Wie kan er inloggen op je WordPress-site? Bij de meeste sites die ik bekijk, zijn dat meer mensen dan de eigenaar denkt. Oud-medewerkers, de bouwer van jaren geleden, een stagiair die ooit een blog schreef en een account met de naam admin waarvan niemand meer het wachtwoord weet. Elk van die accounts is een sleutel die nog werkt.
Waarom oude accounts een risico zijn
Een account van iemand die niet meer bij je bedrijf werkt, wordt niet meer gebruikt en dus ook niet meer bewaakt. Het wachtwoord is vaak oud, misschien ook gebruikt op andere sites en mogelijk al eens uitgelekt. Logt een aanvaller daarmee in, dan valt dat niemand op.
Dat geldt niet alleen voor WordPress zelf. Ook je hostingpaneel, je domeinbeheer en je mailomgeving hebben accounts. En wie bij je domeinbeheer kan, kan in principe je hele website en je mail omleiden.
Loop deze vier plekken langs
- WordPress: onder Gebruikers zie je alle accounts en de rol van elk account.
- Je hostingpaneel: wie heeft de inloggegevens? Staat het account op jouw naam of op die van je oude bouwer?
- Je domeinnaam: bij welke partij staat hij geregistreerd, en op wiens naam?
- Je mail: wie is beheerder van je Microsoft 365- of Google Workspace-omgeving?
Het komt geregeld voor dat het hostingpakket of de domeinnaam nog op naam van de vorige websitebouwer staat. Zolang alles goed gaat, merk je daar niets van. Maar als die partij stopt of onbereikbaar is, kun je soms niet meer bij je eigen site.
Een voorbeeld dat ik geregeld zie: een praktijk met een paar collega's en een secretaresse die allemaal met hetzelfde beheerdersaccount inloggen om af en toe een tekst of de vakantiedata aan te passen. Niemand weet meer wie het wachtwoord heeft, en als iemand vertrekt, verandert er niets. Een eigen account per persoon, met de rol redacteur, lost dat in een kwartier op.
De juiste rol voor iedereen
WordPress kent verschillende rollen, elk met eigen rechten. In de documentatie over rollen staat precies wat elke rol mag. Kort samengevat:
- Beheerder: mag alles, ook plugins installeren en gebruikers aanmaken.
- Redacteur: mag alle pagina's en berichten beheren, maar niet aan plugins of instellingen komen.
- Auteur: mag eigen berichten schrijven en publiceren.
- Bijdrager: mag berichten schrijven, maar niet publiceren.
De meeste mensen die alleen teksten bijwerken, hebben genoeg aan redacteur of auteur. Hoe minder beheerders, hoe minder schade een gestolen wachtwoord kan doen.
Zo ruim je op
- Maak een lijst van alle accounts, in WordPress en daarbuiten.
- Verwijder accounts van mensen die niet meer betrokken zijn. WordPress vraagt dan aan wie hun berichten moeten worden toegewezen.
- Geef iedereen een eigen account. Een gedeeld account weet niet wie wat heeft gedaan.
- Zet tweestapsverificatie aan voor alle beheerders.
- Zorg dat hosting en domein op naam van je eigen bedrijf staan, met je eigen e-mailadres.
Als je een bouwer of beheerder inschakelt
Geef een websitebouwer of beheerder een eigen account in plaats van je eigen wachtwoord. Dan kun je dat account later gewoon weer weghalen. Deel wachtwoorden niet via mail of WhatsApp, maar via een wachtwoordmanager of een eenmalige deellink.
Veelgestelde vragen
Wat als ik niet weet van wie een account is?
Kijk naar het e-mailadres en de datum van de laatste activiteit, als je beveiligingsplugin die bijhoudt. Twijfel je, zet het account dan eerst op de laagste rol en verwijder het later.
Mijn domein staat op naam van mijn oude bouwer. Is dat erg?
Het is een risico. Vraag om een verhuizing naar je eigen account. Dat is meestal in een dag geregeld.
Hoe beveilig ik de accounts die overblijven?
Met sterke, unieke wachtwoorden en tweestapsverificatie. Lees daarover meer in hoe je de WordPress-login beveiligt.
Kun jij dit nalopen?
Ja. Bij een veiligheidscheck loop ik alle accounts na, in WordPress, hosting, domein en mail. Je krijgt een lijst met wat weg kan en wat op jouw naam moet. Begin eventueel met de gratis mailcheck voor je domein.