Website beveiligen tegen hackers: praktische stappen die echt werken

Website beveiligen tegen hackers betekent dat je actief maatregelen neemt zoals sterke wachtwoorden, tweestapsverificatie, een firewall, actuele updates en back-ups om te voorkomen dat criminelen toegang krijgen tot je site, klantgegevens stelen of malware plaatsen. Wie deze basis op orde heeft, voorkomt het overgrote deel van de aanvallen.

Op een doordeweekse dinsdag ontdekte een webshopeigenaar dat al zijn klanten werden doorgestuurd naar een Aziatisch gokplatform. Geen hack met veel poeha, geen waarschuwing vooraf: gewoon een verouderde plugin die drie maanden geleden al een patch had gekregen, maar nooit was geïnstalleerd.

Waarom je website beveiligen tegen hackers geen luxe is

Die webshopeigenaar verloor niet alleen omzet die dag. Google merkte de malware binnen 48 uur op en zette de site op een zwarte lijst, waardoor bezoekers een dreigende rode waarschuwingspagina te zien kregen voordat ze de winkel konden betreden. Het duurde drie weken voordat de site weer volledig vertrouwd werd door zoekmachines. In die drie weken verdween niet alleen omzet, maar ook het vertrouwen van terugkerende klanten die de waarschuwing hadden gezien en nooit meer terugkwamen.

Veel ondernemers denken dat hackers het gemunt hebben op grote namen met veel geld. Dat is een misvatting die je duur kan komen te staan. De meeste aanvallen zijn geautomatiseerd: scripts die dag en nacht het internet afspeuren naar sites met een verouderd thema, een zwakke inlogpagina of een lek in een plugin. Jouw website hoeft niet interessant te zijn, ze hoeft alleen kwetsbaar te zijn. Een klein bedrijf met een verwaarloosde WordPress-installatie is voor zo’n script een even makkelijke prooi als een multinational met dezelfde fout.

Herstel na een hack kost gemiddeld veel meer dan preventie ooit had gekost. Een specialist inhuren om malware te verwijderen, de reputatieschade te herstellen en de site weer bij Google uit de blacklist te krijgen, loopt al snel op tot honderden euro’s, naast de omzet die je misloopt terwijl je site plat ligt of gemarkeerd staat als onveilig. Een paar uur investeren in beveiliging vooraf weegt daar simpelweg niet tegenop.

Hoe weet je of je website kwetsbaar is?

De meeste kwetsbaarheden zijn onzichtbaar totdat het te laat is. Verouderde plugins en thema’s vormen de grootste ingang voor hackers: elke maand ontdekken onderzoekers nieuwe kwetsbaarheden in plugins, en zodra die openbaar worden, weten ook criminelen precies waar ze moeten zoeken. Draai je nog een plugin die al maanden geen update heeft gehad, dan sta je letterlijk met de deur open.

Een tweede zwakke plek is de inlogpagina. Staat die op het standaardadres, zonder limiet op het aantal pogingen, dan kan een brute force aanval binnen enkele uren duizenden wachtwoordcombinaties uitproberen. Zonder SSL-certificaat, of met een certificaat dat stilletjes is verlopen, verstuur je bovendien gevoelige gegevens onbeveiligd over het internet, iets wat browsers tegenwoordig ook gewoon aan bezoekers laten zien met een waarschuwing. Meer weten? Neem dan ook eens een kijkje bij Beste Opleider van Nederland 2020.

Gedeelde hosting zonder goede isolatie is een ander risico dat vaak wordt onderschat. Deelt jouw website een server met tientallen andere sites zonder scheiding, dan kan een hack bij de buren zich zomaar verspreiden naar jouw omgeving. Wil je snel checken hoe je ervoor staat, dan kun je gratis scantools zoals Sucuri SiteCheck of WPScan gebruiken om een eerste indruk te krijgen van openstaande kwetsbaarheden. Zie zo’n scan als een rookmelder testen: nuttig, maar geen vervanging voor structureel onderhoud.

Stap voor stap: je website beveiligen tegen hackers

Begin met de update direct te installeren zodra die beschikbaar is. Niet volgende week, niet “als ik tijd heb”: direct. Elke dag dat een bekende kwetsbaarheid open blijft staan, is een dag dat geautomatiseerde scripts je kunnen vinden.

Zorg daarna voor een sterk wachtwoord voor elk account dat toegang heeft tot je site, gecombineerd met tweestapsverificatie. Een wachtwoord van twaalf tekens met cijfers, hoofdletters en symbolen is de basis, maar zonder die tweede verificatiestap via een app blijft één gelekt wachtwoord genoeg om binnen te komen.

Stel vervolgens een firewall en malwarescanner in die continu meekijken. Beperk het aantal inlogpogingen, zodat een brute force aanval na een paar mislukte pogingen automatisch wordt geblokkeerd. En neem de tijd om gebruikers en rechten op te schonen: die oud-medewerker die drie jaar geleden nog beheerderstoegang kreeg, heeft die toegang vandaag nog steeds, tenzij jij hem hebt ingetrokken.

Welke beveiligingsmaatregelen maken echt het verschil?

Niet elke maatregel weegt even zwaar. Automatische back-ups die worden weggeschreven naar een andere server dan waar je website draait, zijn onmisbaar: een back-up die op dezelfde server staat als de gehackte site, is bij een serieuze aanval vaak net zo besmet. Een SSL-certificaat is inmiddels geen extra’s meer maar een verplichting, zowel voor vertrouwen bij bezoekers als voor je positie in Google.

