Het advies om je website tegen hackers te beschermen wordt vaak gepresenteerd als een lange checklist. Het probleem is dat niet elk punt op die lijst even zwaar weegt. Een klein aantal maatregelen dekt de meeste aanvalsroutes die tot echte inbraken leiden. Als je weet welke je voorrang geeft, is het verschil tussen echte beveiliging en schijnbeveiliging.
Aanvallen op websites zijn bijna helemaal geautomatiseerd. Scanners doorzoeken miljoenen sites tegelijk op bekende kwetsbaarheden in softwareversies, veelgebruikte wachtwoorden en openliggende configuratiebestanden. Een site hoeft niet veel verkeer te hebben of bekend te zijn om doelwit te worden. Het is genoeg dat hij online staat en iets draait met een bekende fout. Voor de volledige context over wat er op het spel staat als deze maatregelen ontbreken, lees je het artikel over waarom websitebeveiliging belangrijk is.
Je website tegen hackers beschermen met sterke authenticatie
Aanvallen op inloggegevens zijn een van de meest gebruikte manieren waarop aanvallers toegang krijgen tot websites. Een sterk wachtwoord alleen is niet genoeg. Wat geautomatiseerde brute-force-tools echt tegenhoudt, is een sterk wachtwoord in combinatie met een limiet op pogingen en een tweede verificatiestap.
Sterke en unieke wachtwoorden
- Wachtwoorden van beheerdersaccounts moeten lang, willekeurig en uniek voor de site zijn. Gebruik ze nergens anders
- Korte wachtwoorden en wachtwoorden op basis van gewone woorden of patronen worden als eerste geprobeerd door geautomatiseerde brute-force-tools, die duizenden combinaties per minuut kunnen testen
- Een wachtwoordmanager maakt sterke inloggegevens aan en bewaart ze, zodat je ze niet hoeft te onthouden
Tweestapsverificatie
- Tweestapsverificatie vraagt bij het inloggen in het beheerpaneel om een tweede verificatiestap naast het wachtwoord
- Ook als een wachtwoord is gestolen via een datalek of phishing, voorkomt tweestapsverificatie dat de aanvaller het kan gebruiken zonder ook de tweede factor in handen te hebben
- Het aanzetten op elk beheerdersaccount is een van de ingrepen met de meeste impact voor websitebeveiliging
Limiet op inlogpogingen
- Brute-force-tools werken door in snel tempo duizenden wachtwoorden te proberen. Een limiet op het aantal mislukte inlogpogingen voordat een IP-adres wordt geblokkeerd, stopt deze aanpak
- Veel websiteplatforms hebben een limiet op inlogpogingen als ingebouwde instelling of via een beveiligingsextensie
Ongebruikte accounts verwijderen
- Elk actief beheerdersaccount met een zwak of hergebruikt wachtwoord is een mogelijke toegang
- Accounts die zijn gemaakt voor voormalige medewerkers, freelancers of ontwikkelaars moet je verwijderen zodra ze niet meer nodig zijn
Je website tegen hackers beschermen met goede softwarehygiëne
Verouderde software is de meest misbruikte categorie kwetsbaarheden bij websites. Wordt een beveiligingsfout gevonden en gedicht, dan worden de details meestal samen met de update gepubliceerd. Sites die nog de oude versie draaien, zijn dan een gedocumenteerd, bekend doelwit.
Voer updates door zodra ze beschikbaar zijn
- Updates van het websiteplatform, plugins, thema's en koppelingen moet je snel doorvoeren. Ze bevatten vaak beveiligingsfixes, en wachten laat bekende kwetsbaarheden open
- Updates waar mogelijk automatisch laten doorvoeren neemt het risico weg dat je een kritieke fix mist
Verwijder ongebruikte plugins en thema's
- Inactieve plugins en thema's die niet worden bijgewerkt, blijven kwetsbaar, ook als ze niet actief zijn op de site
- Ze verwijderen verkleint het aanvalsoppervlak zonder iets te veranderen aan de live site
Gebruik alleen software uit betrouwbare bronnen
- Plugins, thema's en extensies uit onofficiële bronnen zijn een veelgebruikt middel om malware te verspreiden
- Gebruik je alleen software uit de officiële marktplaats van het platform of van gerenommeerde, gevestigde ontwikkelaars, dan is de kans kleiner dat je code installeert die al besmet is
Hoe beschermt HTTPS je website?
