Hoe voorkom je dat je WordPress-website wordt gehackt? | 11 tips om direct toe te passen.

Misschien denk je: mijn website is zo klein, wie wil die nu hacken? De grootte en populariteit van je website maakt voor hackers echter niets uit.

Hackers zoeken meestal niet handmatig naar één specifieke website om te hacken, maar veel aanvallen gebeuren automatisch. Bots scannen continu websites op zwakke plekken, oude plugins, slechte wachtwoorden, kwetsbare thema’s en slecht onderhouden WordPress-websites.

En echt, een website hack is enorm vervelend. Je website kan offline gaan, bezoekers kunnen vreemde pagina’s zien, er kunnen spamlinks worden geplaatst, formulieren kunnen worden misbruikt, de SEO werkt opeens niet meer of je website kan malware verspreiden.

Helemaal voorkomen dat je website ooit wordt gehackt, kan helaas niemand garanderen. Maar je kunt het hackers wel een stuk moeilijker maken.

In dit artikel lees je waarom websites worden gehackt en welke praktische stappen je kunt nemen om je WordPress-website te beveiligen.

Waarom zou iemand jouw website willen hacken?

Veel ondernemers denken dat hun website niet interessant is voor hackers. Maar niets is minder waar. De meeste klanten die bij mij aankloppen omdat hun website is gehackt hebben een kleine website met maar een paar pagina’s.

Je hoeft dus niet een mega website te hebben om gehackt te worden. Waarom? Omdat een hackers je website voor allerlei doelen kunnen gebruiken. En daarvoor maakt de grootte van je website niet zoveel uit.

1. Gegevens stelen

Gegevens stelen is een veelvoorkomende reden waarom hackers een website misbruiken. Denk aan gebruikersnamen, wachtwoorden, e-mailadressen, klantgegevens, betaalgegevens en andere persoonsgegevens.

Heb je een webshop, online academie of website waarop mensen gegevens invullen? Dan is de beveiliging extra belangrijk.

Maar ook een simpele website met een contactformulier kan al interessant genoeg zijn om te hacken.

Gegevens kunnen worden misbruikt voor fraude, spam, phishing of identiteitsdiefstal. En dat wil je uiteraard voorkomen.

2. Je website veranderen

Soms hacken mensen een website om de zichtbare inhoud aan te passen. Dat heet defacing.

Je homepage wordt dan bijvoorbeeld vervangen door een andere pagina. Soms met politieke boodschappen, rare teksten, nepwebshops of advertenties voor producten die helemaal niets met jouw bedrijf te maken hebben.

Dat is niet alleen vervelend voor jou, maar ook niet heel handig voor je bezoekers. Iemand komt op je website om jouw aanbod te bekijken en ziet ineens iets totaal anders. Dat schaadt vertrouwen en jaagt potentiële klanten weg.

3. Malware verspreiden

Een gehackte website kan worden gebruikt om malware mee te verspreiden.

Malware is schadelijke software die bezoekers kan treffen. Soms merk je zelf niet eens direct dat je website is gehackt, omdat hackers juist willen dat hun aanpassing zo lang mogelijk verborgen blijft.

Dit soort hacks kunnen lastiger op te sporen zijn. Je website lijkt aan de voorkant helemaal normaal, terwijl er achter de schermen schadelijke code draait.

4. Phishingpagina’s plaatsen

Bij phishing proberen criminelen mensen gegevens of geld afhandig te maken door zich voor te doen als een betrouwbare partij.

Een gehackte website kan worden gebruikt om nep-inlogpagina’s of betaalpagina’s te hosten.

Bijvoorbeeld een pagina die lijkt op die van een bank, host, pakketdienst, webshop of e-mailprovider.

Jouw website wordt dan misbruikt als tussenstation voor fraude.

Dat kan grote gevolgen hebben voor de reputatie van je bedrijf en voor je domein. Je wilt immers niet dat die ergens op een zwarte lijst komt.

5. SEO-spam plaatsen

Hackers kunnen ook spamlinks of verborgen pagina’s op je website plaatsen. Dat gebeurt vaak om andere websites hoger in Google te krijgen of om bezoekers door te sturen naar dubieuze pagina’s.

Dit noem je SEO-spam.

Je merkt het soms pas als je vreemde pagina’s in Google ziet verschijnen, rare zoekresultaten tegenkomt of als je meldingen krijgt via Google Search Console.

