Websitebeveiliging voor het mkb: 7 slimme stappen

Websitebeveiliging voor het mkb draait om zeven gewoonten: software bijwerken, unieke wachtwoorden in een wachtwoordmanager, tweestapsverificatie, back-ups buiten uw server, alleen de toegang geven die nodig is, SSL en beveiligingsheaders goed zetten en uw site in de gaten houden. U hebt er geen beveiligingsteam voor nodig. Samen stoppen ze de meeste aanvallen die in de praktijk voorkomen.

Waarom worden juist kleine bedrijfswebsites aangevallen?

Aanvallers kiezen zelden een bedrijf bij naam. Geautomatiseerde bots scannen het internet op bekende zwakke plekken, zoals een verouderde plug-in of een inlogpagina die eindeloos wachtwoorden laat proberen. Uw site wordt geraakt omdat hij een zwakte heeft, niet omdat hij van u is.

Dat is goed nieuws. U hoeft niemand te slim af te zijn. U moet de gebruikelijke deuren dichtdoen, en dat doen de zeven maatregelen hieronder.

1. Houd alles up-to-date

Verouderde software is de meest voorkomende manier waarop sites worden gehackt. Als de maker van een plug-in, thema of CMS een beveiligingslek dicht, is die oplossing openbaar. Bots zoeken daarna naar sites die hem nog niet hebben geïnstalleerd.

Werk uw CMS (WordPress, Joomla, Drupal), plug-ins, thema's en de PHP-versie van uw hosting bij. Verwijder plug-ins en thema's die u niet gebruikt, want ook inactieve code kan misbruikt worden. Maak vóór het updaten een back-up en kies een rustig moment, zodat u de site daarna kunt controleren.

Is er al iets stukgegaan door een update? Lees dan wat u doet als uw site kapot is na een update.

2. Gebruik unieke wachtwoorden en een wachtwoordmanager

Als één website zijn gebruikersdatabase lekt, proberen aanvallers dezelfde e-mail- en wachtwoordcombinaties bij andere diensten. Gebruikt u een wachtwoord dubbel, dan opent een lek elders uw beheeromgeving.

Een wachtwoordmanager maakt voor elk account een lang, willekeurig wachtwoord aan en onthoudt het: hosting, domeinregistratie, CMS, e-mail, betaalprovider. U onthoudt zelf één sterke wachtzin. Kies lang boven ingewikkeld, bijvoorbeeld vier of vijf losse woorden.

3. Zet tweestapsverificatie aan

Bij tweestapsverificatie (2FA) vraagt een dienst naast uw wachtwoord een tweede bewijs, meestal een code uit een authenticator-app of een beveiligingssleutel. Een gestolen wachtwoord is dan niet meer genoeg.

Begin bij de accounts die u overal buiten kunnen sluiten: uw e-mail, uw domeinregistratie en uw hosting. Voeg het daarna toe aan elk beheeraccount van uw CMS. Bewaar de herstelcodes op een veilige plek, offline.

4. Bewaar back-ups buiten uw server en test ze

Een back-up op dezelfde server als uw site verdwijnt mee wanneer die server uitvalt of wordt gehackt. Een goede back-up volgt de 3-2-1-regel: drie kopieën, op twee soorten opslag, waarvan één op een andere locatie.

Een back-up telt pas als u hem kunt terugzetten. Controleer een of twee keer per jaar of een recente back-up zowel de bestanden als de database bevat, en of iemand weet hoe hij terug te zetten is. Maak vóór elke grote wijziging een verse.

5. Geef mensen alleen de toegang die ze nodig hebben

Dit heet het principe van minimale rechten. Een freelance tekstschrijver moet berichten kunnen plaatsen, maar geen plug-ins kunnen installeren. Een oude login van een bureau dat u niet meer gebruikt is een open deur zodra een wachtwoord uitlekt.

• Maak een lijst van iedereen met een beheeraccount op uw site, hosting en domein
• Zet schrijvers en redacteuren op rollen zonder toegang tot plug-ins en thema's
• Verwijder accounts van oud-medewerkers en bureaus op de dag dat ze vertrekken
• Gebruik nooit "admin" als gebruikersnaam
• Gebruik een apart beheeraccount voor beheer en een gewoon account voor dagelijks werk

6. Controleer SSL en beveiligingsheaders

Een SSL/TLS-certificaat versleutelt het verkeer tussen bezoekers en uw site en toont het slotje. Zorg dat het automatisch vernieuwt en dat alle pagina's van http naar https doorsturen. Een verlopen certificaat jaagt bezoekers weg met een schermvullende browserwaarschuwing.

Beveiligingsheaders zijn korte instructies die uw server met elke pagina meestuurt. Vier ervan zijn het kennen waard:

Een content security policy is het krachtigst, maar ook het makkelijkst fout te zetten: een te strenge variant kan scripts breken waar u van afhangt. Test hem eerst op een kopie van de site.

7. Houd uw site in de gaten, zodat u het als eerste merkt

Veel gehackte sites blijven weken besmet omdat niemand kijkt. Zet uptime-monitoring op die u mailt of belt als de site offline is, meldingen voor het verlopen van certificaat en domein, en een regelmatige malwarescan. Kijk ook af en toe naar uw lijst met gebruikers, op zoek naar accounts die u niet kent.

Wat doet u eerst als u maar een uur hebt?

Doe dit in volgorde: maak een back-up, zet 2FA aan voor e-mail, hosting en CMS-beheer, installeer openstaande updates en verwijder ongebruikte plug-ins en gebruikers. Dat uur haalt de grootste risico's weg. De rest kan de komende weken volgen.

Komt u onderweg niet meer in WordPress? Onze uitleg over problemen met inloggen op WordPress loopt de gebruikelijke oorzaken langs.

Hoe kunnen wij helpen?

Alle zeven op orde houden vraagt gestage aandacht, en dat schiet er snel bij in als u een bedrijf runt. Met een zorgplan nemen wij het vaste werk over: dagelijkse back-ups op een andere locatie, uptimecontroles met meldingen, waarschuwingen voor SSL en domein, veilige updates met terugdraaien, beveiligingsscans en een maandrapport.

Is er al iets mis? Stuur ons een bericht. De eerste diagnose is gratis, u krijgt vooraf een vaste prijs en we maken vóór elke wijziging een back-up.