Checklist: zo houd je je bedrijfswebsite veilig
De meeste websites worden niet gehackt door een geniale aanvaller, maar door iets kleins dat bleef liggen: een plugin zonder update, een gedeeld wachtwoord, een back-up die nooit is getest. Met deze checklist loop je de belangrijkste punten zelf na.
Toegang
1. Zet tweestapsverificatie aan, overal waar het kan. Niet alleen op het beheer van je website, maar ook bij je hostingpartij, je domeinregistrar en je e-mail. Wie toegang heeft tot je domein, kan je hele website en e-mail omleiden.
2. Geef iedereen een eigen account. Deel geen inloggegevens met collega’s of een webbouwer. Met eigen accounts zie je wie wat heeft gedaan, en kun je toegang intrekken als iemand vertrekt of een opdracht klaar is.
3. Gebruik een wachtwoordmanager. Een uniek, lang wachtwoord per dienst is alleen werkbaar als je het niet hoeft te onthouden. Hergebruikte wachtwoorden zijn een van de meest voorkomende oorzaken van overgenomen accounts.
4. Ruim oude accounts op. Loop een paar keer per jaar na wie er toegang heeft tot het beheer van je site, je hosting en je domein. Vertrokken medewerkers, oud-leveranciers en testaccounts horen er niet meer tussen.
Software
5. Houd alles bijgewerkt. Het systeem van je website (bijvoorbeeld WordPress), de thema’s en de plugins krijgen regelmatig beveiligingsupdates. Bekende lekken worden vaak al snel na publicatie automatisch misbruikt.
6. Gebruik zo min mogelijk plugins. Elke plugin is code van iemand anders die je moet vertrouwen en bijhouden. Verwijder wat je niet gebruikt, ook als het uitgeschakeld is.
7. Laat niet zien welke versies je gebruikt. Een website die meldt welke software en versie erop draait, maakt het een aanvaller makkelijker om een passend lek te zoeken. Dat lost geen lek op, maar het helpt wel.
Verbinding en browser
8. Gebruik overal HTTPS, en stuur http door. Je certificaat moet geldig zijn en automatisch vernieuwd worden. Controleer ook of http:// netjes doorstuurt naar https://, en of je pagina’s geen onderdelen meer via http:// inladen (gemengde inhoud).
9. Stel beveiligingsheaders in. Met headers zoals Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options en Referrer-Policy vertel je de browser van je bezoekers hoe hij je site veilig moet behandelen. Een goede Content-Security-Policy maakt het bijvoorbeeld veel moeilijker om kwaadaardige scripts op je pagina’s uit te voeren.
Herstel en overzicht
10. Maak back-ups, en test ze. Een back-up die je nooit hebt teruggezet, is een hoop. Bewaar back-ups op een andere plek dan je website, en probeer af en toe of je er echt mee terug kunt.
11. Weet wie je belt als het misgaat. Schrijf op wie je hosting beheert, waar je domein staat, wie toegang heeft en hoe je een back-up terugzet. Als je website plat ligt of gehackt is, wil je niet eerst gaan zoeken.
12. Beveilig de e-mail op je domein. Met SPF, DKIM en DMARC maak je het voor anderen moeilijker om mail te versturen die van jouw domein lijkt te komen. Hoe dat werkt, lees je in SPF, DKIM en DMARC uitgelegd.
Hoe weet je hoe je ervoor staat?
Een deel van deze punten kun je van buitenaf controleren: HTTPS, beveiligingsheaders, zichtbare softwareversies, gemengde inhoud en de e-mailinstellingen van je domein. Andere punten, zoals wachtwoorden, accounts en back-ups, zie je alleen van binnenuit.
Wil je weten hoe je website er van buitenaf voor staat? Gebruik onze gratis websitescan. Wil je verder kijken dan dat, dan helpen we je met een security-assessment.