SEO-spam kan je vindbaarheid enorm schaden en de SEO-statistieken totaal door de war brengen. Heel vervelend.

Hoe weet je of je website gehackt is?

Soms is het heel duidelijk als je website gehackt is. Je website ziet er dan ineens anders uit, je homepagina is vervangen of Google waarschuwt dat je website onveilig is.

Maar heel vaak merk je er zelf in eerste instantie niets van.

Let vooral op signalen zoals:

• vreemde pagina’s in Google;
• onbekende bestanden op je hosting;
• rare gebruikers in WordPress;
• bezoekers die worden doorgestuurd naar andere websites;
• je website is ineens heel traag;
• In Google Search Console zie je opeens hoge ranking van pagina’s die je niet kent;
• je krijgt veel spam via je contactformulier;
• er staan links in je website die je zelf niet hebt geplaatst;
• je krijgt waarschuwingen van je beveiligingsplugin;
• je host stuurt een melding over malware.

Zie je iets verdachts? Zoek het dan meteen uit. Bij een hack handel je het beste zo snel mogelijk.

Hoe voorkom je dat je WordPress-website wordt gehackt? 11 tips

Een website hack kun je helaas nooit 100% voorkomen, maar je kunt de kans wel flink verkleinen.

De meeste beveiliging zit niet in één magische plugin. Het gaat om een combinatie van goed onderhoud, sterke wachtwoorden, veilige plugins, betrouwbare hosting, backups en alert blijven.

Heb je zelf geen zin om je website constant te moeten onderhouden, dan kan ik WordPress-website onderhoud voor je uit handen nemen.

1. Houd WordPress, plugins en thema’s up-to-date

Het updaten van je website is het absolute minimum dat je zou moeten doen om je website te beveiligen. Dat betekent het updaten van zowel WordPress, thema’s als plugins.

Die updates zijn er niet alleen voor nieuwe functies, maar vaak ook voor verbeteringen, foutoplossingen en voor het oplossen van een beveiligingslek.

Als je je website niet op tijd update, dan kunnen er problemen ontstaan. Met als grootste probleem een gehackte website, maar je website kan er ook door breken.

Wil je weten wat je allemaal moet bijhouden en hoe je dat het beste doet? Lees dan ook mijn artikel over WordPress onderhoud.

2. Gebruik sterke en unieke wachtwoorden

Hoe zwakker je wachtwoord hoe groter de risico’s. Ik zeg altijd dat zolang je je wachtwoord kunt onthouden, deze niet sterk genoeg is.

Gebruik dus geen wachtwoorden zoals:

• welkom123;
• de naam van je bedrijf;
• je geboortedatum;
• admin123;
• hetzelfde wachtwoord dat je overal gebruikt.

Gebruik voor zowel je WordPress-website, hosting, e-mail, Google-account en andere belangrijke tools altijd sterke en unieke wachtwoorden.

Een wachtwoordmanager kan daarbij helpen, ikzelf gebruik LastPass. Hiermee maak ik super sterke wachtwoorden die in een kluis worden opgeslagen én automatisch worden ingevuld. Heel handig.

3. Stel tweestapsverificatie in

Tweestapsverificatie betekent dat je naast je wachtwoord nog een extra code of bevestiging nodig hebt om in te loggen.

Dit maakt het voor hackers veel moeilijker om toegang te krijgen.

Zelfs als iemand je wachtwoord weet, kan die persoon niet zomaar inloggen zonder die tweede stap.

Ik zou adviseren om tweestapsverificatie in te stellen voor al je belangrijke accounts. Dus niet alleen voor WordPress, maar ook voor je hosting, voor Google, je e-mail, al je social media accounts en voor betaalproviders.

Bij WordPress kun je tweestapsverificatie vaak instellen met een beveiligingsplugin of aparte 2FA-plugin. Ik gebruik daarvoor de plugin WP 2FA – Two-factor authentication for WordPress.

Bewaar ook altijd backupcodes op een veilige plek. Anders kun je jezelf buitensluiten als je telefoon kapotgaat of kwijtraakt. Ik bewaar deze zelf in LastPass.

4. Gebruik geen standaard gebruikersnaam zoals admin

Veel WordPress-websites gebruiken nog steeds een gebruikersnaam als ‘admin’. En dat is niet een heel goed idee.

Als een hacker je gebruikersnaam al weet, hoeft alleen je wachtwoord nog geraden of buitgemaakt te worden.

