Hoofdstuk 11 van 13
WordPress draait op meer dan 40 % van alle websites. Daardoor is het ook een populair doelwit: automatische programma’s (“bots”) proberen de klok rond wachtwoorden te raden en zwakke plugins te misbruiken. Een gehackte site stuurt spam, verspreidt malware of wordt door Google als gevaarlijk gemarkeerd.
Het goede nieuws: met een handvol gewoontes ben je al heel goed beschermd. Op je studentensite is veel al voor je geregeld. In dit hoofdstuk leer je wat er geregeld is, waarom, en wat je zelf in de gaten houdt. Die kennis neem je mee naar elke site die je later voor een klant bouwt.
Sterke wachtwoorden en een wachtwoordbeheerder
De meeste inbraken beginnen niet met slimme hackerstrucs, maar met een zwak of hergebruikt wachtwoord.
Waarom is “Leuven2026!” geen goed wachtwoord? Bots proberen eerst lijsten met miljoenen gelekte wachtwoorden en voorspelbare combinaties (woord + jaartal + uitroepteken). En gebruik je hetzelfde wachtwoord ook ergens anders, dan volstaat één lek bij een webwinkel om ook binnen te raken op je WordPress-site.
Een sterk wachtwoord is daarom lang (minstens 16 tekens), willekeurig en uniek: je gebruikt het nergens anders.
Zo’n wachtwoord onthoud je niet, en dat hoeft ook niet. Daarvoor gebruik je een wachtwoordbeheerder: een programma dat al je wachtwoorden versleuteld bewaart en ze voor je invult. Jij onthoudt enkel nog één sterk hoofdwachtwoord. Voorbeelden zijn Bitwarden (gratis), 1Password, of de wachtwoordbeheerder die in je browser of je Apple- of Google-account zit.
- Ga naar Gebruikers → Profiel en scrol naar Accountbeheer.
- Klik op Nieuw wachtwoord instellen (1). WordPress maakt een willekeurig wachtwoord aan (2).
- De meter (3) moet op Sterk staan. Typ je zelf iets in dat zwak is, dan waarschuwt WordPress je.
- Bewaar het wachtwoord in je wachtwoordbeheerder voor je verder gaat.
- Klik onderaan op Profiel bijwerken.
Denk je dat iemand anders je wachtwoord kent, of ben je vergeten uit te loggen op een pc op school? Verander je wachtwoord en klik op Overal afmelden (4). Dan wordt iedereen die met jouw account ingelogd is, meteen buitengezet.
Deel je wachtwoord nooit, ook niet met een medestudent “om even te helpen”. Moet iemand mee op je site werken, maak dan een apart account voor die persoon (zie verder bij gebruikers).
Limit Login Attempts Reloaded: bescherming tegen raden
Een bot die je wachtwoord wil raden, probeert duizenden combinaties na elkaar. De plugin Limit Login Attempts Reloaded houdt dat tegen: na een paar foute pogingen wordt het IP-adres van de aanvaller een tijdje buitengesloten. Raden wordt zo onbegonnen werk.
Het welkomstvenster
De eerste keer dat je Limit Login Attempts in het linkermenu opent, verschijnt er een groot welkomstvenster dat je wil laten “onboarden” en een Premium-versie aanprijst.
Je hebt geen Premium, Micro Cloud of setupcode nodig: de gratis versie werkt al. Klik het venster weg met het kruisje (1) en klik ook verderop niet op “Get Started” of “Upgrade”.
Het dashboard
- Klik in het linkermenu op Limit Login Attempts (1).
- Met de tabbladen (2) wissel je tussen Dashboard, Instellingen, Logs en meer.
- Het grote cijfer toont hoeveel mislukte login pogingen er de afgelopen 24 uur waren. Dat cijfer zie je ook in het blok op je WordPress-dashboard.
