WordPress is populair, en juist daardoor een geliefd doelwit voor geautomatiseerde aanvallen. Hardening betekent dat u uw installatie stap voor stap verstevigt: sterke inloggegevens, actuele software, een firewall en betrouwbare backups. Met de maatregelen in dit artikel sluit u de meest voorkomende aanvalsroutes af, zonder dat uw site trager of lastiger te beheren wordt.
Basisbeveiliging: gebruikers en wachtwoorden
De meeste inbraken beginnen bij zwakke authenticatie. Verwijder de standaard ‚admin‘-gebruikersnaam en maak een uniek account aan. Gebruik wachtwoorden van minimaal 16 tekens met een mix van hoofdletters, cijfers en symbolen, bij voorkeur beheerd met een wachtwoordmanager.
Schakel twee-factor authenticatie (2FA) in voor alle beheerdersaccounts, bijvoorbeeld met een plugin die werkt met een authenticator-app. Zo is een gestolen wachtwoord alleen niet genoeg om in te loggen. Combineer dit met een limiet op het aantal inlogpogingen, zodat brute-force aanvallen automatisch worden geblokkeerd.
Plugins, thema’s en updatebeheer
Verouderde software is een van de belangrijkste oorzaken van gehackte sites. Werk WordPress-core, plugins en thema’s regelmatig bij. Beveiligingsgaten in populaire plugins worden snel publiek bekend en net zo snel misbruikt zodra een site niet is bijgewerkt.
Beperk het aantal geïnstalleerde plugins: elk extra plugin vergroot het aanvalsoppervlak. Kies alleen plugins van ontwikkelaars met een actieve updatehistorie en verwijder plugins die niet meer worden onderhouden. Hetzelfde geldt voor thema’s: gebruik geen gratis gedownloade ‚gecrackte‘ versies, deze bevatten regelmatig verborgen malware.
Geavanceerde beveiligingslagen
Zet een Web Application Firewall (WAF) in om verdachte verzoeken te blokkeren voordat ze uw site bereiken. Dit kan via een losse dienst of via een beveiligingsplugin met ingebouwde firewallfunctie.
Wijzig de databasetabel-prefix van het standaard wp_ naar iets unieks; dit bemoeilijkt geautomatiseerde SQL-injectiepogingen. Zorg daarnaast dat gebruikersnamen niet via author-URL’s zijn af te leiden, want dit is een klassieke verkenningstechniek van aanvallers.
Versleutel al het verkeer met HTTPS, niet alleen op de inlogpagina. Een gratis SSL-certificaat is bij vrijwel elke hostingpartij, waaronder Tandata, standaard inbegrepen. Zorg daarnaast voor dagelijkse backups die los van de live-omgeving worden bewaard, zodat u bij een incident snel kunt herstellen. In Plesk vindt u backup- en SSL-instellingen overzichtelijk per domein terug.
Stappenplan voor directe hardening
Admin-URL beveiligen
Wijzig wp-login.php en wp-admin naar een onverwachte URL met een plugin.
Gebruikersnamen verbergen
Controleer dat ?author=1 URL’s geen gebruikersnamen prijsgeven.
Database-prefix wijzigen
Pas de tabel-prefix aan bij een nieuwe installatie of via een migratietool.
Backups automatiseren
Stel dagelijkse backups in naar een locatie los van de live-server.
Beveiligingsscan uitvoeren
Scan wekelijks op malware en verouderde componenten met een beveiligingsplugin.
Beheert u naast uw website ook zakelijke e-mail en domeinnamen bij dezelfde partij, dan is het overzicht compleet en weet u bij wie u terechtkunt als er iets misgaat. Loopt uw huidige hosting tegen beperkingen aan, bekijk dan de mogelijkheden om te overstappen naar Tandata.
Veelgestelde vragen
Kan ik WordPress hardening zelf doen?
Ja, de meeste stappen zijn uitvoerbaar met plugins en basiskennis van bestandsbeheer. Voor configuraties op serverniveau kunt u altijd de ondersteuning van uw hostingpartij raadplegen.
Welke beveiligingsplugin moet ik kiezen?
Er zijn meerdere betrouwbare opties met firewall-, scan- en 2FA-functies. Kies er één, activeer alle beschermingsfuncties en voorkom dat meerdere security plugins tegelijk draaien.
Hoe vaak moet ik backups maken?
Voor actieve sites bij voorkeur dagelijks. Zo beperkt u dataverlies tot maximaal een dag bij een incident.
Vertraagt hardening mijn site?
Nee, goed geconfigureerde beveiliging heeft nauwelijks invloed op de laadtijd, zeker op snelle infrastructuur zoals LiteSpeed-servers met NVMe-opslag.
Is gedeelde hosting veilig genoeg voor WordPress?
Ja, mits de provider isolatie tussen accounts en regelmatige serverupdates toepast. Combineer dit altijd met de hardening-maatregelen uit dit artikel.
Conclusie
WordPress hardening is geen eenmalige actie maar een doorlopend proces van sterke authenticatie, actuele software, een firewall en betrouwbare backups. Door de stappen uit dit artikel toe te passen, sluit u de meest gebruikte aanvalsroutes af en houdt u uw site stabiel en veilig.