Een SSL-certificaat en HTTPS zijn basisvereisten. Ze beschermen gegevens onderweg en laten zoekmachines zien dat de site aan de minimale beveiligingsnormen voldoet. Alle details over hoe je het instelt, vind je in het artikel over wat een SSL-certificaat is en hoe het werkt.
Wat HTTPS doet
- HTTPS versleutelt gegevens die bezoekers via formulieren, inlogpagina's en afrekenprocessen versturen, zodat ze niet leesbaar zijn als ze onderweg worden onderschept
- Het SSL-certificaat controleert ook de identiteit van de site, wat beschermt tegen sommige vormen van onderschepping en nabootsing
Wat HTTPS niet doet
- HTTPS voorkomt geen aanvallen op de site zelf. SQL-injectie, cross-site scripting, brute-force-inlogpogingen en het inbrengen van malware worden niet door HTTPS tegengehouden
- Het is één beschermingslaag en geen vervanging van de andere
Hoe helpt een webapplicatiefirewall?
Wat het doet
- Een webapplicatiefirewall staat tussen het inkomende verkeer en de website en controleert verzoeken voordat ze de server bereiken
- Hij filtert verzoeken eruit die passen bij bekende aanvalspatronen, zoals SQL-injectiepogingen, cross-site-scriptingpayloads en verkeer van bekende kwaadaardige bronnen
- Aanvallen die de server nooit bereiken, kunnen geen kwetsbaarheden in de code van de site misbruiken
Firewalls op netwerkniveau en op applicatieniveau
- Firewalls op netwerkniveau filteren verkeer op infrastructuurniveau voordat het de server bereikt. Die worden meestal geleverd door hostingbedrijven en CDN-providers
- Firewalls op applicatieniveau werken op siteniveau en kunnen specifieker bepalen welke verzoeken worden toegelaten, op basis van de inhoud en het gedrag van de site
- Beide typen hebben een ander doel en kunnen samen worden gebruikt
Waarom back-ups bij je website tegen hackers beschermen horen
Geen enkele beveiligingsmaatregel haalt alle risico weg. Komt er toch iets doorheen, dan bepaalt een schone back-up hoe snel je herstelt en hoeveel je verliest.
Wat back-ups doen dat preventie niet kan
- Ransomware-aanvallen die de bestanden van de site versleutelen, doen veel minder schade als er een recente schone back-up is. Terugzetten van een back-up haalt de hefboom van de aanvaller helemaal weg
- Een schone back-up geeft ook een gecontroleerd referentiepunt om mee te vergelijken als je wilt uitzoeken wat een aanvaller heeft veranderd
Wat een back-up nuttig maakt
- Back-ups moeten los van de server van de site worden bewaard. Een back-up op dezelfde server wordt bij een aanval samen met al het andere aangetast of versleuteld
- De frequentie van back-ups moet passen bij hoe vaak de site verandert. Een site die dagelijks wordt bijgewerkt, heeft dagelijkse back-ups nodig
- Testen of een back-up echt kan worden teruggezet, is net zo belangrijk als de back-up zelf. Een back-up die bij het terugzetten mislukt, is geen back-up
Een complete gids over het instellen en beheren van back-ups van je website vind je in het artikel over hoe je een back-up van je website maakt. Wat je moet doen als er al malware op je site staat, lees je in het artikel over wat website-malware is en hoe je het verwijdert.
Hoe WEMASY je website beschermt
De hostinginfrastructuur van WEMASY bevat firewallbescherming en DDoS-bescherming op netwerkniveau. SSL-certificaten zitten in elk abonnement en worden automatisch toegepast, zodat alle sites standaard via HTTPS worden geleverd. Software-updates worden op platformniveau beheerd, zodat de site-eigenaar het niet zelf hoeft bij te werken.
