Veiligheid: Hoe bescherm je je website tegen hackers
Natuurlijk is iedere ketting zo sterk als de zwakste schakel en in de hele ‘WordPress veiligheids keten’ is meestal de zwakste schakel goed te benoemen: Dan ben jij!
Veiligheid is namelijk vooral een zaak van menselijk handelen… en het grootste zwakke punt is vaak de inlog op de website zelf. In mijn artikel van vandaag wil ik samen met jou eens kijken, hoe we dit punt kunnen verbeteren.
Sterke wachtwoorden
Eén groot voordeel met betrekking tot de veiligheid van de nieuwere versies van WordPress is, dat je verplicht bent geworden een ‘sterk’ wachtwoord te kiezen. En ik moet eerlijk zeggen, dat de definitie van ‘Sterk’ mij soms verbaast. Sommige random groeperingen van letters, leestekens en cijfers worden geweigerd, terwijl andere zaken die ik persoonlijk ‘zwak’ zou noemen worden afgekeurd. Maar en grosso modo is het wachtwoord in ieder geval een stuk veiliger geworden.
Maar als een wachtwoord zo complex is geworden, waar sla je het dan op? Hoe wil je het onthouden? Een documentje op je laptop is natuurlijk leuk, maar wat als je achter een andere computer zit? Of wat wanneer je laptop wordt gestolen? Online diensten zoals ‘Lastpass’ zijn natuurlijk leuk, maar wat als er daar wordt ingebroken?
Het antwoord hierop is eigenlijk best eenvoudig. Word biedt de mogelijkheid om documenten te beveiligen met een wachtwoord. Beveilig je document met wachtwoorden met… een wachtwoord en sla het op op een USB stick. Deze stick heb je altijd bij je. Daarnaast -de techniek kan altijd falen- heb je een kopie van dit document op een tweede stick ergens in veiligheid opgeborgen bij jou thuis.
Voor zover over veilige wachtwoorden. Maar zelfs een veilig wachtwoord is met bruut geweld te ‘raden’. Wat kunnen we nog meer doen, om de inlog op onze WordPress website veiliger te maken?
Limit Login Attempts
In een grijs verleden heb ik al eens de plugin ‘Limit Login Attempts‘ besproken. Het hacken met ‘bruut geweld’ kan incidenteel resultaten opleveren, vooral wanneer je gebruik maakt van een ‘onveilig’ wachtwoord. ‘Brute force’ aanvallen beginnen namelijk niet met ‘aaaaaaaaaaaa’ en werken zo langzaam het alfabet -en verwante leestekens- af, maar beginnen met woordenboek woorden -eventueel gevolgd door cijfercombinaties- en dat in volgorde van het meest frequente voorkomen. Want vergis je niet: Er bestaan lijsten van de meest voorkomende wachtwoorden. ‘secret’ gevolgd door enkele cijfers is bijvoorbeeld een heel populaire!
IP Filters
Er zijn diverse plugins, waarmee je kunt filteren op IP adres. Je kunt op deze manier bepaalde IP adressen blokkeren of – nog interessanter – uitsluitend toegang geven via bepaalde IP adressen voor de inlog op je website. Restricted Site Access is hier een goed voorbeeld van. Nadeel is natuurlijk dat dit voor een webwinkel, forum of andere site waar ook gebruikers op in moeten loggen niet wil werken.
Two way authentication
Het idee achter two way authentication is even eenvoudig als geniaal: Je wachtwoord is op zich niet voldoende om in te loggen. Zodra je bent ingelogd, krijg je per email, SMS of via een speciale app een extra code -en deze is uniek- die je nodig hebt om in te kunnen loggen. Zelfs iemand die jouw password kent, maar niet over jouw telefoon of de toegang tot je email beschikt, kan onmogelijk op jouw website inloggen.
De plugin hiervoor van Mini Orange is denk ik wel degene met de meeste mogelijkheden: Je kunt hier kiezen of je je autenticatie wilt uitbreiden via email, Google Authenticator of één van de andere authenticatiediensten die door de plugin worden ondersteund. Je maakt de inlog complexer, maar wint hier aan veiligheid!
Nog meer weten?
Aan het einde van de zomervakantie komt er een serie online cursussen van WordXPression beschikbaar. In één van deze cursussen wordt uitgebreid ingegaan op de beveiliging van je website. Wil je zeker weten, dat je deze cursus niet zal missen, schrijf je in voor de nieuwsbrief!
