De meeste ondernemers die ik spreek na een beveiligingsincident zeggen hetzelfde: “maar ik had toch een wachtwoord en een slotje op mijn site?” Dat slotje, het groene hangslotje van SSL, zegt alleen dat het verkeer tussen bezoeker en server versleuteld is. Het zegt niets over de staat van de software erachter. En daar gaat het meestal mis: niet bij de voordeur, maar bij een raampje dat al weken op een kier staat omdat niemand eraan dacht het dicht te doen.
Beveiliging van uw online aanwezigheid is voor het grootste deel geen technisch probleem, maar een onderhoudsprobleem. Een plugin, thema of CMS dat een update klaar heeft staan, is geen abstract risico. Het is een bekende kwetsbaarheid met een publiek nummer (een CVE), die binnen enkele dagen na publicatie automatisch wordt gescand door botnetwerken die het internet afstruinen op zoek naar sites die nog niet gepatcht zijn.
Wat een verouderde plugin werkelijk kost
Een klant van ons runde een webshop met zo’n 3.000 bezoekers per maand, een conversie van 2,5 procent en een gemiddelde orderwaarde van 95 euro. Dat is een omzet van ruim 7.100 euro per maand, oftewel zo’n 237 euro per dag. Een vergeten update in een formulier-plugin gaf een aanvaller toegang om verborgen scriptjes in de site te plaatsen. Niet zichtbaar voor de eigenaar, wel voor Google.
Het gevolg: de site werd door Google Safe Browsing gemarkeerd met de waarschuwing dat bezoeken “schadelijk” kon zijn. Die waarschuwing stond elf dagen live voordat alles weer schoon en opnieuw goedgekeurd was. Reken het uit: elf dagen omzetderving van 237 euro is ruim 2.600 euro, plus acht uur opschoonwerk van een developer à 85 euro is nog eens 680 euro. Geen hack met losgeld, geen dramatisch verhaal in het nieuws, maar wel bijna 3.300 euro weg voor een update die vijf minuten had gekost.
Uit cijfers van beveiligingsbedrijf Patchstack blijkt dat een groot deel van de WordPress-hacks ontstaat via een plugin waarvoor allang een patch beschikbaar was. Niet via onbekende zero-days, maar via bekende, gepubliceerde kwetsbaarheden die simpelweg niet zijn geïnstalleerd.
Waarom “ik update toch automatisch” niet genoeg is
Automatische updates lossen een deel van het probleem op, maar niet alles. Grote pluginupdates worden vaak bewust uitgesteld door hostingpartijen of CMS-instellingen, juist omdat een automatische update ook kan botsen met maatwerk en de site kan breken. Wie dat risico wil vermijden, zet automatische updates uit zonder er iets voor in de plaats te zetten. Precies die combinatie, geen automatische update én geen handmatige controle, is waar de meeste schade ontstaat.
Het verschil tussen updaten en patchmanagement
Updaten is het installeren van een nieuwe versie. Patchmanagement is het proces eromheen: weten wélke kwetsbaarheden er zijn, inschatten of ze relevant zijn voor uw site, testen of een update niets breekt, en pas dan live zetten. Dat laatste stapje wordt vaak overgeslagen, met twee uitersten als gevolg: sites die nooit updaten uit angst dat iets kapotgaat, of sites die alles direct automatisch updaten en een paar keer per jaar een gebroken pagina hebben.
Een werkbaar schema voor de praktijk
Wat bij ons wél werkt, is een vaste cadans in plaats van ad-hoc reparatie:
- Wekelijks: een geautomatiseerde scan die controleert op bekende kwetsbaarheden in plugins, thema’s en CMS-kern. Dit kost geen mensuren, alleen een tool die meldingen stuurt.
- Tweewekelijks: kleine, niet-kritieke updates direct doorvoeren op een kopie van de site (staging), testen, en dan live zetten. Dit voorkomt dat kleine updates zich opstapelen tot een grote, risicovolle update.
- Direct bij een kritieke melding: als een scan een kwetsbaarheid met hoge urgentie aangeeft, wordt die buiten de vaste cyclus om dezelfde dag nog opgelost. Dit zijn de gevallen waarbij uren, niet weken, het verschil maken.
- Per kwartaal: een handmatige controle van alles wat niet automatisch wordt gesignaleerd, zoals verouderde serversoftware, SSL-certificaatvernieuwing en ongebruikte plugins die beter verwijderd kunnen worden dan geüpdatet.
Dat laatste punt wordt vaak onderschat: elke geïnstalleerde plugin is een extra deur met een eigen slot. Een webshop die wij overnamen had 34 actieve plugins, waarvan er 11 al meer dan een jaar niet meer werden onderhouden door de maker. Die plugins updaten kon niet eens meer, de enige oplossing was verwijderen en vervangen. Minder plugins betekent minder onderhoud én minder risico, iets wat bij het bouwen van een site zelden wordt meegewogen omdat “er is een plugin voor” nu eenmaal verleidelijk snel werkt.
Wat dit betekent voor de keuze van uw hostingpartij
Bij het kiezen van managed hosting is de vraag niet alleen “wordt mijn server onderhouden”, maar specifiek: wordt er gekeken naar kwetsbaarheden op het niveau van uw CMS en plugins, en is er een vast ritme waarin dat gebeurt? Een server die perfect is bijgewerkt, beschermt niet tegen een kwetsbare plugin die daarbovenop draait. Vraag concreet door op wie die wekelijkse scan uitvoert, wie de meldingen beoordeelt, en wat de reactietijd is bij een kritieke kwetsbaarheid. Als het antwoord “dat merkt u vanzelf wel” is, weet u dat het raampje op een kier staat.