Gebruik liever een unieke gebruikersnaam.

Maak ook geen openbare auteurspagina’s of gebruikersnamen onnodig zichtbaar als dat niet nodig is.

Heb je WordPress al geïnstalleerd en toch admin of je eigen naam als gebruikersnaam ingevuld? Verander deze dan. Dit doe je zo:

• Stap 1: Ga naar je dashboard en klik op Gebruikers ⇒ Nieuwe toevoegen;
• Stap 2: Vul het formulier in met de nieuwe gebruikersnaam (deze keer een heel sterke en niet te raden, geen eigen naam dus en ook geen geboortedatum of iets dergelijks), de rest waar ‘verplicht’ achter staat en een sterk wachtwoord;
• Stap 3: Kies onderaan het formulier bij de optie ‘rol’ voor ‘beheerder’;
• Stap 4: Klik als je alles hebt ingevuld op ‘nieuwe gebruiker toevoegen’;
• Stap 5: Log nu uit met je huidige account en log opnieuw in met het nieuwe account dat je zojuist hebt aangemaakt;
• Stap 6: Ga terug naar ‘Gebruikers’. Je ziet er hier nu twee staan: je oude en je nieuwe;
• Stap 7: Klik bij je oude account op ‘verwijderen’;
• Stap 8 (heel belangrijk!!): Je krijgt nu een scherm met de vraag wat er met de inhoud van de oude gebruiker moet gebeuren. Kies hier ‘alle content koppelen aan’ en dan je nieuwe gebruikersnaam van je nieuwe account. Als je alle content verwijderen aanvinkt ben je alle pagina’s en blogs kwijt!! Klik nu op ‘verwijdering bevestigen’ en klaar!

5. Kies veilige plugins en thema’s

Het grote voordeel van WordPress is het enorme aantal aan plugins en WordPress thema’s waarmee je je website kunt maken zoals je het wilt. Maar het nadeel daarvan is ook dat precies die plugins ook veiligheidsrisico’s kunnen geven.

Ik adviseer altijd om daarom alleen plugins op je website te zetten die je echt nodig hebt en die je goed hebt bekeken.

Let bij plugins en thema’s op:

• wanneer ze voor het laatst zijn bijgewerkt;
• hoeveel actieve installaties ze hebben;
• de beoordelingen;
• of ze passen bij jouw WordPress-versie;
• of ze echt nodig zijn;
• of ze van een betrouwbare ontwikkelaar komen;
• of er goede support is.

Verwijder plugins die je niet meer gebruikt. Niet alleen deactiveren, maar echt verwijderen als je ze niet nodig hebt.

Hoe minder overbodige plugins, hoe overzichtelijker en veiliger je website blijft.

Hier vind je tips en informatie over mijn favoriete WordPress plugins.

6. Maak regelmatig backups

Een backup is als het ware een kopie van je website en je database die je kunt terugzetten als er iets misgaat. En je kunt je voorstellen dat dat best essentieel is om altijd achter de hand te hebben.

Backups zijn ontzettend belangrijk bij:

• website hacks;
• mislukte updates;
• conflicten tussen plugins;
• foutmeldingen;
• serverproblemen;
• verkeerde aanpassingen;
• malware.

Een goede backup bestaat uit:

• je bestanden;
• je database.

Je database bevat onder andere je pagina’s, berichten, gebruikers, instellingen en dingen zoals WooCommerce-bestellingen.

Controleer niet alleen dát er backups worden gemaakt, maar ook waar ze staan en hoe je ze kunt terugzetten. Bij een goede host worden er automatisch backups gemaakt die je gemakkelijk kunt terugzetten. Goede hosts zijn bijvoorbeeld Cloud86 of mijn.host.

Een backup voorkomt geen hack, maar helpt je wel om je website te herstellen als er iets misgaat. Lees daarom ook mijn uitleg over een backup maken van je website.

7. Kies een betrouwbare host

Over goede hosts gesproken: de hosting van je website is heel belangrijk voor de beveiliging. En voor nog veel meer dingen, maar we hebben het nu over de veiligheid van je website.

Je websitebeveiliging hangt namelijk niet alleen af van WordPress, ook je hosting speelt een grote rol.

Een goede host zorgt voor:

• recente PHP-versies;
• serverbeveiliging;
• een SSL-certificaat;
• backups;
• malwarecontroles;
• veilige toegang;
• goede support;
• snelle hulp bij problemen.

