WordPress-login beveiligen: tweestapsverificatie en inlogpogingen
De inlogpagina van WordPress wordt dagelijks aangevallen. Met tweestapsverificatie, sterke wachtwoorden en een limiet op inlogpogingen sluit u de deur.
Elke WordPress-site krijgt inlogpogingen van bots, ook als u een klein bedrijf bent dat niemand kent.
Kort antwoord
Zet tweestapsverificatie aan voor iedereen met beheerdersrechten, gebruik unieke lange wachtwoorden uit een wachtwoordmanager, beperk het aantal mislukte inlogpogingen en verwijder accounts die niet meer gebruikt worden. Daarmee houdt u het overgrote deel van de geautomatiseerde aanvallen op de login tegen. Het kost u een uur om in te stellen.
Waarom de login zo vaak wordt aangevallen
WordPress is wereldwijd het meest gebruikte systeem voor websites. Daardoor weten aanvallers precies waar de inlogpagina staat: /wp-login.php of /wp-admin. Bots proberen daar automatisch duizenden combinaties van gebruikersnamen en veelgebruikte wachtwoorden. Ze zoeken niet u specifiek, ze proberen gewoon alles.
Komen ze binnen met een beheerdersaccount, dan kunnen ze code plaatsen, spampagina's aanmaken of uw bezoekers doorsturen naar oplichterssites. Daar merkt u vaak pas iets van als Google een waarschuwing toont.
Tweestapsverificatie instellen
Tweestapsverificatie (2FA) betekent dat u naast uw wachtwoord een tweede code invoert, meestal uit een app op uw telefoon zoals Google Authenticator, Microsoft Authenticator of een wachtwoordmanager. Een gestolen wachtwoord alleen is dan niet genoeg.
Installeer een plugin voor 2FA, bijvoorbeeld de plugin Two Factor, of gebruik de 2FA-functie van een beveiligingsplugin als Wordfence of Solid Security.
Ga naar uw profiel en scan de QR-code met de app.
Bewaar de herstelcodes op een veilige plek. Kwijt u uw telefoon, dan komt u daarmee alsnog binnen.
Maak 2FA verplicht voor alle beheerders en redacteuren. Klantaccounts in een webshop hoeven meestal niet.
Kies bij voorkeur een app boven sms. Sms werkt, maar is minder sterk.
Inlogpogingen beperken
Met een limiet op mislukte pogingen blokkeert u een IP-adres na bijvoorbeeld vijf foute pogingen voor een tijd. Een bot die duizenden wachtwoorden wil proberen, komt dan niet ver. Veel beveiligingsplugins hebben dit ingebouwd. Gebruikt u Cloudflare, dan kunt u daar ook regels instellen voor de inlogpagina.
Een eigen inlogadres in plaats van /wp-admin helpt tegen ruis in uw logboek, maar is geen echte beveiliging. Doe het gerust, maar niet in plaats van 2FA.
Accounts en wachtwoorden opruimen
Geen gebruiker "admin". Dat is de eerste naam die bots proberen.
Iedereen een eigen account. Deel geen inlog met collega's of uw webbouwer, dan kunt u iemand ook weer apart uitschakelen.
Laagste rol die volstaat. Iemand die alleen blogs schrijft, is Auteur of Redacteur, geen Beheerder.
Oude accounts weg. Vorige webbouwers, stagiairs en testaccounts verwijdert u. Wijs hun berichten toe aan een bestaand account.
Wachtwoordmanager. Lange, willekeurige wachtwoorden die u niet hoeft te onthouden.
Wat dit niet oplost
Een sterke login beschermt de voordeur. Lekken in verouderde plugins zijn een andere weg naar binnen. Daarom horen updates en back-ups bij beveiliging, net zo goed als 2FA.
Veelgestelde vragen
Wat als ik mijn telefoon met de 2FA-app kwijt ben?
Gebruik een van de herstelcodes die u bij het instellen kreeg. Hebt u die niet, dan kan iemand met toegang tot de server of database 2FA voor uw account tijdelijk uitschakelen.
Kan een beveiligingsplugin mijn site trager maken?
Sommige plugins met een uitgebreide firewall of scans kosten wat serverkracht. Voor alleen 2FA en een inloglimiet is dat verwaarloosbaar.
Is XML-RPC uitzetten nodig?
Als u geen app of dienst gebruikt die het nodig heeft, is uitschakelen verstandig, omdat bots het ook voor inlogpogingen gebruiken. Controleer wel eerst of bijvoorbeeld de Jetpack-app of een koppeling ervan afhangt.
Hulp nodig?
Wilt u dat ik de login van uw site dichtzet en het onderhoud bijhoud, kijk dan bij hosting en onderhoud.
