Supertips voor WP Website Beveiliging

Web Safety First

Hoe veilig is jouw site?
Vandaag de dag – en al heel wat dagen daarvoor – kun je als bedrijf niet zonder website. De mogelijkheden die het www biedt maken internet voor elk bedrijf interessant. En juist de verscheidenheid aan bedrijven, groot en klein, maakt het internet aantrekkelijk voor bezoekers. Daarnaast effent de diversiteit van het www het speelveld: verschillen worden kleiner en kansen gelijker. Geld speelt niet langer de belangrijkste rol. Een wezenlijke, bepalende factor voor de effectiviteit van jouw (WordPress)site, is creativiteit! Juist jouw creativiteit maakt het mogelijk om te concurreren met de grote jongens die over ruime marketingbudgetten beschikken. Alleen blijkt uit de praktijk dat bij creativiteit en inventiviteit de veiligheid nogal eens in het gedrang komt…

Cijfertjes
En juist over de veiligheid gaat deze blog! Wat kan er gebeuren met jouw site en wat kun je ertegen doen? Omdat WordPress het meest gebruikte Content Management System (CMS) is, ligt de focus op dit populaire systeem. Maar het geldt, in principe, voor alle sites en gebruikte CMS’en.

Om je een beeld te geven van de populariteit van WordPress:

• 39,6% van het internet in 2021, bestaat uit WordPress-sites. Dat is een groei van bijna 5% ten opzichte van de 35% in 2020.
• Tel je alleen de door CMS gebouwde sites, dan is 64,1% daarvan een WordPress-site. Een groei van 4% ten opzichte van 2020.
• Maandelijks bezoeken meer dan 400 miljoen mensen WordPress-sites.
• WordPress is niet alleen voor bloggers: bijna 28% van alle e-commerce gaat via WooCommerce. Dagelijks verschijnen zo’n 281 nieuwe WooCommerce-winkels. NB: WooCommerce is een op WordPress gebaseerd e-commerceplatform dat sneller groeit dan z’n belangrijkste concurrenten waaronder Shopify en Squarespace.
• Elke dag worden 661 nieuwe WordPress-sites gelanceerd.
• WordPress.org biedt meer dan 50.000 plug-ins en meer dan 4.100 GPL-erkende thema’s (General Public License).
• Ook leuk om te weten: in 2016 werden bijna 118 miljard woorden gepubliceerd via WordPress.
• In 2018 waren er meer downloads van de niet-Engelse WordPress-software dan van de Engelse.

Wat maakt een site kwetsbaar?
De belangrijkste oorzaak waarom jouw site gehackt kan worden: achterstallig onderhoud! De oplossing is vrij simpel: update altijd naar de nieuwste versie van WordPress! Dat geldt eigenlijk voor alle software en besturingssystemen. Updates en patches verschijnen niet ‘zomaar’. Vaak is een kwetsbaarheid aangetroffen in de (systeem)software en brengt de uitgever een update of patch uit. In het kader van voorkomen is beter dan genezen: voer deze updates altijd uit!
Als je het web erop naslaat, vind je verontrustende cijfers over de hoeveelheid geïnfecteerde websites die gebruikmaken van WordPress. In 2017 was 83% van alle WordPress-sites op enige wijze gecompromitteerd. Als je dat afzet tegen Joomla! (13,1%), Magento (6,5%) en Drupal (1,6%) lijkt dat schrikbarend hoog. Vergeet echter niet dat WordPress het meest gebruikte CMS is! Bovendien komen de meeste infecties voor bij verouderde softwareversies. Een klein voorbeeld waar je je nu – als het goed is – geen zorgen over hoeft te maken:
Versie 4.7.1 van WordPress bevatte meerdere kwetsbaarheden. Deze werden ontdekt en gedicht in versie 4.7.2. Helaas werden honderdduizenden sites gehackt omdat er geen update had plaatsgevonden.

Is WordPress onveilig?
Eigenlijk niet. In 2020 werden maar 22 kwetsbaarheden in WordPress zelf (de core) gevonden. Veruit de meeste zaten in plug-ins van derden. Het blijkt dat de kwetsbaarheden in de laatste categorie ook ernstiger waren dan die in WordPress zelf (core). Dat betekent dus dat je erg moet opletten welke thema’s en plug-ins je gebruikt.

Nulled plug-ins en thema’s
Misschien een nieuwe term voor je. Nulled plug-ins en thema’s zijn (gratis) verkrijgbaar via een andere site dan van de oorspronkelijke ontwikkelaar. Dit hoeft overigens niet te betekenen dat ze illegaal zijn. Het GPL-principe maakt het mogelijk dat iedereen vrij is om GPL-gelicentieerde software te verspreiden, maar ook om het aan te passen. Juist dat laatste maakt deze (gratis) plug-ins onbetrouwbaar. Om het wat onduidelijker te maken: een plug-in of thema onder GPL-licentie is niet automatisch verdacht. Deze licentie wordt voornamelijk gebruikt omdat thema’s en plug-ins GPL-compatibel moeten zijn om in de WordPress.org directory te worden vermeld.

Er zijn echter een paar redenen waarom je beter geen nulled plug-ins gebruikt:

1. Je weet niet of de code is aangepast en kwaadwillenden schade toebrengen aan jouw site of informatie verzamelen (bijvoorbeeld ingevoerde gegevens door jouw klanten)
2. Als er iets misgaat, hoef je niet te rekenen op support.
3. Nulled plug-ins worden niet geüpdatet en het WordPress-dashboard geeft geen melding als er wél nieuwe versies zijn.
4. De auteur kan niet van de wind leven. Door niet te betalen ontneem je hem of haar de mogelijkheid om verbeteringen door te voeren.

Wat moet je dan wel doen? Om problemen met nulled plug-ins en thema’s te voorkomen: koop direct van de auteur of via wordpress.org.

Een veiligere site
Ik sluit deze veilige blog af met enkele, wellicht voor de hand liggende, tips om ervoor te zorgen dat jouw website veilig is en (zoveel mogelijk) blijft:

1. Gebruik SSL/HTTPS. Kwestie van installeren en activeren!
2. Maak geen gebruik van nulled thema’s en plug-ins.
3. Update de software! WordPress, maar ook plug-ins en thema’s.
4. Verwijder plug-ins die je niet meer gebruikt.
5. Maak back-ups. Gebeurt er iets, dan kun je je site herstellen. Maak na elke wijziging een back-up. Verandert jouw site dagelijks? Maak dan ook elke dag een back-up!
6. Verander de standaard gebruikersnaam ‘Admin’.
7. Waarom kwaadwillenden wijzer maken dan ze al zijn? Verwijder ‘Powered by WordPress’ uit de voettekst.
8. Gebruik veilige wachtwoorden. Hergebruik wachtwoorden niet en wijzig ze met enige regelmaat.
   
   (Bron: https://www.infosecurity-magazine.com/news/password-123456-used-by-23-million/)

Is dit alles?
Deze blog bevat maar een kleine hoeveelheid van alle vragen, antwoorden, oplossingen en mogelijkheden. Vraag jij je nu af of jouw site wel (voldoende) veilig is? Of vraag je je af wat te doen of laten om jouw site optimaal en veilig te laten presteren? Het is altijd handig om een ander naar jouw site te laten kijken. Als maker kijk je met gekleurde blik naar je eigen site. Wil je dat een buitenstaander-met-verstand-van-zaken een blik werpt op de veiligheid van jouw site? Neem vrijblijvend contact met mij op. Ik bekijk jouw site met frisse blik en bespreek graag alle (on)mogelijkheden voor een up2date veilige site!