Is mijn website veilig? Zo controleer je het in 15 minuten

Je eigen website of een webwinkel checken?

Dit artikel gaat over de veiligheid van je eigen website, voor ondernemers die willen weten of hun site goed beveiligd is. Wil je weten of een webwinkel betrouwbaar is voordat je er iets bestelt, gebruik dan ScamCheck van Veiliginternetten.nl: die beoordeelt het bedrijf achter een site, iets wat het slotje en de checks hieronder niet doen.

Begin bij het slotje: SSL en veiligheidsheaders

Open je website in een incognitovenster en kijk naar de adresbalk. Zie je een slotje en begint het adres met https, dan is de verbinding tussen bezoeker en site versleuteld. Ontbreekt het slotje, dan toont Chrome de melding Niet beveiligd en dat kost je direct bezoekers en posities in Google. Een SSL-certificaat is tegenwoordig gratis via Let's Encrypt en maximaal negentig dagen geldig, waarna je host het automatisch hoort te verlengen. Zie je een rode foutmelding over een verlopen certificaat, dan is dat verlengen ergens stukgelopen en moet je host aan de bak.

Wat je in de adresbalk niet ziet, zijn de veiligheidsheaders. Dat zijn instructies die je site aan de browser meegeeft, zoals het afdwingen van https bij elk volgend bezoek en het blokkeren van pogingen om je site in een frame op een andere site te laten laden. Met onze gratis website-veiligheidscheck test je je website in een minuut op veiligheid: je vult je domeinnaam in en ziet direct welke headers goed staan, hoe je certificaat ervoor staat en wat je host nog moet aanzetten. Goed is: https wordt afgedwongen en de belangrijkste headers staan aan.

Updates: verouderde software is de grootste ingang

De meeste gehackte websites zijn geen persoonlijk doelwit. Bots scannen miljoenen sites af op bekende gaten in verouderde software, en zodra een lek publiek wordt gemaakt, is elke site die de bijbehorende update niet heeft geïnstalleerd vindbaar en kwetsbaar. Je website controleren op veiligheid begint daarom bij de saaiste check: log in op je CMS en tel de openstaande updates. Kijk naar het systeem zelf, naar plugins of extensies en naar thema's. Goed is: niets staat langer dan een maand open. Draait je site op WordPress, dan telt dit dubbel: de meeste lekken zitten in verouderde plugins. Wat je in WordPress verder dichtzet, staat in WordPress beveiligen.

Kijk daarna een laag dieper, in je hostingpaneel. Daar staat welke PHP-versie of welk serverplatform je site draait. Een versie die geen beveiligingsupdates meer krijgt, is een openstaande deur waar geen enkele plugin-update iets aan verandert. Kun je nergens inloggen, of weet je niet wat je ziet, dan is dat op zichzelf al een uitkomst van deze check: er is dan niemand die dit voor je in de gaten houdt. Wil je het zelf bijhouden, gebruik dan het onderhoudsplan per week, maand en jaar. Bij website-onderhoud van Volstoom worden de updates elke week gedraaid, eerst getest in een aparte omgeving en daarna pas live gezet, vanaf 20 euro per maand.

Wachtwoorden, accounts en tweestapsverificatie

Het sterkste slot helpt niet als de sleutel onder de mat ligt. Verreweg de meeste inbraken op accounts komen niet door geniale hackers maar door hergebruikte wachtwoorden: je wachtwoord lekt bij een andere dienst en wordt daarna geautomatiseerd geprobeerd op je website, je hosting en je mail. Controleer daarom drie dingen. Gebruik je voor je CMS een wachtwoord dat nergens anders in gebruik is? Staat tweestapsverificatie aan op je CMS, je hostingaccount en je domeinregistrar? En heet je beheerdersaccount iets anders dan admin? Vooral die registrar wordt vergeten, terwijl wie je domeinnaam overneemt ook je site en mail overneemt.

Loop daarna de accounts zelf na, want elk account is een deur. Goed is: iedere persoon heeft een eigen account met precies de rechten die het werk vraagt, en beheerdersrechten zijn voorbehouden aan de een of twee mensen die ze echt nodig hebben. Verwijder accounts van oud-medewerkers, stagiairs en bureaus waar je niet meer mee werkt. Een wachtwoordmanager maakt unieke wachtwoorden haalbaar zonder dat iemand ze hoeft te onthouden, en de meeste zijn voor een klein team gratis of kosten een paar euro per maand. Dit hele blok kost je hooguit vijf minuten.

Back-ups: je vangnet als het toch misgaat

Een goede back-up is het verschil tussen een vervelende middag en een bedrijfsongeval. Drie vragen bepalen of jouw back-up iets waard is. Hoe oud is de nieuwste versie? Waar staat hij? En is er ooit een teruggezet? Een back-up op dezelfde server als je website is geen back-up, want bij een hack of een servercrash ben je site en kopie tegelijk kwijt. Goede hosting maakt dagelijks automatisch een back-up op een andere locatie en bewaart minimaal veertien dagen aan versies. Waar je verder op let bij een hostingpartij lees je in beste WordPress hosting, al stel je de back-upvraag bij elke host.

Die bewaartermijn is belangrijker dan hij lijkt. Een hack wordt vaak pas na dagen of weken ontdekt, en dan heb je niets aan een back-up van gisteravond waar de malware al in zit. Je wilt terug kunnen naar een versie van voor de besmetting. Test daarnaast minstens één keer per jaar of terugzetten echt werkt, bijvoorbeeld via een hersteltest door je host. Een back-up die nog nooit is teruggezet is een aanname, geen vangnet. De tabel hieronder zet in één oogopslag op een rij wat goed geregeld is en wat riskant.