Zie je op een echte, publieke site tientallen of honderden mislukte pogingen per dag? Schrik niet: dat zijn bots die het overal proberen. Het bewijst vooral dat de plugin zijn werk doet. Op je studentensite is het aantal laag, omdat ze voor zoekmachines afgeschermd is.
De instellingen: hoeveel kansen krijg je?
Op het tabblad Instellingen, bij Lokale app en dan Uitsluiting, staan de regels. Op je site staan ze zo:
- 4 toegestane pogingen;
- daarna 20 minuten uitsluiting;
- na 4 uitsluitingen wordt de uitsluiting verlengd tot 24 uur.
De plugin vat het onder de getallen zelf in één zin samen. Laat deze instellingen zoals ze zijn: ze zijn streng genoeg voor bots en mild genoeg voor iemand die zich eens vergist.
Wat gebeurt er als je je vergist?
Typ je een verkeerd wachtwoord, dan krijg je bovenaan de foutmelding (1) en eronder een geel kadertje dat zegt hoeveel pogingen je nog over hebt.
- Twijfel je na één of twee pogingen? Stop dan en klik op Je wachtwoord vergeten?.
- Ben je toch buitengesloten, dan zie je een melding dat je te veel pogingen deed. Wacht 20 minuten en probeer opnieuw.
- Lukt het daarna nog niet, of zit je 24 uur vast? Contacteer je docent.
De uitsluiting geldt voor je IP-adres: de internetverbinding waarmee je werkt. Op het wifi-netwerk van de campus delen veel studenten hetzelfde IP-adres. Een medestudent die er niet in slaagt op zijn site in te loggen, sluit daar niemand anders mee buiten, want elke site houdt zijn eigen teller bij. Maar probeer nooit voor de grap op andermans site in te loggen: dan sluit je mogelijk je hele groep buiten.
De logs
Op het tabblad Logs zie je het totaal aantal uitsluitingen. Daaronder staan de Safelist (adressen of gebruikersnamen die nooit worden buitengesloten) en de Lijst verboden (die altijd worden geweigerd).
Laat de Safelist leeg. Zet er zeker geen IP-adres van de campus of van je thuisnetwerk op “om zeker te zijn”: dan beschermt de plugin je niet meer tegen wie op hetzelfde netwerk zit.
Waarom XML-RPC uitstaat
XML-RPC is een oude manier waarop andere programma’s met je WordPress-site kunnen praten, bijvoorbeeld een oude blog-app op je gsm. Tegenwoordig gebruikt bijna niemand het nog, maar bots misbruiken het graag: via XML-RPC kunnen ze in één verzoek honderden wachtwoorden tegelijk proberen, of je site inzetten bij aanvallen op andere sites. Daarom staat de plugin Disable XML-RPC (1) op je site actief. Je merkt er niets van, en je hoeft er niets aan te doen. Deactiveer hem niet.
Updates
Software heeft fouten, en een deel daarvan zijn beveiligingslekken. Zodra zo’n lek bekend raakt, brengen de makers een update uit, en meteen daarna gaan bots op zoek naar sites die nog niet bijgewerkt zijn. Bijwerken is dus de belangrijkste beveiligingsmaatregel na een sterk wachtwoord.
Dashboard → Updates
- Ga naar Dashboard → Updates. Een cijfertje in een cirkel naast “Updates” en in het linkermenu bij Plugins verraadt dat er iets bij te werken valt.
- Bovenaan zie je de Huidige versie van WordPress en de zin “Deze website wordt automatisch up-to-date gehouden met elke nieuwe versie van WordPress.”
- Onder Plugins staan de plugins waarvoor een nieuwe versie klaar staat, met de vermelding Auto-update gepland.
Op je studentensite staan automatische updates aan, voor WordPress zelf én voor alle plugins. Je ziet dat op de pluginpagina in de kolom Auto-updates (1): overal staat “Auto-updates uitschakelen”, wat betekent dat ze aan staan. Laat dat zo.
