Website beveiligen: checklist voor ondernemers

Waarom zou iemand mijn website hacken?

Veel ondernemers denken: mijn site is te klein om interessant te zijn. Maar hackers kiezen zelden een bedrijf uit. Ze laten programma's het internet afzoeken naar sites met een verouderde plug-in of een zwak wachtwoord. Elke site die zo'n lek heeft, is een doelwit.

Een gehackte site wordt vaak misbruikt voor dingen die je zelf niet direct ziet:

• Spam versturen vanaf jouw server of e-mailadres.
• Bezoekers doorsturen naar nepwinkels of oplichterssites.
• Verborgen links plaatsen om andere sites hoger in Google te krijgen.
• Gegevens uit formulieren of klantaccounts stelen.
• Je site onbereikbaar maken en losgeld vragen.

Gevolgen zijn een waarschuwing in Google, een geblokkeerd e-mailadres, verlies van vertrouwen bij klanten en soms een datalek dat je moet melden.

De grootste risico's voor je website

• Verouderde software. Het systeem, het thema of een plug-in heeft een bekend lek dat al is opgelost in een nieuwere versie.
• Zwakke of hergebruikte wachtwoorden voor de beheeromgeving, hosting of het e-mailaccount.
• Te veel mensen met beheerrechten, ook oud-medewerkers of vroegere bouwers.
• Plug-ins die niet meer worden bijgewerkt door de maker.
• Formulieren zonder bescherming tegen spam en misbruik.
• Geen back-ups, of back-ups die op dezelfde server staan als de site.

Checklist: zo beveilig je je website

Loop deze lijst langs. Veel punten kun je zelf regelen of in een paar minuten navragen bij je bouwer of hostingpartij.

• Houd het systeem, het thema en alle plug-ins up-to-date. Installeer beveiligingsupdates zo snel mogelijk.
• Verwijder plug-ins en thema's die je niet gebruikt. Ook uitgeschakelde plug-ins kunnen een risico zijn.
• Gebruik voor elk account een lang, uniek wachtwoord. Een wachtwoordmanager helpt daarbij.
• Zet tweestapsverificatie aan op je beheeromgeving, hosting, domeinnaam en e-mail. Dan heb je naast je wachtwoord ook een code van je telefoon nodig.
• Geef alleen beheerrechten aan wie ze echt nodig heeft, en verwijder oude accounts.
• Zorg voor een SSL-certificaat, zodat je site via https werkt. Dat is het slotje in de adresbalk.
• Maak automatische back-ups en bewaar ze op een andere plek dan de server.
• Bescherm formulieren tegen spam, bijvoorbeeld met een onzichtbaar controleveld.
• Beperk het aantal inlogpogingen, zodat niemand eindeloos wachtwoorden kan uitproberen.
• Kies hosting die serieus werk maakt van beveiliging en updates van de server.

WordPress beveiligen: extra aandachtspunten

WordPress wordt veel gebruikt, en is daardoor een populair doelwit. Het systeem zelf is niet onveilig, maar de grote hoeveelheid plug-ins en thema's maakt het kwetsbaar als het onderhoud achterblijft.

• Kies plug-ins van makers die ze actief bijhouden. Kijk wanneer de laatste update was.
• Gebruik geen gekraakte of "gratis" versies van betaalde thema's en plug-ins. Daar zit vaak kwaadaardige code in.
• Gebruik een andere gebruikersnaam dan "admin".
• Zet automatische updates aan voor kleine beveiligingsupdates, maar test grote updates eerst.

Heb je veel plug-ins nodig om je site te laten werken? Dan is het de moeite waard om eens te kijken naar WordPress of maatwerk website. Een site op maat heeft minder onderdelen van derden en dus minder ingangen voor aanvallers.

Website beveiliging en de AVG

Verzamel je persoonsgegevens via je site, bijvoorbeeld via een contactformulier, een klantportaal of een bestelling? Dan valt dat onder de AVG, de Europese privacywet. Die vraagt dat je passende maatregelen neemt om die gegevens te beschermen.

Gaat het toch mis en lekken er persoonsgegevens uit, dan kan het zijn dat je dat moet melden bij de Autoriteit Persoonsgegevens. Wat in jouw situatie precies geldt, kun je het best navragen bij een jurist of bij de Autoriteit Persoonsgegevens zelf. Praktisch advies: verzamel niet meer gegevens dan je nodig hebt, en bewaar ze niet langer dan nodig. Wat je niet hebt, kan ook niet lekken.

Wat doe je als je website gehackt is?

Merk je vreemde pagina's, doorverwijzingen of een waarschuwing van Google? Blijf rustig en werk in deze volgorde:

• Neem contact op met je bouwer of hostingpartij en meld wat je ziet.
• Verander direct alle wachtwoorden: beheeromgeving, hosting, database, e-mail en domeinnaam.
• Zet een schone back-up terug van vóór de hack, als die er is.
• Zoek uit hoe de aanvaller binnenkwam en dicht dat lek, anders gebeurt het opnieuw.
• Controleer in Google Search Console of Google waarschuwingen geeft, en vraag na het opschonen een nieuwe controle aan.
• Ga na of er persoonsgegevens gelekt kunnen zijn en wat je dan moet doen.

Beter is natuurlijk voorkomen. Goed en regelmatig website onderhoud is de beste bescherming die er is.

Een veilige website met Violexa

Bij Violexa bouwen we websites op maat met zo min mogelijk onderdelen van derden. Dat maakt een site sneller en geeft aanvallers minder ingangen. Formulieren krijgen bescherming tegen spam, en de site draait standaard via https.

Na de livegang kun je het technische onderhoud bij ons onderbrengen. We hebben drie pakketten: Silver voor €179 (€217 incl. btw), Gold voor €299 (€362 incl. btw) en Platinum voor €699 (€846 incl. btw) per maand, excl. btw. De eerste 12 maanden lopen vast, daarna is het per maand opzegbaar per e-mail met een maand opzegtermijn. Een nieuwe website op maat begint bij €1.799 excl. btw (€2.177 incl. btw). Meer over onze aanpak lees je bij websites en apps.

Wil je weten hoe veilig jouw site is? Plan een gratis quickscan. In 30 minuten, online of op locatie, kijken we samen naar je site. Daarna krijg je een kort schriftelijk advies met een prijsindicatie, zonder verplichtingen.

Veelgestelde vragen