Vorig jaar kregen we een telefoontje van een ondernemer met een webshop in tuinmeubelen. Zijn site laadde nog gewoon, de bestellingen kwamen binnen, niets leek mis. Tot Google zijn site begon te markeren als ‘mogelijk onveilig’ en klanten begonnen te bellen over vreemde advertenties voor Viagra die op zijn productpagina’s verschenen. Een verouderde plugin, drie maanden niet bijgewerkt, had een achterdeur open laten staan. De opruiming kostte hem vier werkdagen en zo’n 1.800 euro aan externe specialistenuren — geld dat hij had kunnen besparen met vijftien minuten onderhoud per week.
Dit soort verhalen horen we regelmatig. Niet omdat MKB-ondernemers slordig zijn, maar omdat online veiligheid vaak wordt gezien als iets dat je één keer regelt bij de bouw van de website, in plaats van iets dat continu aandacht vraagt. Hieronder de drie plekken waar het meestal misgaat, met concrete stappen om ze dicht te zetten.
Zwakke plek 1: het inlogscherm dat iedereen kan vinden
Elke WordPress-site heeft standaard hetzelfde inlogadres: /wp-admin. Geautomatiseerde bots scannen dag en nacht het internet af op zoek naar dit soort adressen en proberen vervolgens duizenden combinaties van gebruikersnaam en wachtwoord. Bij een gemiddelde, onbeveiligde site tellen we in onze monitoring tussen de 200 en 500 van dit soort inlogpogingen per dag — niet gericht op uw bedrijf specifiek, maar puur omdat uw site bestaat.
Wat u concreet doet
- Verander het standaard inlogadres naar iets unieks, zodat automatische scans het niet vinden.
- Schakel twee-factor-authenticatie in voor elk account met beheerdersrechten. Dit stopt vrijwel alle geautomatiseerde aanvallen, ook als een wachtwoord ooit lekt via een andere dienst.
- Beperk het aantal inlogpogingen: na vijf mislukte pogingen een IP-adres tijdelijk blokkeren.
Deze drie maatregelen kosten samen minder dan een uur werk en stoppen het overgrote deel van de geautomatiseerde aanvallen voordat ze ooit een kans krijgen.
Zwakke plek 2: de updateachterstand die niemand ziet
Plugins en thema’s zijn de motor van functionaliteit op uw site, maar ook de meest voorkomende ingang voor misbruik. Bijna elke maand wordt er wel een kwetsbaarheid gemeld in een populaire plugin die op honderdduizenden sites draait. Het probleem is niet dat deze kwetsbaarheden bestaan — dat is onvermijdelijk bij software — maar dat veel sites de beschikbare update wekenlang niet installeren.
Bij de tuinmeubelwebshop uit het voorbeeld was de kwetsbare plugin al drie maanden eerder gepatcht door de leverancier. De update stond klaar, maar niemand had hem geïnstalleerd, simpelweg omdat er geen vast moment voor was ingepland.
Een realistisch onderhoudsritme
- Wekelijks: kernupdates en kritieke pluginupdates direct doorvoeren, bij voorkeur geautomatiseerd met een testomgeving eromheen.
- Maandelijks: controleren of plugins die niet meer actief onderhouden worden vervangen moeten worden. Een plugin die twee jaar niet is bijgewerkt door de ontwikkelaar is een risico, ongeacht hoe goed hij nu functioneert.
- Per kwartaal: een korte audit van alle geïnstalleerde plugins en thema’s — verwijder wat u niet meer gebruikt. Een inactieve plugin is nog altijd een geïnstalleerde plugin, en dus nog altijd een mogelijke ingang.
Zwakke plek 3: rechten die blijven bestaan na vertrek
Dit is de plek die het vaakst over het hoofd wordt gezien, juist omdat hij niets met techniek te maken heeft. Een oud-medewerker, een voormalig marketingbureau, een freelancer die twee jaar geleden ooit iets aan de website heeft gedaan — ze hebben allemaal ooit beheerderstoegang gekregen. Bij een audit die we vorig jaar deden bij een klant met dertig medewerkers, vonden we elf actieve gebruikersaccounts met volledige adminrechten, waarvan zeven toebehoorden aan mensen die niet meer bij het bedrijf werkten.
Hoe u dit structureel oplost
- Geef nooit standaard adminrechten uit. Bepaal per rol wat iemand echt nodig heeft: een tekstschrijver hoeft geen plugins te kunnen installeren.
- Voer elk kwartaal een gebruikersaudit uit: wie heeft toegang, en heeft die persoon dat nog nodig?
- Koppel het intrekken van toegang standaard aan het offboardingproces van personeel en externe partijen, net zoals u een sleutel of bedrijfspas terugvraagt.
Wat preventie werkelijk kost, versus herstel
Om het in perspectief te plaatsen: structureel onderhoud — wekelijkse updates, monitoring, back-upcontrole — kost bij een gemiddelde MKB-website tussen de 1 en 2 uur per maand, of u besteedt het uit voor zo’n 50 tot 100 euro per maand aan een managed hostingpartij. Herstel na een hack, zoals bij de tuinmeubelwebshop, kost al snel 1.000 tot 3.000 euro aan specialistenuren, plus de omzetschade van dagen downtime, plus mogelijk weken om het vertrouwen van Google en klanten terug te winnen nadat een site als onveilig is gemarkeerd.
Een laatste punt dat vaak wordt vergeten: een back-up is pas een back-up als u hem ooit heeft teruggezet. Wij adviseren klanten om minstens één keer per kwartaal daadwerkelijk een back-up terug te zetten op een testomgeving. Niet omdat we denken dat het misgaat, maar omdat een back-up die je nooit hebt getest net zo goed niet kan bestaan — en dat ontdek je op het slechtst mogelijke moment.