Zie je een melding over een update en wil je niet wachten? Dan mag je op Dashboard → Updates de plugin aanvinken en op Plugins bijwerken klikken. Maak bij een grote update (bv. Elementor of Elementor Pro) eerst een back-up (hoofdstuk 10) en kijk daarna even of je pagina’s nog goed tonen.
Wat je zelf in de gaten houdt
Automatische updates doen veel, maar niet alles. Kijk elke week of na elke les even naar deze punten:
- Staat er een cijfertje bij Updates of Plugins dat dagenlang blijft staan? Dan lukt een automatische update niet. Probeer ze met de hand of meld het aan je docent.
- Ziet je site er na een update vreemd uit (een pagina die niet laadt, een widget die verdwenen is)? Meld het meteen, met een screenshot.
- Open af en toe Tools → Websitediagnose. WordPress controleert daar zelf de gezondheid van je site en geeft concrete tips.
Op je studentensite meldt de Websitediagnose altijd dat zoekmachines ontmoedigd worden. Dat is je oefensite-instelling (“noindex”) en dus normaal. Ook de opmerking over de paginacache mag je negeren. Een melding over inactieve thema’s of plugins die bijgewerkt kunnen worden neem je wel ernstig. Klik op een melding voor uitleg.
Installeer niet zomaar plugins of thema’s
Een plugin is een stuk software dat volledige toegang krijgt tot je site en je database. Elke plugin die je toevoegt, is dus een mogelijk lek erbij. Je studentensite heeft alles wat je voor deze cursus nodig hebt.
Nooit “nulled” plugins of thema’s. Op allerlei sites vind je betalende plugins en thema’s “gratis” om te downloaden, zogenaamd met een gekraakte licentie. Die bestanden bevatten bijna altijd verborgen kwaadaardige code: een achterdeur voor hackers, verborgen spamlinks of code die je bezoekers doorstuurt naar oplichterssites. Het is ook gewoon illegaal. Je studentensite heeft al de echte Pro-versies van Elementor, Gravity Forms, SEOPress en Complianz, met licentie. Je hebt dus geen enkele reden om iets van elders te halen.
Wil je later voor een klant toch een extra plugin, kijk dan eerst naar deze punten in de officiële WordPress-bibliotheek (het zoekveld (1)):
- Laatst bijgewerkt: liefst in de afgelopen maanden, niet jaren geleden.
- Actieve installaties: hoe meer, hoe beter getest.
- Compatibel met je WordPress versie: staat er een groen vinkje bij?
- Heb je het écht nodig? Vaak kan Elementor Pro het al. Elke plugin die je niet installeert, kan ook niet lekken.
Een plugin die je niet gebruikt, deactiveer én verwijder je. Ook een gedeactiveerde plugin staat nog op je server en kan een lek bevatten. Hetzelfde geldt voor thema’s die je niet gebruikt (de Websitediagnose wijst je erop). Doe dat op je studentensite wel enkel na overleg: het thema Hello Elementor en zijn child-thema heb je nodig.
Beperk het aantal beheerders
Een Beheerder kan alles: plugins installeren, gebruikers aanmaken, de hele site wissen. Elk beheerdersaccount is dus een sleutel tot je hele site. Hoe minder sleutels, hoe kleiner de kans dat er één verloren raakt.
- Ga naar Gebruikers. Bovenaan (1) zie je per rol hoeveel accounts er zijn, bijvoorbeeld Beheerder (1).
- In de kolom Rol (2) zie je welke rol elke gebruiker heeft.
Het principe van de minste rechten: geef iedereen precies de rechten die hij nodig heeft, niet meer. Een klant die nieuwsberichten wil plaatsen, wordt Redacteur of Auteur. Een stagiair die teksten schrijft maar niet zelf mag publiceren, wordt Schrijver. Wordt een account van een redacteur gekraakt, dan kan de inbreker hooguit wat berichten aanpassen, maar geen kwaadaardige plugin installeren. De rollen zelf lees je in hoofdstuk 1.