Back-ups zitten in alle abonnementen en worden automatisch beheerd, met herstelopties via het dashboard. Tweestapsverificatie is beschikbaar voor toegang tot je WEMASY-account, en inlogactiviteit wordt op platformniveau bewaakt.
Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijzenpagina.
Veelgestelde vragen
Hoe komen hackers op websites?
De meeste inbraken op websites gebeuren via drie routes: misbruik van bekende kwetsbaarheden in verouderde software, toegang via zwakke of gestolen beheerderswachtwoorden en het inbrengen van schadelijke code via kwetsbare plugins of scripts van derden. Geautomatiseerde tools scannen continu grote aantallen sites op deze kwetsbaarheden en misbruiken ze zonder dat iemand specifiek jouw site uitkiest. Door software up-to-date te houden en sterke, unieke beheerderswachtwoorden te gebruiken, dek je de meest voorkomende toegangspunten af. Met de Websitebouwer van WEMASY stel je dit direct op je eigen website in.
Wat is de belangrijkste stap om een website tegen hackers te beschermen?
Alle software up-to-date houden en sterke, unieke wachtwoorden met tweestapsverificatie op beheerdersaccounts gebruiken, dekken samen de meeste geslaagde aanvallen af. Software-updates dichten bekende kwetsbaarheden voordat aanvallers ze kunnen misbruiken. Sterke authenticatie voorkomt toegang via aanvallen op inloggegevens, ook als een wachtwoord elders is gelekt. Back-ups voorkomen aanvallen niet, maar beperken de schade als er een slaagt. Daarom horen ze bij elke complete beschermingsstrategie.
Heeft de grootte van een website invloed op het risico om gehackt te worden?
Nee. Aanvallen op websites zijn bijna helemaal geautomatiseerd. Scanners doorzoeken miljoenen sites op bekende kwetsbaarheden en zwakke inloggegevens, ongeacht de grootte, het verkeer of de branche van de site. Een kleine portfoliosite met verouderde software is net zo kwetsbaar als een groot platform met dezelfde kwetsbaarheid. De maatregelen die een site beschermen, zijn hetzelfde, ongeacht de omvang.
Wat is een webapplicatiefirewall en heb ik er een nodig?
Een webapplicatiefirewall filtert het inkomende verkeer naar de site en blokkeert verzoeken die passen bij bekende aanvalspatronen voordat ze de server bereiken. Hij kan automatisch SQL-injectiepogingen, cross-site-scriptingpayloads en verkeer van bekende kwaadaardige bronnen blokkeren. Of je een losse webapplicatiefirewall nodig hebt, hangt af van je hostingopzet. Veel hostingproviders leveren firewallbescherming op netwerkniveau mee, wat een flink deel van de geautomatiseerde aanvallen afhandelt zonder dat de site-eigenaar iets hoeft in te stellen.
Hoe vaak moet ik een back-up van mijn website maken?
De juiste back-upfrequentie hangt af van hoe vaak de inhoud van de site verandert. Een site die dagelijks nieuwe inhoud, bestellingen of inzendingen krijgt, heeft dagelijkse back-ups nodig. Een site die weinig verandert, kan minder vaak een back-up krijgen, maar moet toch een back-up hebben vóór elke belangrijke update of platformwijziging. Bewaar back-ups los van de server van de site en test ze regelmatig om te controleren of ze echt kunnen worden teruggezet.
Kan ik mijn website tegen hackers beschermen zonder technische kennis?
Ja. De maatregelen met de meeste impact vragen geen technische kennis. Een sterk, uniek wachtwoord op beheerdersaccounts, tweestapsverificatie en software-updates via de ingebouwde tools van het platform dekken de meeste gangbare aanvalsroutes af. Kies je een hostingprovider of websiteplatform dat firewallbescherming, SSL en automatische back-ups op platformniveau meelevert, dan is de beveiliging op infrastructuurniveau geregeld zonder dat je iets hoeft in te stellen.