WordPress is een zogenoemd CMS (Content Management Systeem) waarmee je gemakkelijk een website kunt maken. Je kunt pagina’s en nieuwsberichten schrijven, afbeeldingen toevoegen en publiceren op het wereldwijde web met enkele muisklikken. Let op: we spreken hier over de versie van WordPress.org die je zelf op een server kunt installeren. * We spreken hier niet […]
Je website is offline.. je neemt contact op met je hostingpartij en ze vertellen je dat je WordPress website gehackt is.
En dat je website spam verstuurt..
Om veiligheidsredenen heeft de hostingpartij je website offline gezet
Veel websites staan op 1 server, dat is 1 krachtige pc met 1 IP adres. Dat adres wordt bij grote mailservers op de blacklist gezet wanneer er teveel spam vanaf komt.
Kortom, als je website zo door gaat met het versturen van spam, kunnen andere klanten hun e-mail niet meer versturen of komt hun e-mail niet meer aan bij anderen.
Om een lang verhaal kort te maken.. je website staat offline! En is nu niet meer bereikbaar totdat je het bestand eruit haalt wat de spam verstuurt.
Het spam script kan 1 bestand zijn dat tussen de bestanden in je WordPress site op de server staat.
Soms staat het bestand in je uploads mappen omdat die door derden beschrijfbaar zijn.
Maar met een lek in je plugins is de hoofdmap ook te bereiken voor hackers en hackscripts.
Het bestand kan simpelweg overal staan.
Wij halen het vaak uit uploads mappen, tussen plugins vandaan, uit thema’s en uit submappen.
Je zou zeggen: ik haal het spam script uit mijn website en dan kan de website weer online.
klinkt logisch toch?
Piece of cake!
Een spam script in je WordPress site betekent dat hackers of ge-automatiseerde scripts een weg hebben gevonden om op je server te komen. Zo is het spam-script in je website en op je server gekomen.
Dat lek moet dicht!
Een lek kan in een oude plugin zitten, in WordPress zelf, in de wachtwoorden die je gebruikt, in de serverveiligheid..
De hackers zijn sluw en gebruiken speciale codes, beproefde trucs.
Bijvoorbeeld Base64 code, dat is geschreven in PHP maar gecodeerd zodat de server en je zoekprogramma het niet kan vinden!
Gelukkig heb je WPbeveiligen gevonden!
Wij zoeken het lekken en hackscripts op, verwijderen die zorgvuldig en zorgen ervoor dat je WordPress site niet zomaar opnieuw gehackt kan worden!
Klik hier! Laat je gehackte WordPress website nu hack-vrij maken!
WordPress website beveiligen, is dat nu echt nodig? WordPress is toch veilig??
Hackers zijn continu bezig met het zoeken naar lekken in WordPress en plugins. En dat is helaas niet zonder resultaat!
De hackers zijn namelijk niet alleen beginnende programmeurs die te teveel tijd hebben..
Je hebt te maken met volledige teams waarbij iedere programmeur zijn kennis gebruikt om een hack te schrijven.
Plugins + Thema’s = Een lekke siteTussen de 48,749 plugins die gratis voor WordPress te downloaden zijn en de 40.000+ betaalde premium plugins- themes zitten 6144+ WordPress plugins & thema’s die gerapporteerde lekken bevatten waar hackers vanaf weten.
WordPress website beveiligen is dus geen luxe meer met al die lekken! Het is noodzaak geworden om je WordPress website te beveiligen.
Een gehackte WordPress website veroorzaakt de onderstaande problemen:
Hackers zijn niet persoonlijk betrokken bij het hacken van je WordPress website.
Hackers zetten scripts online die dag en nacht – 7 dagen per week – WordPress websites vinden via Google en testen die WordPress websites dan op lekke plugins en verouderde WordPress versies.
Het is belangrijk dat je WordPress up-to-date houdt maar vooral dat je de (hack)scripts geen kans geeft om informatie over je website te verzamelen. Hoe meer een hacker en/of script weet over de data in je website des te makkelijker is het om een lek te vinden.