Signalen van een hack en wanneer je hulp inschakelt

Sommige hacks schreeuwen, de meeste fluisteren. Een moderne aanvaller haalt je site zelden offline, want een werkende site levert meer op: hij plaatst verborgen spampagina's, stuurt een deel van je bezoekers door naar goksites of verstuurt mail uit jouw naam. Twee snelle checks maken veel zichtbaar. Zoek in Google op site: gevolgd door je domeinnaam en scan de resultaten op pagina's die je zelf nooit hebt gemaakt. En vul je domein in bij de Site Status-tool van het Google Transparantierapport, die laat zien of Safe Browsing je site als onveilig heeft gemarkeerd.

Herken je een of meer signalen, dan is dit het moment om hulp in te schakelen, want alleen malware verwijderen is niet genoeg. Zolang de ingang open blijft staan, staat de aanvaller er binnen een week weer. Een schoonmaak betekent: de besmetting verwijderen, alle wachtwoorden vervangen, het lek vinden en dichten, en daarna bij Google een herbeoordeling aanvragen als er een waarschuwing stond. Datzelfde geldt als de checks hierboven te veel rode vlakken opleveren. Structureel bijhouden is goedkoper dan eenmalig genezen; wat je daar reëel voor betaalt, rekenen we voor in maandelijkse kosten van een website.

• Bezoekers worden doorgestuurd naar sites die niets met jou te maken hebben
• Google toont een waarschuwing of meldt dat je site mogelijk gehackt is
• Er verschijnen pagina's of zoekresultaten die je nooit hebt gemaakt
• Klanten ontvangen spam die van jouw domein afkomstig lijkt
• Er staan beheerdersaccounts in je CMS die je niet kent
• Je site is plotseling traag of je bezoekersaantallen storten in

Wat als er klantgegevens lekken?

Lekken er bij een hack persoonsgegevens van klanten, zoals namen, e-mailadressen, wachtwoorden of bestellingen, dan geldt de meldplicht datalekken. Je meldt het lek binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het een risico oplevert voor de mensen om wie het gaat. Die melding doe je zelf als ondernemer, niet je websitebouwer of hostingpartij: jij bent verantwoordelijk voor de gegevens die je site verzamelt.

De volgorde voor een mkb-ondernemer is dan: eerst het lek stoppen, bijvoorbeeld door de site offline te halen en alle wachtwoorden te vervangen. Breng daarna in kaart welke gegevens van hoeveel klanten zijn buitgemaakt, want dat bepaalt of je moet melden. Is het risico voor je klanten hoog, bijvoorbeeld omdat wachtwoorden of betaalgegevens zijn gelekt, dan informeer je hen ook zelf, zodat ze hun wachtwoord kunnen wijzigen en alert zijn op phishing. Leg tot slot elk datalek vast in een eigen datalekregister, ook als je het niet hoefde te melden.

Test je website gratis met internet.nl en de Volstoom-check

Twee gratis tests geven samen een goed beeld van de technische kant van je website. Internet.nl, een initiatief van de internetgemeenschap en de Nederlandse overheid, toetst je site aan moderne internetstandaarden: IPv6, DNSSEC, HTTPS, beveiligingsopties zoals HTTP-headers en security.txt, en RPKI. Het Nationaal Cyber Security Centrum noemt dat zelf geen beveiligingstest, maar de uitkomst is wel een bruikbare lijst om met je hostingpartij te bespreken, omdat veel van die punten op de server en bij je domeinnaam worden ingesteld.

Met de gratis Volstoom-check controleer je je website op veiligheid. Die richt zich op wat een bezoeker van je site raakt: het certificaat, de doorverwijzing van http naar https, de beveiligingsheaders, cookies en mixed content, met per punt wat je moet aanpassen. Geen van beide tests zoekt naar malware of doet een penetratietest. Daarvoor heb je de hack-checks hierboven nodig en, als je site klantgegevens verwerkt, een test door een externe partij.

Zes vragen voor je websitebouwer of hostingpartij

De zes vragen hieronder leggen in een paar minuten bloot of iemand de veiligheid van je website echt bijhoudt. Stel ze aan de partij die je site bouwde of host. Het format komt van het Nationaal Cyber Security Centrum, dat in Is mijn website veilig? een vergelijkbare lijst geeft voor eigenaren zonder IT-kennis. Een goede partij beantwoordt ze zonder lang zoeken, met data en namen in plaats van algemeenheden. Krijg je op meer dan één vraag geen helder antwoord, dan is dat zelf de uitkomst: niemand houdt het bij.

Het NCSC adviseert daarnaast om je website minstens één keer per jaar door een onafhankelijke externe partij te laten testen op beveiligingsrisico's. Voor een eenvoudige bedrijfssite is dat een zware eis, maar verwerkt je site klantgegevens, betalingen of inloggegevens, dan is zo'n test geen luxe. Met de checks uit dit artikel en de antwoorden op deze zes vragen weet je binnen een week of je website veilig is, ook zonder zelf in de techniek te duiken.

• Wanneer zijn het CMS, de plugins en het thema voor het laatst bijgewerkt, en staat er nu iets open?
• Wie hebben er beheerdersrechten op de site, de hosting en de domeinnaam?
• Staat tweestapsverificatie aan op het CMS en op het hostingaccount?
• Waar staan de back-ups, hoe lang worden ze bewaard en wanneer is er voor het laatst een teruggezet?
• Draait de site op een PHP-versie die nog beveiligingsupdates krijgt?
• Wanneer is de site voor het laatst door een externe partij op beveiliging getest?