Hoe beveilig je de WordPress-login? Met vier maatregelen: sterke, unieke wachtwoorden, tweestapsverificatie, een limiet op het aantal inlogpogingen en geen gebruiker met de naam admin. Samen houden ze het overgrote deel van de inlogaanvallen tegen. En die aanvallen zijn er, ook op kleine sites.

Wat betekent dit voor jou?

Iemand die je wachtwoord raadt, kan je hele site overnemen. Twee dingen kun je vandaag zelf regelen: een sterk, uniek wachtwoord en tweestapsverificatie met een app op je telefoon. De andere maatregelen vraag je aan je bouwer of beheerder, met deze lijst in de hand.

Je site wordt elke dag geprobeerd

Bijna elke WordPress-site heeft een inlogpagina op hetzelfde adres: /wp-login.php of /wp-admin. Dat weten aanvallers ook. Scripts proberen daar dag en nacht combinaties van gebruikersnamen en wachtwoorden uit, op duizenden sites tegelijk.

Hoe vaak dat gebeurt, zie je pas als je het meet. Bij een kleine site die ik onlangs bekeek, had de beveiligingsplugin in een paar jaar ruim 58.000 mislukte inlogpogingen geregistreerd. Dat is geen uitzondering, dat is normaal. WordPress beschrijft deze aanvallen ook in zijn eigen handleiding over brute-force-aanvallen.

Maatregel 1: sterke en unieke wachtwoorden

Een aanvaller begint met de makkelijkste combinaties en met wachtwoorden die bij andere lekken op straat zijn komen te liggen. Gebruik daarom voor je WordPress-account een lang wachtwoord dat je nergens anders gebruikt. Een wachtwoordmanager maakt dat makkelijk, ook als je met meerdere mensen inlogt.

Maatregel 2: tweestapsverificatie

Met tweestapsverificatie heb je naast je wachtwoord ook een code nodig, bijvoorbeeld uit een app op je telefoon. Een gelekt wachtwoord is dan niet genoeg om binnen te komen. WordPress heeft dit niet standaard aan boord, maar er is een officiële plugin van het WordPress-team zelf: Two Factor. Ook veel beveiligingsplugins bieden het.

Zet het aan voor iedereen met een beheerdersaccount. Voor redacteuren die alleen berichten schrijven, is het ook verstandig.

Maatregel 3: een limiet op inlogpogingen

Als na een paar foute pogingen het adres van de aanvaller een tijdje wordt geblokkeerd, wordt raden heel traag. Dat kan met een plugin, met de firewall van je beveiligingsplugin of bij sommige hosters op de server zelf. Vraag je hoster wat die al doet, zodat je niet twee dingen dubbel instelt.

Maatregel 4: geen gebruiker die admin heet

Vroeger maakte WordPress bij de installatie automatisch een gebruiker met de naam admin aan. Veel oude sites hebben die nog. Het is het eerste wat een aanvaller probeert. Maak een nieuwe beheerder aan met een eigen naam, log daarmee in en verwijder de oude gebruiker. WordPress vraagt dan aan wie de berichten van die gebruiker moeten worden toegewezen.

Let ook op of je gebruikersnamen niet zomaar op te vragen zijn. Bij veel WordPress-sites lukt dat via een standaardadres. De gratis websitecheck is een eerste blik op wat er van buiten zichtbaar is; met toestemming kijk ik ook dit punt na.

Nog een paar kleine dingen

  • Gebruik altijd https, ook voor de inlogpagina.
  • Zet XML-RPC uit als je het niet gebruikt. Het is een tweede ingang die vaak voor inlogaanvallen wordt gebruikt.
  • Geef niet iedereen beheerdersrechten. Een redacteur of auteur kan vaak prima met minder.
  • Verwijder accounts van mensen die niet meer voor je werken, ook van je oude websitebouwer.

Veelgestelde vragen

Is het verplaatsen van de inlogpagina zinvol?

Het helpt een beetje tegen automatische scripts, maar het is geen echte beveiliging. Tweestapsverificatie en een limiet op inlogpogingen doen veel meer.

Wat als ik mijn tweestapscode kwijt ben?

Bewaar de herstelcodes die je bij het instellen krijgt op een veilige plek, bijvoorbeeld in je wachtwoordmanager. Een beheerder kan het anders ook voor je resetten.

Kunnen klanten die inloggen in mijn webshop dit ook gebruiken?

Ja, maar daar weeg je gebruiksgemak en veiligheid anders af. Begin in elk geval bij de beheerders.

Regel jij dit voor me?

Ja. Bij sites die ik onderhoud, staan tweestapsverificatie en een inloglimiet standaard aan, en ik ruim oude accounts op. Lees ook waarom je WordPress-thema geen updates meer krijgt, want een oud thema is vaak de volgende zwakke plek.