Plugins worden door webbureau’s gemaakt en door programmeurs uit alle landen. Veel programmeurs kennen de trucs van hackers niet. Ook al maken ze briljante plugins.. die plugins zijn helaas gevoelig voor geautomatiseerde hacks.
WordPress heeft diverse methodes waarmee nieuws bijgewerkt kan worden. Door middel van de APP, door middel van API’s. Het is belangrijk dat deze injecties tegengehouden worden!
Een injectie is een commando die aan je website gegeven wordt via een bepaalde url, via de navigatiebalk.
Plugins zoals de iThemes Security PRO NL houden lange commando’s tegen zodat er weinig tot geen injecties meer gedaan kunnen worden.
Wij zijn 7 dagen per week actief met het beveiligen van WordPress websites. Wij kennen de trucs van hackers en weten daardoor wat nodig is om ze tegen kunnen houden.
Een WordPress virus is voor de meesten geen bekend begrip. Toch wordt deze term gebruikt voor het aanduiden van ongewenste bestanden op de server.
Definitie van het woord Virus: een besmetting, zichzelf verspreidende bacterie waarbij in de computerwereld gedoeld wordt op ongewenste bestanden binnen een systeem.
Kortom, je hebt een “infectie” en dus bestanden op je server staan die er niet thuishoren. Je hebt last van een virus aangezien de bestanden zich zullen uitbreiden wanneer ze eenmaal op de server terecht zijn gekomen.
Om te weten te komen of je server/website geïnfecteerd is met een WordPress virus, is het belangrijk de 3 soorten bestanden te onderscheiden.
Let op: Hiervoor heb je FTP toegang voor nodig tot de server middels een extern FTP programma.
Voorkomen is beter dan genezen luidt het oude spreekwoord en dat is in dit geval zeker van toepassing.
Hierbij zijn er 2 factoren waar je op moet letten,
De hostingpartij zal jou altijd verantwoordelijk houden voor wat er met je WordPress website gebeurt en hoe dat de server beïnvloed. Zorg er daarom voor dat je WordPress up-to-date en beveiligd is.
Als je dit artikel leest naar aanleiding van een virus dat zich al in WordPress (en dus op de server) bevindt, kun je met de 5 punten die boven beschreven staan aan de slag om de server virusvrij te maken. Maar dit is niet gemakkelijk en vereist veel kennis van zowel code, WordPress, serverbestanden en bestandsrechten.
WPbeveiligen werkt full-time om WordPress websites te beveiligen en wanneer het al te laat is, te herstellen.
Als fanatiek WordPress-programmeurs weten wij maar al te goed dat een installatie niet altijd soepel verloopt. Het WordPress-systeem is wel betrouwbaar maar externe factoren zorgen er wel eens voor dat je enkele aanpassingen moet maken of handmatig enkele instellingen moet plaatsen.
We analyseren hier enkele veel voorkomende problemen en bieden direct de oplossing!
De wp-config.php kan niet worden beschreven.
Oplossing: kopieer de wp-config-sample.php en haal in de bestandsnaam het stukje -sample weg, plaats de mysql-gegevens handmatig in het bestand. De wp-config.php sample file vind je in de httpdocs waar ook de wp-config.php moet komen te staan.
Het admin-systeem werkt niet volledig, laadt niet in (error pages) of geeft aan dat het enkele files mist.
Oplossing: Je hebt waarschijnlijk een WordPress download op de FTP geplaatst waarbij enkele files niet of onvolledig overgeplaatst zijn naar de server. Kopieer daarom de files nogmaals naar de server en overschrijf daarbij de files om zeker te zijn dat er volledige files komen te staan.
Het admin-systeem werkte nog bij de installatie maar na het toevoegen van plugins loopt het vast.