Kijk af en toe de lijst met gebruikers na. Staat er een account dat je niet kent, of van iemand die niet meer meewerkt? Verwijder het, of verlaag de rol naar Abonnee. En gebruik nooit de gebruikersnaam “admin”: dat is de eerste naam die bots proberen.
Back-ups: je vangnet
Hoe goed je ook beveiligt, er kan altijd iets mislopen: een update die je layout breekt, een pagina die je per ongeluk wist, of toch een hack. Met een recente back-up zet je je site in enkele minuten terug zoals ze was. Op je site gebruik je daarvoor de plugin UpdraftPlus. Hoe je een back-up maakt en terugzet, lees je in hoofdstuk 10.
Maak in elk geval een back-up voor je iets groots doet: een grote update, een nieuwe header, een hoop pagina’s verwijderen. Een back-up die je niet hebt, kan je ook niet terugzetten.
Opdracht: beveilig je eigen site
- Installeer een wachtwoordbeheerder (bv. Bitwarden) of gebruik die van je browser. Laat WordPress in je profiel een nieuw, sterk wachtwoord maken, bewaar het in je wachtwoordbeheerder en klik op Profiel bijwerken. Log uit en weer in om te testen.
- Open Limit Login Attempts en sluit het welkomstvenster. Noteer hoeveel mislukte pogingen er de laatste 24 uur waren en hoeveel pogingen je krijgt voor je buitengesloten wordt.
- Ga naar Dashboard → Updates en noteer de huidige WordPress-versie en of er plugins wachten op een update. Controleer op de pluginpagina dat de auto-updates overal aanstaan.
- Open Tools → Websitediagnose. Noteer de kritieke problemen en aanbevolen verbeteringen, en schrijf er telkens bij of je er iets aan moet doen of dat het normaal is op je oefensite.
- Kijk de gebruikerslijst na: hoeveel beheerders zijn er? Moet een docent of medestudent meewerken, maak dan een account met de rol Redacteur in plaats van je wachtwoord te delen.
Veelgestelde vragen
Ik ben buitengesloten na te veel foute pogingen. Wat nu?
Wacht 20 minuten en probeer opnieuw, liefst via “Je wachtwoord vergeten?”. Na herhaalde uitsluitingen kan het 24 uur duren; vraag dan je docent om hulp.
Moet ik zelf elke dag op “bijwerken” klikken?
Nee, de automatische updates staan aan. Je kijkt enkel af en toe of er geen updates blijven hangen en of je site na een update nog goed werkt.
Ik vond een gratis versie van een betalend thema. Mag ik dat gebruiken?
Nee. Zulke “nulled” thema’s en plugins bevatten bijna altijd kwaadaardige code, en ze gebruiken is illegaal. Alles wat je nodig hebt, staat al op je site.
Waarom zegt de Websitediagnose dat zoekmachines ontmoedigd worden?
Dat is de bewuste instelling van je oefensite: Google mag ze niet opnemen. Daar hoef je niets aan te doen.
Mag ik Disable XML-RPC uitschakelen?
Nee. Je hebt XML-RPC voor deze cursus niet nodig, en uitgeschakeld is je site beter beschermd.
Samengevat
- Gebruik een lang, willekeurig en uniek wachtwoord en bewaar het in een wachtwoordbeheerder.
- Limit Login Attempts Reloaded sluit na 4 foute pogingen 20 minuten uit; sluit het welkomstvenster en laat de instellingen staan.
- XML-RPC staat bewust uit: het is een oude, vaak misbruikte toegangsweg.
- Automatische updates staan aan; jij controleert of er niets blijft hangen en of je site na een update nog werkt.
- Installeer geen plugins of thema’s van buiten, en nooit “nulled” versies.
- Geef zo weinig mogelijk mensen de rol Beheerder.
- Maak een back-up voor elke grote wijziging (hoofdstuk 10).