Bij hosting betekent het niet dat goedkoop altijd slecht is, maar meestal is heel goedkoop niet de beste keuze. Als je host immers traag reageert, geen backups maakt (wat vaak voorkomt) of weinig beveiliging biedt, kan dat bij problemen veel stress en gedoe geven.

Mijn advies voor een goede host is Cloud86 of mijn.host.

Ben je niet meer tevreden over de veiligheid, support of techniek van je huidige hostingprovider? Lees dan waar je op moet letten als je overstapt naar een andere host.

8. Beveilig je contactformulier en reacties

Je contactformulier is een veel voorkomende reden van bakken spam in je mail. En niet alleen je contactformulier, ook reacties onder blogs zijn een gewilde manier om op te spammen.

Zorg er daarom voor dat je zowel formulieren als reacties goed beveiligt tegen spam.

Ikzelf gebruik hiervoor CleanTalk, een betaalde tool (heel goedkoop) die alle spam op de website tegenhoudt.

Naast CleanTalk zijn er ook andere opties:

• honeypot;
• reCAPTCHA of een privacyvriendelijk alternatief;
• een gratis anti-spamplugin;
• limieten op inzendingen;
• duidelijke formulierinstellingen;
• goede e-mailbeveiliging.

9. Installeer een beveiligingsplugin

Ik zou altijd een goede plugin voor beveiliging op je website zetten. Ook voor de beveiliging gebruik ik CleanTalk. Hier hebben ze een aparte service voor. Daarmee doen ze automatisch scans, ook op malware, je krijgt een e-mail als er iets gevonden is en ze kunnen het ook voor je uitzoeken.

Daarnaast kun je verkeer uit bepaalde landen beperken, wat een hoop kan helpen.

Denk bij een beveiligingsplugin aan functies zoals:

• scans;
• firewall;
• loginbeveiliging;
• meldingen;
• blokkeren van verdachte pogingen;
• brute-forcebescherming;
• controle op gewijzigde bestanden.

Een andere goede plugin is WordFence.

Een beveiligingsplugin is echter geen magisch schild. Je moet waarschuwingen wel bekijken, instellingen goed zetten en updates blijven doen. Bij WordFence bijvoorbeeld moet je zelf actief scans doen en kijken wat daaruit komt.

Een beveiligingsplugin werkt dus niet omdat het simpelweg op je website staat, het werkt omdat je er zelf actief mee werkt en je je website actief bijhoudt. Als je daar geen zin in hebt, dan kun je website onderhoud uitbesteden.

10. Controleer je website regelmatig

Het is niet zo dat je je website één keer beveiligt en je er daarna niet meer naar om hoeft te kijken. Het is belangrijk dat je regelmatig kijkt of je website nog goed werkt en of er geen vreemde dingen gebeuren.

Kijk bijvoorbeeld naar:

• onbekende gebruikers;
• vreemde pagina’s;
• plotselinge foutmeldingen;
• rare links;
• opvallende bestanden op je hosting;
• beveiligingsmeldingen;
• Google Search Console;
• spam;
• snelheid;
• updates die blijven hangen.

Vooral als je website belangrijk is voor je bedrijf, is regelmatig controleren geen overbodige luxe.

11. Beveilig ook je e-mail, Google-account en computer

Je WordPress-website kan goed beveiligd zijn, maar als je e-mail of computer onveilig is, loop je alsnog risico.

Veel accounts zijn namelijk met elkaar verbonden.

Via je e-mail kun je wachtwoorden resetten.
Via je hosting kun je bij je website.
Via je Google-account kun je bij Search Console, Analytics of zakelijke bestanden.
Via je computer kun je bij opgeslagen wachtwoorden of klantgegevens.

Beveilig daarom ook:

• je e-mail;
• je Google-account;
• je computer;
• je telefoon;
• je wachtwoordmanager;
• je hostingaccount;
• je social media-accounts.

Gebruik sterke wachtwoorden, tweestapsverificatie en wees voorzichtig met phishingmails.

Klik niet zomaar op links in e-mails van je bank, host, pakketdienst of betaalprovider. Ga beter zelf naar de website door het adres handmatig in te typen of via je eigen bladwijzer.

Wat als je website toch gehackt is?

Is je website gehackt of vermoed je dat er iets mis is? Dan is het belangrijk om rustig te blijven en snel te handelen.

