Is je WordPress-site veilig? Zeven checks na het PHP-lek van oktober

Wat er gebeurde

PHP is de programmeertaal waar WordPress, Joomla en WooCommerce-webshops op draaien. Eind oktober werden er twee ernstige lekken in gevonden. Veel organisaties namen hun sites even offline tot hun server was bijgewerkt. Het goede nieuws: er kwam snel een update. Het slechte nieuws: die helpt alleen als iemand hem ook installeert.

1. Draait je site op een PHP-versie die nog updates krijgt?

Log in bij je hostingpartij of vraag het ze gewoon. Elke PHP-versie krijgt een paar jaar beveiligingsupdates en daarna niet meer. Draait je site op een versie die geen updates meer krijgt, dan blijft elk nieuw lek openstaan. Vraag ook of de laatste beveiligingsupdate binnen jouw versie al is geïnstalleerd.

2. Is WordPress zelf bijgewerkt?

Kijk in je dashboard onder Updates. Kleine beveiligingsupdates installeert WordPress meestal vanzelf, grote versies niet altijd. Staat er een update klaar, maak dan eerst een back-up en installeer hem daarna.

3. Ruim je plugins en thema's op

Elke plugin is code van iemand anders op jouw site. Verouderde plugins zijn een van de meest voorkomende manieren waarop WordPress-sites gehackt worden. Werk alles bij, en verwijder wat je niet gebruikt: een uitgeschakelde plugin die nog op de server staat, kan nog steeds een risico zijn. Hetzelfde geldt voor oude thema's.

4. Heb je een back-up die niet op dezelfde server staat?

Een back-up op dezelfde server als je site ben je kwijt zodra die server het probleem is. Zorg voor een automatische back-up die ergens anders staat, en probeer één keer of je hem ook echt kunt terugzetten. Een back-up die je nooit hebt getest, is een hoop, geen plan.

5. Wie kan er inloggen?

• Verwijder accounts van oud-medewerkers, stagiairs en je vorige webbouwer.
• Geef niet iedereen beheerdersrechten: een redacteur hoeft geen plugins te installeren.
• Gebruik een lang, uniek wachtwoord en zet tweestapsverificatie aan voor elk beheerdersaccount.

6. Weet je wie verantwoordelijk is?

Veel ondernemers denken dat hun hostingpartij of hun webbouwer de updates doet, terwijl dat nergens is afgesproken. Hosting betekent meestal alleen dat de server draait, niet dat je WordPress en plugins worden bijgehouden. Zoek op wat er in je contract staat. Staat het er niet in, dan doet waarschijnlijk niemand het.

7. Moet je site eigenlijk wel op WordPress?

Voor een webshop of een site waar je zelf elke week artikelen op zet, is een CMS als WordPress vaak een prima keuze, mits iemand het bijhoudt. Maar veel sites van kleine bedrijven veranderen een paar keer per jaar. Die kunnen ook zonder database, zonder PHP en zonder plugins: een statische site heeft simpelweg minder dat kan lekken. Zo bouwen wij onze sites, en daarom raakte dit lek ze niet.

Liever geen omkijken?

Bij een site van ons zitten hosting, domein en updates in het Care-pakket van € 49 per maand; de details staan op onze dienstenpagina. Twijfel je over je huidige WordPress-site, stuur ons een bericht. We zeggen je eerlijk of bijwerken genoeg is, of dat opnieuw bouwen slimmer is.

← Alle artikelen