Website beveiliging: waar moet je op letten?

Website beveiliging draait zelden om hackers die het op jouw bedrijf gemunt hebben. De meeste aanvallen komen van geautomatiseerde bots die het hele internet afscannen op bekende zwakke plekken: verouderde software, zwakke wachtwoorden, formulieren die alles accepteren. Wie de basis op orde heeft, valt voor die bots meteen af. In dit artikel zetten we op een rij waar je op let, van HTTPS tot monitoring, en wat je zelf regelt en wat je platform voor je doet.

Waarom zou iemand mijn website willen hacken?

Omdat jouw website iets waard is, ook als je bedrijf niet interessant lijkt voor aanvallers. Ze zijn zelden uit op jou persoonlijk. Ze willen iets gebruiken dat jouw site heeft:

• Rekenkracht van je server, bijvoorbeeld voor een botnet.
• Je bezoekers, die ze doorsturen naar phishing of malware.
• Je posities in zoekmachines, door verborgen spamlinks in je pagina's te zetten.
• Gegevens uit je database, zoals e-mailadressen en inloggegevens.
• Je beschikbaarheid, om je daarna af te persen.

Het gevolg is vaak pas later zichtbaar: een waarschuwing in Google, een mailserver die op een blacklist belandt, of klanten die vragen waarom je site ze naar een vreemde pagina stuurde.

Is HTTPS genoeg voor website beveiliging?

Nee, HTTPS is de ondergrens, geen complete beveiliging. Een SSL-certificaat (technisch gezien TLS) versleutelt de verbinding tussen bezoeker en website. Zonder die versleuteling kan iemand op hetzelfde netwerk meelezen wat er wordt verstuurd: formuliergegevens, inloggegevens, betalingen.

Controleer drie dingen:

• De hele site draait op HTTPS, niet alleen de checkout of het loginscherm.
• HTTP wordt automatisch doorgestuurd naar HTTPS.
• Het certificaat wordt automatisch vernieuwd, zodat het nooit verloopt.

Browsers markeren sites zonder HTTPS als niet veilig, en bezoekers haken daar direct op af. Op Webflow is dit standaard geregeld. Bij zelf gehoste platforms moet je het inrichten en bewaken.

Waarom zijn updates zo belangrijk voor beveiliging?

Omdat de meeste hacks misbruik maken van lekken waarvoor al een oplossing bestaat. Zodra een kwetsbaarheid in een CMS, plugin of serverpakket bekend wordt, verschijnt er een update. Op dat moment weten aanvallers ook waar ze moeten zoeken. Ze scannen het internet op sites die de update nog niet hebben geïnstalleerd.

Bij platforms waar je zelf alles beheert, zoals WordPress, betekent dat: core, thema en elke plugin bijhouden, en ongebruikte plugins en thema's verwijderen. Niet af en toe, maar structureel. Wie dat niet zelf wil doen, legt het vast in een afspraak voor onderhoud en beveiliging.

Bij een beheerd platform als Webflow gebeuren platformupdates centraal. Wat je dan wel zelf bewaakt, is de code die je toevoegt: externe scripts, embeds en koppelingen met andere systemen.

Hoe regel je toegangsbeheer goed?

Door zo min mogelijk mensen zo min mogelijk rechten te geven, met sterke en unieke inloggegevens. Aanvallers proberen automatisch duizenden combinaties van gebruikersnamen en wachtwoorden. Een voorspelbaar wachtwoord houdt dat niet lang tegen.

• Gebruik een wachtwoordmanager en een uniek wachtwoord per account.
• Zet tweestapsverificatie aan op je CMS, hosting, domeinregistratie en e-mail.
• Geef alleen beheerrechten aan wie ze echt nodig heeft. Redacteuren hebben meestal genoeg aan redactierechten.
• Verwijder accounts van oud-medewerkers en externe partijen zodra hun werk klaar is.