Doe bijvoorbeeld dit:

1. Maak eerst een backup van de huidige situatie, ook al is die mogelijk besmet. Die kan later nodig zijn voor onderzoek.
2. Scan je website op malware.
3. Neem contact op met je host of webdesigner.
4. Controleer gebruikersaccounts.
5. Wijzig belangrijke wachtwoorden.
6. Controleer bestanden en plugins.
7. Zet een schone backup terug als je die hebt.
8. Update WordPress, plugins en thema’s.
9. Controleer Google Search Console op beveiligingsproblemen.
10. Laat je website nakijken als je niet zeker weet of alles schoon is.

Verwijder niet blind allerlei bestanden als je niet weet wat ze doen. Soms maak je het probleem groter of haal je onderdelen van je website onderuit.

Een hack oplossen is meestal niet zo makkelijk. Vaak is het nodig om hulp in te schakelen, bijvoorbeeld bij je hosting of je webdesigner.

Hoe vaak moet je je websitebeveiliging controleren?

Voor een gewone WordPress-website is het verstandig om minstens eens per paar weken te controleren op updates, beveiligingsmeldingen en opvallende problemen.

Heb je een WooCommerce-shop, online academie, ledenomgeving of belangrijke zakelijke website? Dan zou ik dit echt absoluut heel regelmatig doen, bij een heel grote website eens per week of eens per twee weken.

Controleer in ieder geval regelmatig:

• updates;
• backups;
• beveiligingsmeldingen;
• formulieren;
• gebruikers;
• spam;
• belangrijke pagina’s;
• WooCommerce-checkout, als je een webshop hebt.

Onderhoud hoeft niet dagelijks veel tijd te kosten, maar het moet wel consequent gebeuren.

Achterstand in onderhoud kan een hoop problemen geven.

Website beveiliging uitbesteden

Niet iedereen wil zelf bezig zijn met updates, beveiligingsmeldingen, backups en technische controles. En dat snap ik heel goed.

Je hebt waarschijnlijk al genoeg andere dingen te doen in je bedrijf.

Toch is het belangrijk dat iemand je website bijhoudt. Want wachten tot er iets misgaat, levert vaak meer stress en kosten op dan regelmatig onderhoud.

Wil je je WordPress-website niet zelf bijhouden?

Met mijn WordPress website onderhoud controleer en update ik je website regelmatig, zodat jij minder hoeft te stressen over updates, foutmeldingen en beveiligingsproblemen.

Heb je al een concreet probleem met je website of wil je dat ik met je mee kijk? Dan past website ondersteuning wellicht beter.

Checklist: je WordPress-website beveiligen

Gebruik deze checklist om je website beter te beveiligen.

1. Gebruik sterke en unieke wachtwoorden.
2. Stel tweestapsverificatie in voor belangrijke accounts.
3. Gebruik geen standaard gebruikersnaam zoals admin.
4. Houd WordPress up-to-date.
5. Update plugins regelmatig.
6. Update je thema.
7. Verwijder plugins die je niet gebruikt.
8. Kies betrouwbare plugins en thema’s.
9. Maak regelmatig backups.
10. Controleer of je backups kunt terugzetten.
11. Kies een betrouwbare host.
12. Zorg voor een SSL-certificaat.
13. Beveilig formulieren tegen spam.
14. Controleer gebruikersaccounts.
15. Installeer een beveiligingsplugin en stel die goed in.
16. Controleer regelmatig beveiligingsmeldingen.
17. Houd ook je hosting, e-mail en Google-account veilig.
18. Controleer Search Console op vreemde meldingen.
19. Test belangrijke formulieren en knoppen.
20. Besteed onderhoud uit als je dit zelf steeds vergeet.

Conclusie: een veilige website begint bij goed onderhoud

Een website hack kun je helaas nooit helemaal uitsluiten, maar je kunt de kans wel flink verkleinen.

Veel beveiliging begint bij de basis: sterke wachtwoorden, tweestapsverificatie, updates, backups, betrouwbare plugins, goede hosting en regelmatig onderhoud.

Wacht dus niet tot je website offline is, vreemde pagina’s toont of door je host wordt geblokkeerd.

Zorg dat je website technisch wordt bijgehouden, dat geeft rust en verkleint de kans op vervelende problemen.

Wil je dit liever niet zelf doen? Bekijk dan mijn aanbod voor WordPress-website onderhoud of neem contact op als je wilt dat ik met je meekijk.

In dit artikel staat een affiliatie link. Klik hier voor meer informatie.