Er is ook een belangrijk verschil tussen een firewall op serverniveau en een firewall via een plugin. Een plugin-firewall draait pas nadat het verkeer WordPress al heeft bereikt, terwijl een serverside firewall kwaadaardig verkeer al buiten de deur houdt voordat het ooit bij je website in de buurt komt. Dat scheelt niet alleen in veiligheid, maar ook in snelheid, omdat je server minder overbodig verkeer hoeft te verwerken. Hierover lees je meer bij Digitaliseringsvoucher 2.500,- voor ondernemers in Nijmegen.

Monitoring die je direct waarschuwt bij verdachte activiteit maakt het verschil tussen een probleem dat je binnen tien minuten oplost en een probleem dat je pas na drie dagen ontdekt via een boze klant. En de keuze van je hostingpartij weegt zwaarder mee dan de meeste ondernemers beseffen: een partij die alleen schijf en snelheid levert, is iets heel anders dan een partij die actief meekijkt naar de veiligheid van jouw specifieke website.

Veelgemaakte fouten bij het beveiligen van een website

De meest gemaakte fout is denken dat meer plugins gelijkstaat aan meer veiligheid. Het tegendeel is waar: elke plugin die je installeert, is een extra stuk software dat onderhouden en bijgewerkt moet worden, en dus een extra mogelijke ingang voor problemen. Vijf goed gekozen plugins zijn veiliger dan twintig lukraak geïnstalleerde.

De gebruikersnaam “admin” laten staan is een klassieker die nog steeds veel voorkomt. Het is de eerste combinatie die elk hackscript probeert, in combinatie met duizenden veelgebruikte wachtwoorden. Verander die naam, ook al lijkt het een kleine moeite.

Een back-upstrategie hebben is niet hetzelfde als een back-upstrategie die werkt. Veel ondernemers ontdekken pas tijdens een crisis dat hun laatste back-up drie maanden oud is, of erger, corrupt blijkt te zijn. Test die terugzetting minstens een keer, liefst vaker.

Beveiliging behandelen als een eenmalige actie, iets wat je “afvinkt” bij de lancering van de website, is misschien wel de grootste denkfout. Nieuwe kwetsbaarheden in plugins duiken continu op. Zonder zelf verstand te hebben van code en serverconfiguratie zelf gaan sleutelen aan beveiligingsinstellingen leidt bovendien vaak tot nieuwe problemen in plaats van opgeloste, zoals een verkeerd ingestelde firewall die legitieme bezoekers blokkeert of een update die de site laat crashen. Ook de moeite waard: Elementor vergeleken met de WP Bakery pagebuilder.

Wat kun je doen als je website toch gehackt is?

Het eerste dat je moet doen bij een vermoeden van een hack, is de site direct offline halen of isoleren. Elke minuut dat de site online blijft, kan de malware zich verder verspreiden of meer schade aanrichten bij bezoekers.

Zet daarna een schone back-up terug, maar pas nadat je hebt gecontroleerd of die back-up zelf niet al besmet was. Reset vervolgens alle wachtwoorden, niet alleen van WordPress zelf maar ook van de hostingomgeving, e-mailaccounts die aan de site gekoppeld zijn en eventuele FTP-toegang.

Schakel je hostingpartij in voor herstel: een partij die dagelijks met dit soort situaties te maken heeft, herkent patronen die jij zelf waarschijnlijk mist. Verwerk tot slot de melding in Google Search Console zodra de site weer schoon is, zodat de zoekmachine weet dat het probleem is opgelost en de waarschuwing voor bezoekers kan verdwijnen.

Beveiliging uit handen geven: wanneer kies je voor beheerde hosting?

Raoul Heijsen ziet dagelijks wat er gebeurt bij ondernemers die beveiliging als bijzaak behandelen: het gaat goed, tot het plotseling niet meer goed gaat. Bij beheerde hosting worden updates, back-ups en beveiliging automatisch geregeld door specialisten die niets anders doen dan websites gezond houden.

Dat scheelt je als ondernemer vooral tijd. Je hoeft niet elke week te checken of er een plugin-update klaarstaat, of je hebt geen back-up gemist. Proactieve monitoring betekent dat verdachte activiteit wordt opgemerkt voordat het een echt probleem wordt, in plaats van dat jij het pas ontdekt via een boze e-mail van een klant.

Voor wie zelf geen tijd of zin heeft om te sleutelen aan techniek, is dat precies de meerwaarde: je runt een bedrijf, geen serverpark. Heijsen neemt die zorg over zodat updates, firewalls, malwarescans en back-ups gewoon gebeuren, op de achtergrond, zonder dat jij er ’s nachts wakker van hoeft te liggen.

Conclusie

Een website beveiligen tegen hackers draait niet om één grote actie, maar om een reeks kleine, consequente keuzes: updates direct doorvoeren, sterke wachtwoorden combineren met tweestapsverificatie, een goede firewall en betrouwbare back-ups. Wie dat structureel aanpakt, voorkomt het gros van de problemen die andere ondernemers pas na een hack serieus gaan nemen. Twijfel je of jouw site er klaar voor is, begin dan vandaag met een simpele scan en kijk daarna of beheerde hosting je die zorg volledig uit handen kan nemen.