Oplossing: een plugin veroorzaakt de error, ogenschijnlijk kun je het niet meer deactiveren omdat je niet meer in het admin systeem kunt komen. Wat het beste werkt is het hernoemen van de plugins. Voeg bijvoorbeeld een streepje toe in de naam van de map op de server. De plugin wordt dan inactief en je weet zo direct welke plugin de error veroorzaakt. De ontwikkeling van de plugins loopt wel eens achter op de nieuwere WordPress-releases aangezien die zeer frequent uitkomen.
De installatie is net afgerond, er wordt een nieuwe post aangemaakt en het uploaden van een afbeelding lukt niet.
Oplossing: de map uploads is soms niet direct beschrijfbaar, hetgeen wel belangrijk is. Ga naar de httpdocs > wp-content > uploads en klik rechts op het bestand. Je kunt daar meestal onderaan in het menu kiezen voor File Permissions, ook wel CMOD genoemd. Zet de schrijfrechten met het cijfer op 777 en het probleem is hoogstwaarschijnlijk verholpen.
De permalinks kunnen niet worden gewijzigd omdat de .htaccess niet aanwezig of beschrijfbaar is.
Kijk in de map httpdocs van jouw hostingpakket/serverruimte of daar een bestandje staat met de volgende naam: “.htaccess”. Het is een unieke naam omdat het geen extentie lijkt te hebben en er een punt voor staat. Toch is deze file van groot belang. Maak een nieuwe file aan als deze in de map ontbreekt en zet die file met de schrijfrechten op 777.
Genereer de permalinks in je admin > instellingen > permalinks. Vergeet niet om de schrijfrechten 444 (alleen leesrechten) te zetten als je klaar bent, anders kunnen hackers of hackbots je website redirecten (doorlinken)!
Dit zijn enkele veel voorkomende problemen en oplossingen. Heb je andere problemen of heb je hulp nodig?
Wij werken al jaren met WordPress, en hoewel wij ons voornamelijk concentreren op het herstellen en beveiligen van WordPress kunnen we je ook uit de brand helpen als je er niet uitkomt.
Neem contact op voor de beschikbaarheid, aangezien het herstellen en beveiligen van WordPress websites onze prioriteit heeft.
WordPress is als basis een redelijk veilig cms. Er worden geregeld updates gelanceerd waarbij de programmeurs achter WordPress samen werken met de community om beveiligingslekken op te sporen en op te lossen.
Nu is het aan jou om WordPress veilig te houden, als webdesigner of als eigenaar van de website heb je de verantwoordelijkheid diverse stappen te ondernemen en te onderhouden om hackers geen kans te geven.
Wij hebben een lijst samengesteld van 10 manieren hoe je WordPress veilig kunt houden.
Met geregeld doelen we minimaal op de updates van WordPress die te maken hebben met de beveiliging.
Security releases noemen ze dat.
In het changelog kun je zien welke aanpassingen gedaan zijn. Als het gaat om beveiligings issues kun je het beste updaten.
Bekijk de changelog hier.
WordPress vereist nu al een goed wachtwoord voordat je het kunt opslaan.
Maar nog kun je namen gebruiken zoals de domeinnaam of cijfers zoals 12345.
Doe dat niet!! Het is 1 van de eerste dingen die bij brute-force aanvallen worden geprobeerd.
Je kunt meerdere WordPress installaties op 1 hosting pakket zetten. Dit kan middels een MultiSite maar ook door mappen met WordPress te vullen en daar websites op te bouwen.
Maar vergeet niet dat 1 besmette WordPress website zo gemakkelijk over kan springen naar andere mappen met WordPress installaties.
Heel vaak worden bij een lek direct alle sites voorzien van hack bestanden. Dat bezorgt je veel werk en problemen.
Elke standaard installatie van WordPress is hetzelfde. Dat weten hackers ook! Het admin is te vinden onder /wp-admin of op wp-login.php
En ook de author/administrator is meestal gemakkelijk te vinden.
Tevens zijn de beschrijfbare uploads mappen evenals de theme en plugin mappen algemeen bekend.
