Het up to date houden van WordPress thema’s en plugins is erg belangrijk om de veilgheid van bezoekers en de server te waarborgen. Wij kunnen dit voor je uit handen nemen met onze WordPress technisch onderhoud service.

Goedkope aanbiedingen van thema en plugins zijn meestal niet veilig. Met deze thema’s of plugins is vaak geknoeid en kunnen een website onveiliger maken. Soms ontvang je voor deze plugins en thema’s ook geen updates.

Download deze alleen uit betrouwbare bronnen zoals themeforest en dergelijke. Of direct bij de grote thema makers vandaan zoals Avada, Flatsome of Enfold et cetera.

Zorg er voor dat alle gebruikers goede veilige wachtwoorden gebruiken.

Een 2 factor optie op de login is onmisbaar. Deze maakt gebruikt van een eenmalige code per email of een authenticator code, zoals bijvoorbeeld van de Aegis app.

Standaard wil WordPress een beheerder met gebruikersnaam ‘admin’ aanmaken. Verander deze altijd in iets anders.

Heb je een eigen vast ip adres dan is het aan te raden om de toegang tot wp-admin alleen open te zetten voor dit ip adres. Is dit niet mogelijk dan is een extra basic authenticatie op de wp-login.php en /wp-admin/ ook een optie. En gebruik altijd de eerder genoemde 2FA oplossing voor alle logins. Wij hebben hiervoor een gratis script (mu-plugin)die dit forceert voor alle gebruikers.

Vul altijd de beveiligingssleutels in wp-config.php in! Vaak worden deze vergeten. Je kunt deze hier online eenvoudig genereren en in wp-config.php plakken.

WordPress debug logging staat standaard uit. Het is verstandig altijd even te controleren of in de wp-config.php er geen vermelding staat van WP_DEBUG. Gebruik je debug logging naar een bestand zorg dan dat dit pad staat ingesteld met een pad buiten de website publieke map. Hiervoor kun je de optie WP_DEBUG_LOG gebruiken.

Als je XMLRPC niet gebruikt dan is het afsluiten hiervan aan te raden. Gebruik hiervoor bijvoorbeeld de plugin Disable XML-RPC pingback. Of de code zoals beschreven in dit blog bericht bij punt 5.

Voor het beheren van de WordPress REST API toegang kun je de plugin Disable Rest Api gebruiken. Je kan dan beter de toegang beheren voor plugins die toegang nodig hebben. Via de REST API is het standaard namelijk mogelijk allerlei informatie op te vragen over gebruikers en plugins. Met de eerder genoemde plugin kun je precies bepalen wat er wel en niet beschikbaar is via de rest-api.

Het uitlezen van de WordPress versie helpt een hacker om snel te zien of je een verouderde versie van WordPress gebruikt. Je kan deze eenvoudig uitschakelen door de volgende code toe te voegen via bijvoorbeeld een plugin als code snippets.

WordPress voegt ook het versie nummer toe in de url van js en css bestanden, om dit uit te zetten plaats je de volgende code in jouw thema functions.php of via een code snippet plugin.

Gebruik je een plugin als Autoptimize? En dat is zeker aan te raden. Dan heb je geen probleem met versie nummers in de css en js urls.

Als je geen blog website hebt en dus geen auteurs informatie wilt delen kun je deze ook beter verbergen. De auteurs info pagina verbergen kun je op 2 manieren doen:

1. Voeg de volgende snippet toe aan jouw .htaccess bestand.

2. Of je kan ook een author.php bestand toevoegen aan jouw child thema met de volgende code:

Je kan de security headers toevoegen via een plugin of via het .htaccess bestand. De belangrijkste headers om toe te voegen zijn: strict-transport-security, x-content-type en x-frame-options.

Test jouw huidige headers en score hier (https://securityheaders.com/). Tip: Vink wel even ‘hide results’ aan anders wordt de website zichtbaar in de lijstjes onder het zoek venster.

In WordPress staat standaard de optie aan om de code van sommige bestanden te bewerken. Mocht een hacker admin toegang krijgen tot de website dan is dit een veiligheids risico. Dit is eenvoudig uit te schakelen via een aanpassing in wp-config.php.

Direct boven de regel /* That’s all, stop editing! Happy blogging. */, kun je de volgende code toevoegen:

Een goede en veilige hosting is meestal niet de goedkoopste oplossing, maar wel de beste. Naast de hogere veiligheids standaard is er vaak ook een aanemelijk winst in snelheid op een dergelijke hosting. Onze snelle WordPress hosting is dan ook de beste keuze.

Gebruik op bijvoorbeeld de MYSQL database gebruiker de laagst mogelijke rechten die WordPress nodig heeft om nog goed te blijven werken. Dit beperkt het risico bij een eventuele SQL injection via een WordPress plugin.

Het up to date houden van WordPress core is erg belangrijk. Wij kunnen dit voor je uit handen nemen met onze WordPress technisch onderhoud service.

Bezoekt je een website via HTTPS (HTTP over TLS), dan worden de HTTP verzoeken en reacties versleuteld door gebruik te maken van een tls/ssl certificaat en kunnen niet worden onderschept of gewijzigd door een aanvaller.

Huidige hosting partijen bieden vrijwel altijd de mogelijkheid tot een gratis certificaat via bijvoorbeeld een Lets Encrypt certificaat. Bij onze hosting pakketten is dit ook standaard al geregeld.

Het inschakelen hiervan is redelijk eenvoudig, al kan het omschakelen van eerder gebruikte HTTP naar HTTPS wel wat ingewikkelder zijn doordat de interne url’s nog het http protocol gebruiken. Hiervoor kun je een plugin gebruiken als bijvoorbeeld Really Simpel SSL, maar beter is het om dit zonder pluging te laten aanpassen door een WordPress specialist. Wij helpen je hier graag mee.