Brute force aanvallen zijn pogingen van bots om via het inlogscherm van WordPress met duizenden combinaties van gebruikersnamen en wachtwoorden toegang te krijgen tot je site. Je stopt ze door het inlogscherm lastiger bereikbaar te maken, sterke wachtwoorden met tweestapsverificatie te combineren, het aantal inlogpogingen te beperken en verdachte IP-adressen te blokkeren. In dit artikel lees je stap voor stap hoe je dit instelt.
Wat is een brute force aanval
Bij een brute force aanval proberen geautomatiseerde scripts voortdurend in te loggen op je WordPress-beheeromgeving, meestal via /wp-login.php of /wp-admin. De bots testen bekende gebruikersnamen zoals ‘admin’ in combinatie met veelgebruikte wachtwoorden. Slaagt een poging, dan krijgt de aanvaller volledige controle over je site. Je herkent deze aanvallen aan een opvallend hoog aantal mislukte inlogpogingen in je serverlogs of beveiligingsplugin.
Risico’s voor je website
Naast het risico dat iemand daadwerkelijk inlogt, belasten brute force aanvallen ook je server. Duizenden inlogpogingen per uur kunnen de laadtijd van je site negatief beïnvloeden en zelfs leiden tot tijdelijke overbelasting. Wordt een aanval succesvol, dan kan je site worden gebruikt om malware te verspreiden, spam te versturen of bezoekers door te sturen naar schadelijke pagina’s. Dit schaadt niet alleen je site maar ook je reputatie en vindbaarheid in zoekmachines.
Stappenplan om aanvallen te stoppen
Beperk het aantal inlogpogingen
Installeer een plugin die het aantal mislukte inlogpogingen per IP-adres beperkt en dat adres daarna tijdelijk blokkeert. Dit maakt het voor bots onmogelijk om duizenden combinaties snel achter elkaar uit te proberen.
Schakel tweestapsverificatie in
Voeg een extra verificatiestap toe bovenop je wachtwoord, bijvoorbeeld via een authenticator-app. Zelfs als een aanvaller het juiste wachtwoord raadt, komt hij niet verder zonder de tweede code.
Verberg of verplaats het inlogscherm
Wijzig de standaard login-URL naar een unieke naam. Veel bots richten zich automatisch op de standaardpaden, dus een afwijkende URL filtert een groot deel van de aanvallen direct weg.
Gebruik sterke, unieke wachtwoorden
Vervang standaard gebruikersnamen zoals ‘admin’ en gebruik lange, unieke wachtwoorden per gebruiker. Een wachtwoordmanager maakt dit eenvoudig te beheren zonder in te leveren op gebruiksgemak.
Controleer logs en blokkeer verdachte IP’s
Bekijk regelmatig je toegangslogs op herhaalde mislukte pogingen vanaf dezelfde IP-reeksen en blokkeer deze structureel via je serverinstellingen of een firewallplugin.
Extra beveiligingsmaatregelen
Naast de directe maatregelen tegen brute force helpt het om WordPress, thema’s en plugins altijd actueel te houden, omdat verouderde software vaak de werkelijke ingang vormt na een geslaagde aanval. Zorg daarnaast voor dagelijkse backups, zodat je bij twijfel snel kunt terugzetten naar een schone versie van je site. Een goed beveiligd hostingplatform met een moderne serverconfiguratie en firewall op serverniveau vormt een stevige basis bovenop je WordPress-instellingen; dit stel je eenvoudig in via Plesk, waar je ook direct je SSL-certificaten en backups beheert. Bekijk voor een passende basis ons overzicht van webhosting, en lees in onze kennisbank meer achtergrondartikelen over websitebeveiliging.
Veelgestelde vragen
Hoe weet ik of mijn site wordt aangevallen?
Je ziet in je serverlogs of beveiligingsplugin een ongebruikelijk hoog aantal mislukte inlogpogingen, vaak vanaf wisselende of buitenlandse IP-adressen, geconcentreerd rond het inlogscherm.
Is het veranderen van de login-URL echt effectief?
Ja, het weert een groot deel van geautomatiseerde aanvallen die blindelings standaardpaden proberen, al blijft het een aanvulling op en geen vervanging van sterke wachtwoorden en 2FA.
Kan een brute force aanval mijn e-mail ook raken?
Ja, ook e-mailaccounts kunnen doelwit zijn. Zorg dat je zakelijke e-mail hosting sterke wachtwoorden en spamfiltering gebruikt om dit risico te beperken.
Moet ik mijn hostingpartij inschakelen bij aanhoudende aanvallen?
Bij structurele of grootschalige aanvallen kun je contact opnemen met je hostingprovider, zodat op serverniveau extra blokkades of firewallregels kunnen worden ingesteld.
Helpt overstappen naar een andere hostingpartij tegen brute force aanvallen?
Een hostingomgeving met actuele serversoftware en ingebouwde beveiligingslagen vermindert het risico aanzienlijk. Bekijk de mogelijkheden voor overstappen naar Tandata als je twijfelt aan je huidige beveiliging.
Conclusie
Brute force aanvallen stop je door het inlogscherm minder vindbaar en minder toegankelijk te maken: beperk inlogpogingen, gebruik tweestapsverificatie en sterke wachtwoorden, en houd je site en server up-to-date. Combineer deze maatregelen met regelmatige controle van je logs voor een duurzaam veilige WordPress-site.