wachtwoord raadt.
• iThemes Security Een volledige beveiligingsplugin die je op een gebruiksvriendelijke manier laat zien wat er te verbeteren is (er is ook een betaalde pro versie: https://ithemes.com/security/).
• Sucuri Een malware scanner en volledige plugin voor beveiliging. (ze hebben ook betaalde plugins, maar die zijn erg duur: https://sucuri.net/)

Je kan ze allemaal tegelijk gebruiken als je wilt. Zorg wel dat je ze goed instelt, er kan weinig misgaan, maar het kan zijn dat je bijvoorbeeld zelf wordt geblokkeerd wanneer je te vaak een verkeerd wachtwoord opgeeft.

Backup, backup, backup

Zorg dat je altijd een recente backup van je website hebt. Mocht er ooit iets gebeuren, dan ben je in plaats van urenlang je website opnieuw bouwen maar een uurtje bezig met een backup terugzetten. Het is echt zonde wanneer je geen backups van je site maakt, het kan altijd misgaan.

Je websitehost zou dit voor je moeten regelen, maar check het even bij je hostingbedrijf of het ook daadwerkelijk dagelijks of wekelijks een backup maakt.

Als je zelf in controle wilt zijn over je backups, en een goede tool wilt hebben om je website te onderhouden, dan beveel ik ManageWP aan. Maandelijkse backups zijn gratis, meer controle en dagelijkse backups kosten slechts 1,80 per maand. Dan kan je ze met 1 druk op de knop downloaden, en terugzetten. Het heeft mij zelf uren werk bespaard. iThemes Security maakt trouwens ook backups van je site, maar alleen je database.

Pingbacks & Trackbacks

Je hebt deze termen misschien wel eens zien staan bij Instellingen > Reacties. Het zijn twee methoden om andere blogs te laten weten dat jij een link naar hen hebt gebruikt, en omgekeerd. Meestal heb je deze functies niet nodig, de meeste pingbacks & trackbacks zijn namelijk SPAM. Heb je geen goede reden om ze te gebruiken, schakel dit dan uit onder Instellingen:

Lees meer over pingbacks & trackbacks

Verander je table prefix

Dit is een klus voor je websitebouwer. WordPress wordt standaard geïnstalleerd met de tabel-prefix WP_ in je database en dit weten hackers ook. Het is dan ook beter om er iets anders van te maken.

Een goede websitehost zorgt ervoor dat bij de installatie een unieke prefix wordt gebruikt, maar bij goedkopere hostingpakketten is het waarschijnlijk nog WP. Vraag aan je websitebouwer of hij dit kan aanpassen (als je het zelf probeert kan je website crashen).

Houd de goede file permissions aan

Ben je zelf aan de slag gegaan met files in je FTP manager? Zorg er dan voor dat je altijd je file permissions checkt. Voor folders moet dit 755 of 750 zijn en voor documenten (files) 644 of 640 (en wp-config.php en .htaccess het liefst 444).  Als je zelf niks aan je files hebt gedaan, dan is alles waarschijnlijk in orde (maar check het toch even voor de zekerheid!).

.htaccess regels voor het blokkeren van bekende virussen en toegang tot je bestanden

Door je .htaccess aan te passen voorkom je dat hackers toegang krijgen tot bestanden van je site. Wil je de volledige .htaccess file hebben met alle bovenstaande tips PLUS codes die je website sneller maken? Download nu de snellere en beveiligde .htaccess file code

(ben je een echte WordPress geek en wil je nog meer informatie, dan beveel ik de volgende blog aan: http://premium.wpmudev.org/blog/keeping-wordpress-secure-the-ultimate-guide/)