Is mijn website veilig? Zo controleer je het in 15 minuten

Begin bij het slotje: SSL en veiligheidsheaders

Open je website in een incognitovenster en kijk naar de adresbalk. Zie je een slotje en begint het adres met https, dan is de verbinding tussen bezoeker en site versleuteld. Ontbreekt het slotje, dan toont Chrome de melding Niet beveiligd en dat kost je direct bezoekers en posities in Google. Een SSL-certificaat is tegenwoordig gratis via Let's Encrypt en maximaal negentig dagen geldig, waarna je host het automatisch hoort te verlengen. Zie je een rode foutmelding over een verlopen certificaat, dan is dat verlengen ergens stukgelopen en moet je host aan de bak.

Wat je in de adresbalk niet ziet, zijn de veiligheidsheaders. Dat zijn instructies die je site aan de browser meegeeft, zoals het afdwingen van https bij elk volgend bezoek en het blokkeren van pogingen om je site in een frame op een andere site te laten laden. Met onze gratis website-veiligheidscheck test je je website in een minuut op veiligheid: je vult je domeinnaam in en ziet direct welke headers goed staan, hoe je certificaat ervoor staat en wat je host nog moet aanzetten. Goed is: https wordt afgedwongen en de belangrijkste headers staan aan.

Updates: verouderde software is de grootste ingang

De meeste gehackte websites zijn geen persoonlijk doelwit. Bots scannen miljoenen sites af op bekende gaten in verouderde software, en zodra een lek publiek wordt gemaakt, is elke site die de bijbehorende update niet heeft geïnstalleerd vindbaar en kwetsbaar. Je website controleren op veiligheid begint daarom bij de saaiste check: log in op je CMS en tel de openstaande updates. Kijk naar het systeem zelf, naar plugins of extensies en naar thema's. Goed is: niets staat langer dan een maand open. Draait je site op WordPress, dan telt dit dubbel: de meeste lekken zitten in verouderde plugins.

Kijk daarna een laag dieper, in je hostingpaneel. Daar staat welke PHP-versie of welk serverplatform je site draait. Een versie die geen beveiligingsupdates meer krijgt, is een openstaande deur waar geen enkele plugin-update iets aan verandert. Kun je nergens inloggen, of weet je niet wat je ziet, dan is dat op zichzelf al een uitkomst van deze check: er is dan niemand die dit voor je in de gaten houdt. Bij website-onderhoud draaien wij updates elke week, testen we daarna of alles nog werkt en grijpen we in bij een acuut lek, vanaf 59 euro per maand.

Wachtwoorden, accounts en tweestapsverificatie

Het sterkste slot helpt niet als de sleutel onder de mat ligt. Verreweg de meeste inbraken op accounts komen niet door geniale hackers maar door hergebruikte wachtwoorden: je wachtwoord lekt bij een andere dienst en wordt daarna geautomatiseerd geprobeerd op je website, je hosting en je mail. Controleer daarom drie dingen. Gebruik je voor je CMS een wachtwoord dat nergens anders in gebruik is? Staat tweestapsverificatie aan op je CMS, je hostingaccount en je domeinregistrar? En heet je beheerdersaccount iets anders dan admin? Vooral die registrar wordt vergeten, terwijl wie je domeinnaam overneemt ook je site en mail overneemt.

Loop daarna de accounts zelf na, want elk account is een deur. Goed is: iedere persoon heeft een eigen account met precies de rechten die het werk vraagt, en beheerdersrechten zijn voorbehouden aan de een of twee mensen die ze echt nodig hebben. Verwijder accounts van oud-medewerkers, stagiairs en bureaus waar je niet meer mee werkt. Een wachtwoordmanager maakt unieke wachtwoorden haalbaar zonder dat iemand ze hoeft te onthouden, en de meeste zijn voor een klein team gratis of kosten een paar euro per maand. Dit hele blok kost je hooguit vijf minuten.

Back-ups: je vangnet als het toch misgaat

Een goede back-up is het verschil tussen een vervelende middag en een bedrijfsongeval. Drie vragen bepalen of jouw back-up iets waard is. Hoe oud is de nieuwste versie? Waar staat hij? En is er ooit een teruggezet? Een back-up op dezelfde server als je website is geen back-up, want bij een hack of een servercrash ben je site en kopie tegelijk kwijt. Goede hosting maakt dagelijks automatisch een back-up op een andere locatie en bewaart minimaal veertien dagen aan versies. Waar je verder op let bij een hostingpartij lees je in beste WordPress hosting, al stel je de back-upvraag bij elke host.

Die bewaartermijn is belangrijker dan hij lijkt. Een hack wordt vaak pas na dagen of weken ontdekt, en dan heb je niets aan een back-up van gisteravond waar de malware al in zit. Je wilt terug kunnen naar een versie van voor de besmetting. Test daarnaast minstens één keer per jaar of terugzetten echt werkt, bijvoorbeeld via een hersteltest door je host. Een back-up die nog nooit is teruggezet is een aanname, geen vangnet. De tabel hieronder zet in één oogopslag op een rij wat goed geregeld is en wat riskant.

Signalen van een hack en wanneer je hulp inschakelt

Sommige hacks schreeuwen, de meeste fluisteren. Een moderne aanvaller haalt je site zelden offline, want een werkende site levert meer op: hij plaatst verborgen spampagina's, stuurt een deel van je bezoekers door naar goksites of verstuurt mail uit jouw naam. Twee snelle checks maken veel zichtbaar. Zoek in Google op site: gevolgd door je domeinnaam en scan de resultaten op pagina's die je zelf nooit hebt gemaakt. En vul je domein in bij de Site Status-tool van het Google Transparantierapport, die laat zien of Safe Browsing je site als onveilig heeft gemarkeerd.

Herken je een of meer signalen, dan is dit het moment om hulp in te schakelen, want alleen malware verwijderen is niet genoeg. Zolang de ingang open blijft staan, staat de aanvaller er binnen een week weer. Een schoonmaak betekent: de besmetting verwijderen, alle wachtwoorden vervangen, het lek vinden en dichten, en daarna bij Google een herbeoordeling aanvragen als er een waarschuwing stond. Datzelfde geldt als de checks hierboven te veel rode vlakken opleveren. Structureel bijhouden is goedkoper dan eenmalig genezen; wat je daar reëel voor betaalt, rekenen we voor in maandelijkse kosten van een website.

• Bezoekers worden doorgestuurd naar sites die niets met jou te maken hebben
• Google toont een waarschuwing of meldt dat je site mogelijk gehackt is
• Er verschijnen pagina's of zoekresultaten die je nooit hebt gemaakt
• Klanten ontvangen spam die van jouw domein afkomstig lijkt
• Er staan beheerdersaccounts in je CMS die je niet kent
• Je site is plotseling traag of je bezoekersaantallen storten in