Een website bouwen is één ding, hem veilig en snel houden is iets anders. Vooral bij WordPress, waar de meeste websites draaien op een combinatie van het CMS zelf, een thema en een handvol plug-ins van verschillende makers. Elk onderdeel krijgt updates, en elk onderdeel dat je niet bijhoudt, kan een zwakke plek worden.
Updates van WordPress zelf
WordPress brengt regelmatig kleine onderhouds- en beveiligingsupdates uit, en een paar keer per jaar een grote versie. Kleine beveiligingsupdates installeert WordPress standaard automatisch. Grote versies kun je beter eerst testen, omdat een thema of plug-in er soms nog niet klaar voor is.
Plug-ins en thema’s
De meeste hacks van WordPress-sites lopen niet via WordPress zelf, maar via een plug-in of thema met een bekend lek. Daarom:
- Houd plug-ins en thema’s bij, en installeer beveiligingsupdates zo snel mogelijk.
- Verwijder wat je niet gebruikt. Een uitgeschakelde plug-in staat nog steeds op de server en kan nog steeds een lek bevatten.
- Let op verlaten plug-ins. Krijgt een plug-in al lange tijd geen updates meer, zoek dan een alternatief dat wel wordt onderhouden.
- Gebruik geen gekraakte premium-plug-ins. Die bevatten vaak verborgen achterdeurtjes.
De PHP-versie
WordPress draait op PHP, en ook PHP-versies hebben een einddatum. Na die datum komen er geen beveiligingsupdates meer. Een oude PHP-versie is daarnaast vaak trager. Controleer in je hostingpaneel welke versie je gebruikt en plan een overstap ruim voor de einddatum (zie beveiligingssupport voor PHP 8.2 stopt). Test de site na een overstap, want oudere plug-ins werken niet altijd met een nieuwe PHP-versie.
Back-ups
Een update kan misgaan. Zorg daarom dat er een recente back-up is van zowel de bestanden als de database, en dat je weet hoe je die terugzet. Bewaar ten minste één kopie buiten de server zelf (zie de 3-2-1-regel voor back-ups). Een back-up die je nooit hebt teruggezet, is een back-up waarvan je niet weet of hij werkt.
Beveiliging van het beheer
- Geef elke beheerder een eigen account met een sterk wachtwoord, en zet tweestapsverificatie aan.
- Geef mensen niet meer rechten dan ze nodig hebben: een redacteur hoeft geen beheerder te zijn.
- Ruim accounts op van mensen die niet meer aan de site werken.
Een praktisch ritme
| Wat | Hoe vaak |
|---|---|
| Beveiligingsupdates van WordPress, plug-ins en thema’s | Zodra ze uitkomen |
| Overige updates | Elke paar weken, na een back-up |
| Back-up controleren en proefterugzetten | Elk kwartaal |
| Plug-ins en accounts opruimen | Elk halfjaar |
| PHP-versie controleren | Elk jaar, en ruim voor de einddatum |
Kijk ook na een update even rond
Werkt het contactformulier nog, kun je nog afrekenen in de webshop, en ziet de homepage er nog goed uit? Een korte controle na elke update voorkomt dat een probleem weken onopgemerkt blijft.
Geen tijd of zin om dit zelf bij te houden? Met websitebeheer nemen wij de updates, back-ups en beveiliging van je website over.