5 signalen dat je website kwetsbaar is voor hackers

1. Je CMS, plugins of PHP-versie zijn niet bijgewerkt

Gebruik je WordPress, Joomla of een ander CMS? Dan verschijnen er regelmatig updates voor het systeem, de thema’s en de plugins. Die updates voegen niet alleen nieuwe functies toe, maar lossen vaak ook beveiligingsproblemen op. Zodra zo’n probleem publiek bekend is, zoeken bots gericht naar websites die de update nog niet hebben geïnstalleerd.

Let ook op de PHP-versie: de programmeertaal waarop de meeste CMS’en draaien. Krijgt jouw PHP-versie geen beveiligingsupdates meer, dan blijft dat een risico, hoe goed je CMS verder ook is bijgewerkt.

Zo houd je je software up-to-date:

• Installeer updates van je CMS, thema’s en plugins regelmatig en stel ze niet onnodig uit.
• Maak een back-up voordat je een grote update uitvoert. Gaat er iets mis, dan zet je de oude versie zo terug.
• Zet automatische updates aan als dat geschikt is voor jouw website. Bij een complexe webshop kun je grote updates beter eerst controleren.
• Verwijder plugins en thema’s die je niet gebruikt. Ook uitgeschakelde plugins blijven op je server staan.
• Kies plugins en thema’s die actief worden onderhouden. Kijk bijvoorbeeld wanneer de laatste update was.
• Controleer in je hostingomgeving welke PHP-versie je site gebruikt, en stap over op een versie die nog wordt ondersteund.

Gebruik je WordPress bij Yourhosting? Met de WordPress Toolkit beheer je updates van WordPress, plugins en thema’s op één plek, en zie je of de beveiliging van je site op orde is.

2. Je gebruikt zwakke wachtwoorden of dezelfde wachtwoorden

Is je wachtwoord “welkom123” of de naam van je bedrijf? Of gebruik je hetzelfde wachtwoord voor meerdere accounts? Dan maak je het aanvallers makkelijk. Bots proberen in korte tijd grote aantallen wachtwoorden uit, en een wachtwoord dat bij een andere dienst is gelekt, wordt ook op jouw website geprobeerd.

Let ook op de gebruikersnaam “admin”. Die is makkelijk te raden, waardoor een aanvaller alleen je wachtwoord nog hoeft te achterhalen.

Een belangrijke extra beveiligingslaag is tweestapsverificatie (2FA). Daarbij is naast je wachtwoord een tweede controle nodig, bijvoorbeeld een code op je telefoon. Een gestolen wachtwoord is dan niet genoeg om in te loggen.

Zo bescherm je je accounts:

• Gebruik voor elk belangrijk account een lang en uniek wachtwoord.
• Bewaar je wachtwoorden in een wachtwoordmanager.
• Zet 2FA aan waar dat kan, in elk geval voor je CMS, je hostingaccount en je e-mail.
• Vervang de gebruikersnaam “admin” door een naam die niet te raden is.
• Beperk het aantal inlogpogingen, bijvoorbeeld met een beveiligingsplugin.
• Geef alleen toegang aan mensen die het echt nodig hebben, en verwijder accounts van bijvoorbeeld oud-medewerkers of een vorige webbouwer.

3. Je website gebruikt geen beveiligde HTTPS-verbinding

Zie je http:// in plaats van https:// voor je domeinnaam, of de melding “Niet veilig” in de adresbalk? Dan heeft je website geen werkend SSL-certificaat. Misschien ontbreekt het, is het verlopen of is het niet goed ingesteld.

Een SSL-certificaat zorgt ervoor dat gegevens tussen de browser van je bezoeker en je website versleuteld worden verstuurd. Dat is belangrijk voor bijvoorbeeld inloggegevens en wat iemand invult in een contactformulier. Bovendien schrikt de melding “Niet veilig” bezoekers af.

Een SSL-certificaat voorkomt niet dat je website gehackt wordt: een lek in een plugin blijft een lek. Het beschermt wél de verbinding tussen je website en je bezoekers, en hoort daarom bij de basis.

Zo regel je een veilige verbinding:

• Activeer een SSL-certificaat voor je domeinnaam en controleer of het automatisch wordt verlengd.
• Zorg dat bezoekers automatisch van http:// naar https:// worden doorgestuurd.
• Controleer of afbeeldingen, scripts en andere onderdelen ook via https:// worden geladen. Gebeurt dat niet, dan kan de browser je pagina alsnog als onveilig markeren.

4. Je hebt geen recente back-up van je website

Wanneer is er voor het laatst een back-up van je website gemaakt? Weet je dat niet meteen, dan is dit een goed moment om het uit te zoeken. Een back-up houdt een hacker niet tegen, maar bepaalt wel hoe snel je weer online bent. Dat geldt ook bij een mislukte update of een menselijke fout.

Zonder back-up kun je teksten, afbeeldingen, bestellingen of klantgegevens kwijtraken. Denk daarom niet pas aan back-ups als je ze nodig hebt.

Zo regel je goede back-ups:

• Laat automatisch en regelmatig een back-up maken. Hoe vaak, hangt af van je site: bij een webshop is dagelijks verstandig, bij een site die zelden verandert kan het minder vaak.
• Bewaar meerdere versies. Een hack wordt soms pas na weken ontdekt, en dan wil je terug naar een moment van daarvoor.
• Zorg dat er ook een kopie op een andere plek staat dan je website zelf.
• Test af en toe of je een back-up echt kunt terugzetten.

Lees ook hoe je een back-up van je website maakt.

5. Je ziet activiteit op je website die je niet herkent

De eerste vier signalen gaan over risico’s. Dit vijfde signaal kan erop wijzen dat er al iets mis is. Aanvallers proberen vaak zo lang mogelijk onopgemerkt te blijven. Let daarom op afwijkingen zoals:

• Je website is plotseling veel trager dan normaal.
• Er staan gebruikers of beheerders in je CMS die je niet herkent.
• Er verschijnen pagina’s, links of advertenties die je zelf niet hebt toegevoegd.
• Bezoekers worden onverwacht doorgestuurd naar een andere website.
• Google of Google Search Console waarschuwt voor een beveiligingsprobleem.
• Er wordt spam verstuurd vanaf je domein, of je eigen e-mails belanden vaker in de spamfolder.
• Je ziet bestanden of wijzigingen die je niet herkent.

Eén van deze signalen betekent niet automatisch dat je website gehackt is. Een trage site kan bijvoorbeeld ook een andere oorzaak hebben. Het is wel verstandig om uit te zoeken waar de verandering vandaan komt.

Zo houd je een oogje in het zeil

• Controleer regelmatig welke gebruikers toegang hebben tot je website.
• Koppel je website aan Google Search Console, zodat je een melding krijgt als Google een beveiligingsprobleem vindt.
• Gebruik beveiligingssoftware die je website controleert op verdachte bestanden en wijzigingen. Bij Yourhosting zit Imunify360 standaard bij je hosting.
• Stel SPF, DKIM en DMARC in voor je domein. Daarmee maak je het lastiger voor anderen om e-mail te versturen die van jouw domein lijkt te komen.

Heb je een WordPress-website bij Yourhosting en vermoed je dat die gehackt is? Bekijk dan onze pagina over de hackfix.