WordPress beveiliging voor doe-het-zelvers

Doe jij alles om je WordPress site te beveiligen? Ik heb het de laatste tijd alweer een paar keer meegemaakt in m’n omgeving dat websites gehackt werden. Je denkt misschien dat dat jou niet overkomt. Waarom zou iemand jouw site nou willen hacken? Maar het gebeurt toch echt!

WordPress is van zichzelf niet perse een kwetsbaar systeem, maar omdat het zo ontzettend veel gebruikt wordt is het een gewilde prooi voor hackers en andere cybercriminelen. Veiligheid is dus (jammergenoeg) iets waar je echt altijd goed op moet letten.

Drie mogelijkheden om je nieuwe site veiliger te maken

Bij een verse WordPress installatie heb je meteen al drie kansen om iets aan veiligheidsmaatregelen te doen.  De eerste daarvan ga ik je nu laten zien, de andere twee in m’n stukje over veilige inloggegevens →

Vóór het uploaden en installeren van WordPress op je webserver heb je de gegevens van je database ingevoerd in het bestand wp-config. Op zich is dit genoeg om de installatie uit te voeren. Maar… er staat nog meer in dat bestand dat je zou kunnen aanpassen. Toen ik net begon met WordPress had ik daar geen benul van en sloeg ik dat soort dingen meteen over. Gelukkig heb ik sindsdien heel veel bijgeleerd (ook door schade en schande!).

Maar goed, na het gedeelte met de database gegevens zie je deze cryptische tekst in het bestand staan:

/**#@+
 * Authentication Unique Keys and Salts.
 *
 * Change these to different unique phrases!
 * You can generate these using the {@link https://api.wordpress.org/secret-key/1.1/salt/ WordPress.org secret-key service}
 * You can change these at any point in time to invalidate all existing cookies. This will force all users to have to log in again.
 *
 * @since 2.6.0
 */
define('AUTH_KEY',         'put your unique phrase here');
define('SECURE_AUTH_KEY',  'put your unique phrase here');
define('LOGGED_IN_KEY',    'put your unique phrase here');
define('NONCE_KEY',        'put your unique phrase here');
define('AUTH_SALT',        'put your unique phrase here');
define('SECURE_AUTH_SALT', 'put your unique phrase here');
define('LOGGED_IN_SALT',   'put your unique phrase here');
define('NONCE_SALT',       'put your unique phrase here');

Dit zijn zogeheten Secret Keys die samen een extra laag van versleuteling aanbrengen bovenop jouw inloggegevens. Die keys moeten dan wel ingevuld worden met lange, willekeurige en vooral unieke combinaties van karakters.

Hoe kom je daar nou aan? Je hoeft dat niet zelf te gaan zitten bedenken, WordPress heeft daar een service voor, om speciaal voor jou een setje hele lange, unieke codes te genereren. Kopieer en plak deze link in je webbrowser: https://api.wordpress.org/secret-key/1.1/salt/ (of in dit geval kun je er natuurlijk gewoon op klikken). Je krijgt dan zoiets als dit te zien:

Je kopieert nu gewoon dat hele stuk tekst en vervangt hiermee die acht regels in jouw wp-config:

Heb jij dit bij de installatie van je site(s) overgeslagen?

Doe het dan alsnog! Je kunt dat gewoon in een bestaande site doen, alleen even uitloggen ondertussen.*

Geheugenopfrisser: open wp-config.php in het kladblok of een andere code editor (maar niet in Dreamweaver!)**. Heb je het bestand niet (meer) op je eigen computer, download wp-config.php dan van je eigen site via een FTP programma.Volg bovengenoemde stappen, opslaan, uploaden en klaar ben je.

Kun je of durf je dit soort dingen helemaal niet zelf, probeer het dan toch!
(Of vraag je webbouwer om dit te checken en zonodig aan te passen.)

* Voor alle zekerheid: bij dit soort aanpassingen aan je site zorg je altijd eerst voor een backup →

** Notepad++ is een fijne code editor of zie www.hongkiat.com/blog/free-code-editors-reviewed/

Dit is deel 1 van een serie over WordPress en veiligheid

Deel 2 – Inloggegevens →