Vergeet de accounts rond je website niet. Wie toegang heeft tot je domeinregistratie of DNS, kan je hele site omleiden, hoe goed het CMS zelf ook beveiligd is. Hetzelfde geldt voor phishing: een mail die van je hostingpartij lijkt te komen en om inloggegevens vraagt, is nog steeds een van de meest gebruikte ingangen. Controleer bij twijfel via een kanaal dat je zelf kent.

Wat voor backups heb je nodig?

Backups die regelmatig worden gemaakt, buiten je website worden bewaard en aantoonbaar terug te zetten zijn. Een backup voorkomt geen hack, maar bepaalt hoeveel schade een hack aanricht. Met een schone versie van voor de inbraak draai je terug en verlies je hooguit recente wijzigingen. Zonder backup ga je malware handmatig opsporen, en dan mis je vaak iets.

• Maak dagelijks backups van sites die vaak veranderen, wekelijks van statischere sites.
• Bewaar meerdere versies, omdat een hack vaak pas later wordt ontdekt.
• Sla backups op een andere plek op dan de website zelf.
• Test het terugzetten. Een backup die nooit is getest, is een aanname.

Webflow bewaart automatisch versies van je site die je kunt terugzetten. Data die buiten Webflow leeft, zoals een database achter een applicatie, vraagt een eigen backupstrategie.

Waarom zijn formulieren een risico?

Omdat elk invoerveld een ingang is voor data die je niet zelf controleert. Twee bekende aanvallen laten zien waarom.

SQL-injectie

Iemand voert databasecommando's in een formulierveld in. Als de achterkant die invoer niet goed afhandelt, kan de aanvaller gegevens uitlezen of aanpassen.

Cross-site scripting

Iemand plaatst script in invoer die later aan andere bezoekers wordt getoond. Dat script draait dan in hun browser, met alle gevolgen van dien.

Bij de standaardformulieren van een volwassen platform is dit grotendeels afgevangen. Bij maatwerk, zoals een klantportaal of eigen systeemkoppelingen, horen invoervalidatie, geparametriseerde queries en het escapen van output bij de bouw. Voeg daarnaast rate limiting en een captcha of honeypot toe tegen spam en misbruik.

Hoe weet je of je website gehackt is?

Door actief te monitoren, want veel hacks zijn voor de eigenaar onzichtbaar. Spamlinks worden bijvoorbeeld alleen aan zoekmachines getoond, en kwaadaardige doorverwijzingen soms alleen aan mobiele bezoekers.

• Laat een uptime-monitor controleren of je site bereikbaar is.
• Gebruik Google Search Console, die waarschuwt bij beveiligingsproblemen op je domein.
• Houd mislukte inlogpogingen bij en laat je waarschuwen bij afwijkingen.
• Scan zelf gehoste sites periodiek op malware.

Wat doe je als je website gehackt is?

Eerst de schade beperken, dan herstellen, dan het lek dichten. In die volgorde:

1. Wijzig alle wachtwoorden: CMS, hosting, database, FTP en e-mail.
2. Haal de site zo nodig tijdelijk offline.
3. Zet een schone backup van voor de hack terug.
4. Zoek uit hoe de aanvaller binnenkwam en dicht dat lek.
5. Scan op achtergebleven malware en controleer of Google je site nog als onveilig markeert.

Sla stap vier niet over. Wie alleen de backup terugzet, staat met hetzelfde lek weer open.

Welk platform kies je als beveiliging zwaar weegt?

Een platform waarbij zo weinig mogelijk van jou afhangt. Hoe meer onderdelen je zelf moet bijhouden, hoe groter de kans dat er ergens een update blijft liggen. Een beheerd platform neemt hosting, updates en certificaten over. Een zelf gehost CMS geeft meer controle, maar ook meer verantwoordelijkheid. In Webflow vs WordPress beveiliging zetten we die afweging uitgebreid op een rij.

Welke keuze je ook maakt: beveiliging is geen eenmalige klus. Wij bouwen websites met Webflow ontwikkeling als basis en helpen bedrijven die van een zelf gehost CMS af willen met een WordPress-migratie. Wil je weten hoe jouw site ervoor staat? Neem contact op.