WordPress extra beveiligen: rechten, wp-config en .htaccess

Updates, een sterk wachtwoord en tweestapsverificatie zijn de basis van een veilige WordPress-site. Verharden (hardening) komt daar bovenop: je stelt de site zo in dat een lek of een overgenomen account minder schade kan doen. Hier lees je welke instellingen dat zijn en hoe je ze op je hostingpakket zet.

Wat er op de server al gebeurt

Een deel is op onze servers al geregeld. xmlrpc.php staat standaard dicht (WordPress: toegang tot xmlrpc.php lukt niet), gevaarlijke PHP-functies staan uit (PHP-beveiliging: uitgeschakelde functies), en er draaien een firewall voor webverkeer en een malwarescanner. Zie Web Applicatie Firewall en Imunify360: je website scannen op malware. De stappen hieronder doe je zelf, in je eigen site.

Alle bestanden bewerk je in DirectAdmin met Bestandsbeheer. Bestanden die met een punt beginnen, zoals .htaccess, zie je pas als je verborgen bestanden toont: zie Verborgen bestanden zoals .htaccess tonen en bewerken. Maak van elk bestand eerst een kopie, en zet die kopie buiten public_html.

1. Geen code bewerken vanuit het beheer

Open wp-config.php in domains/example.com/public_html en zet deze regel boven de regel met "stop met bewerken" (That's all, stop editing!):

define( 'DISALLOW_FILE_EDIT', true );

De editors voor thema- en pluginbestanden verdwijnen dan uit het beheer. Wie een beheerdersaccount overneemt, kan daar dan niet met een paar klikken kwaadaardige code in je thema zetten. Plugins installeren en bijwerken blijft gewoon werken. Zet in hetzelfde bestand WP_DEBUG op false, zodat foutmeldingen nooit op het scherm van bezoekers komen.

2. Geen PHP in de map uploads

In wp-content/uploads horen afbeeldingen en documenten, geen PHP. Een inbreker die via een lek een bestand kan uploaden, probeert juist daar een PHP-bestand neer te zetten en het op te vragen. Maak in wp-content/uploads een bestand .htaccess met:

<Files *.php>
Require all denied
</Files>

Controleer daarna of je site, je formulieren en je mediabibliotheek nog werken.

3. Geen mappenlijst

Staat er in een map geen index.php of index.html, dan kan een webserver een lijst van alle bestanden tonen. Zet bovenaan de .htaccess in public_html:

Options -Indexes

Testen doe je door een map zonder indexbestand op te vragen, bijvoorbeeld https://example.com/wp-content/uploads/. Je hoort dan een foutpagina te zien (403 of 404), geen lijst.

4. Rechten van bestanden en mappen

Gebruik nooit 777: dan mag iedereen op de server in die map schrijven. Zegt een handleiding dat het nodig is om uploaden te laten werken, dan ligt de oorzaak ergens anders. Rechten aanpassen: zie Rechten van bestanden en mappen (chmod).

5. Geen restjes in de webmap

Alles in public_html is via het web op te vragen. Ruim daarom op:

• kopieën van wp-config.php, zoals wp-config.php.bak of wp-config.old. Die bevatten je databasewachtwoord en worden als gewone tekst opgestuurd;
• back-ups zoals backup.zip of database.sql;
• een map .git van een ontwikkelaar;
• wp-content/debug.log;
• testbestanden zoals info.php met phpinfo().

Wil je één los bestand onbereikbaar maken, zie dan Bestanden blokkeren via .htaccess.

6. Headers en inloggen

• Beveiligingsheaders vertellen de browser hoe hij met je site omgaat. Zie HSTS en beveiligingsheaders voor je website.
• De inlogpagina beperk je tot je eigen IP-adres met wp-login.php van WordPress beveiligen.
• Tweestapsverificatie voor beheerders: zie Tweestapsverificatie voor WordPress instellen.

Het verbergen van de WordPress-versie is opruimen, geen beveiliging: aanvalsprogramma's proberen een lek gewoon uit. Alleen bijwerken dicht het lek.

En een beveiligingsplugin?

Een beveiligingsplugin bundelt vaak een firewall, een scanner en inlogbeveiliging. Een firewall in een plugin werkt pas als WordPress al draait; de firewall op de server houdt verzoeken eerder tegen. Een plugin is dus een aanvulling, vooral voor tweestapsverificatie en het beperken van inlogpogingen. Gebruik er hooguit één: twee beveiligingsplugins naast elkaar botsen vaak.

Verder lezen

• Hardening WordPress (developer.wordpress.org, Engels)

Meer leren? Volg de gratis WordPress-cursus, les 7.4 De site verharden: rechten, headers en beveiligingsplugins.