Back-ups en beveiliging van je website: vóór je gehackt wordt
Een back-up die nooit is getest, is geen back-up; gebruik deze checklist om je website te beschermen vóór het misgaat.
Gepubliceerd door: Hızlı Yazılım
Waar je back-up eigenlijk staat
Staat de back-up van je website alleen in een aparte map op dezelfde server, dan kan een aanvaller die binnenkomt die map tijdens de inbraak versleutelen of verwijderen. De 3-2-1-regel blijft het praktische uitgangspunt voor kleine bedrijven: bewaar drie kopieën, gebruik twee verschillende opslagmedia en bewaar één kopie op een andere locatie. Een back-up die nooit van de productieserver af komt, is geen back-up; hij neemt alleen schijfruimte in.
Gebruik tools als UpdraftPlus, Duplicator Pro, cPanel Backup, JetBackup of een eenvoudige rsync met een cronjob. Stuur kopieën voor externe opslag naar AWS S3, Google Drive, Backblaze B2 of Hetzner Storage Box. Moeten gegevens in jouw branche binnen een bepaald land of een bepaalde regio blijven, controleer dan de opslaglocatie van de cloudprovider. Sommige beroepsregels beperken gegevensoverdracht over de grens, dus overleg met je compliance-adviseur voordat je een externe opslaglocatie kiest.
Geen hersteloefening, geen back-up
Dat er een back-upbestand bestaat, betekent niet dat het ook terug te zetten is. Beschadigde archieven, onvolledige databasedumps en verkeerde bestandsrechten komen pas aan het licht bij een echt herstel. Daarom is een niet-geteste back-up helemaal geen back-up. Zet minstens één keer per maand een volledige back-up terug in een testomgeving en controleer bestanden, database, plug-ins en thema-instellingen samen.
Automatiseer de oefening met een klein script: neem een recente back-up, pak hem uit in een testomgeving en controleer of de homepage HTTP 200 teruggeeft. Mislukt die controle, markeer het back-upsysteem dan als code rood. Meet ook de hersteltijd; een back-up die in twee uur is teruggezet, is in een noodsituatie veel meer waard dan een die acht uur kost.
Updatediscipline: verouderde software lokt aanvallers
Oude versies van WordPress, WooCommerce, Joomla of maatwerkapplicaties hebben bekende kwetsbaarheden waar aanvallers automatisch naar scannen. Een site die updates overslaat, wordt na een tijdje een voorspelbaar doelwit. Zet automatische updates aan voor kleine beveiligingspatches, maar test grote versiesprongen eerst in een testomgeving.
Houd een overzicht bij van plug-ins en thema's; verwijder alles wat je niet gebruikt, want zelfs een uitgeschakelde, verouderde plug-in voegt risico toe. Lees de changelogs voordat je bijwerkt en controleer op bekende conflicten. Maar wees voorzichtig: automatische updates kunnen maatwerkcode breken en de site platleggen. Zet grote updates niet automatisch live, maar plan een onderhoudsvenster en voer ze uit met een plan om terug te draaien.
Sluit het beheerpaneel af als een kluis
Aanvallers breken vaak via brute force in beheerpanelen in. Wijzig de standaardpaden /admin of /wp-admin, beperk het aantal inlogpogingen en verplicht tweestapsverificatie. Gebruik lange, unieke wachtwoorden uit een wachtwoordmanager; gebruik nooit hetzelfde wachtwoord voor e-mail of andere diensten.
Beperk de toegang tot het beheer met een IP-allowlist, met een VPN voor wie op afstand werkt. Schakel in WordPress XML-RPC en onnodige REST-endpoints uit. Tools als Wordfence, Sucuri of Imunify360 aan de serverkant blokkeren brute force en kwaadaardige verzoeken. Scheid ook de rollen: een contentredacteur hoort geen volledige beheerdersrechten te krijgen.
Stem de back-upfrequentie af op het type site
Eén back-upschema past niet bij elke website. Webshops, ledensystemen of afsprakenmodules wijzigen voortdurend gegevens; maak daarvoor minstens elk uur een back-up van de database en dagelijks een volledige back-up van de bestanden. Een statische brochuresite kan vaak toe met een wekelijkse volledige back-up.
Gebruik voor sites met veel transacties incrementele back-ups; duurt een volledige back-up elke keer uren, dan is dagelijks incrementeel plus wekelijks volledig redelijk. Met een beperkt budget exporteer je de meest kritieke gegevens (bestellingen, gebruikers, content) apart. Maar automatische volledige back-ups elk uur zijn niet voor elke site nodig; ze kosten resources en verhogen de kosten. Begin met het vastleggen van je hersteltijddoel.
Combineer back-ups met beveiligingsdetectie
Een back-up alleen is geen beveiliging; hij houdt geen aanval tegen, hij maakt alleen herstel mogelijk. Na een inbraak is terugzetten vanaf een schone back-up niet genoeg — vind en dicht je het lek niet, dan loopt de aanvaller gewoon weer door dezelfde deur naar binnen. Combineer back-ups met controle op de integriteit van bestanden, malwarescans en het doornemen van logs.
Draai regelmatig Sucuri SiteCheck, Wordfence, ClamAV of scanners aan de serverkant. Gebruik versiebeheer op basis van Git om bestandswijzigingen van voor en na een incident te vergelijken. Een praktische routine voor een klein team: automatische back-up + wekelijks beveiligingsrapport + maandelijkse hersteloefening. Zo reageer je voordat de site wordt gehackt.