Installeer niet zomaar elke plugin
Als er wat gebeurt, ben je bijzonder blij als je een backup terug kunt zetten.
De backup bevat vaak nog niet de besmette bestanden en dit scheelt je veel herstellen.
Beveiligen na het terugzetten van een backup is nog altijd nodig!
Als alle mappen open staan en zelfs beschrijfbaar zijn door anderen heb je een groot risico.
Zo moet de wp-config en de .htacces op CMOD 444 staan.
Het lezen en uitvoeren maar NIET schrijven zorgt ervoor dat veel hacks buiten de deur blijven of zich niet kunnen verspreiden.
Als je de server niet goed configureert, staat die toe dat alle mappen bekeken kunnen worden door iedereen. Door middel van de HACCESS (Linux), NGINX.conf of in het geval van een windows server de WEB.config te configureren kun je instellen dat diverse mappen niet door te lezen zijn door anderen. Zeer belangrijk aangezien hackers en bots anders je theme en plugin mappen door gaan bladeren naar mogelijke lekken.
Het illegaal downloaden van thema’s en plugins is erg makkelijk en lijkt goedkoper, maar uiteindelijk is het duurkoop aangezien de criminelen die deze aangekochte thema’s en plugins aanbieden met een backdoor of reclamescript waarmee ze je WordPress website op ieder willekeurig moment kunnen aanpassen of doorlinken naar hun eigen sites.
Een beveiligingsplugin zorgt ervoor dat veel van de bovenstaande punten geregeld worden.
Een goede beveiligingsplugin voor WordPress zorgt bijvoorbeeld voor de meest belangrijke punten
* Dat je servermappen afgeschermd worden voor hackers
* Dat er log bestanden bijgehouden worden van je website
* Dat gebruikers die proberen in te breken op de blacklist komen
* Dat bestanden gecontroleerd worden op hacks
* Dat verdachte aanvragen en injecties worden geblokkeerd
* Dat de database geregeld gecontroleerd
* En nog 100+ functies
Maar let wel op, een beveiligingsplugin werkt preventief, en is geen oplossing als je WordPress al gehackt is.
Preventief kun je veel doen om het een stuk moeilijker te maken voor hackers en hackbots. De eerste punten uit onze top 10 kun je zelf doen, de overigen kun je over laten aan een goed ingestelde beveiligingsplugin.
Een oud Nederlands gezegde wat hier zeker voor spreekt: voorkomen is beter dan genezen
Soms wordt ons gevraagd of het wel de moeite is om de website te laten beveiligen. En dan komt er een heel technisch verhaal met veel woorden zoals de theme, de plugins, de database, de content en WordPress zelf.
Dat is voor velen niet gemakkelijk te begrijpen, dus een nieuwe aanpak:
WordPress gaat jaren mee maar als je het nooit update kan het wel eens gebreken gaan vertonen.
De oplossing
De lak, het lijkt soms alsof je website volledig verouderd is maar met een nieuw thema of een restyle is je website weer als nieuw en kun je weer met de tijd mee.
Hoe?
De plugins kunnen verouderen en kunnen ook wel problemen geven.
Wat kun je daaraan doen?
De database zit goed weggestopt en heeft weinig onderhoud nodig. Maar je kunt het wel even doorlopen.
Hoe de database te optimaliseren?
Hoewel je wat kennis en ervaring nodig hebt (of een WordPress expert) is het een kwestie van de juiste info vervangen en je WordPress website is weer zo goed als nieuw!
Wanneer wij je WordPress website herstellen en beveiligen lopen we direct alle bestanden na (zie het als de roest) en zorgen ervoor dat alles weer opgepoetst op z’n plek staat.
Tevens updaten of vervangen we plugins, halen oude informatie die niet gebruikt wordt weg (in overleg) en zorgen we ervoor dat je de nieuwste update van WordPress hebt.
Kortom, een herstel & beveiliging is niet alleen een optie wanneer je gehackt bent maar ook een hele goede APK en reparatie zodat je WordPress website weer een goede tijd mee kan!
