Een website hoeft geen banktoepassing te zijn om interessant te zijn voor aanvallers. Geautomatiseerde scanners zoeken voortdurend naar verouderde software, zwakke accounts, onveilige formulieren en verkeerd geconfigureerde servers.
Deze checklist is geen pentest, maar wel een goede eerste controle voor een kmo-website.
1. Worden core, plugins en thema’s bijgewerkt?
Verouderde componenten zijn een van de meest voorkomende aanvalspunten. Updates moeten niet blind worden geïnstalleerd: maak back-ups, test belangrijke functies en verwijder plugins die je niet meer gebruikt.
2. Zijn beheerdersaccounts echt nodig?
Geef gebruikers alleen de rechten die ze nodig hebben. Een contentmedewerker hoeft meestal geen volledige administratorrechten te hebben. Minder privileges beperken de impact wanneer een account wordt misbruikt.
3. Is MFA actief voor beheerders?
Een sterk wachtwoord blijft belangrijk, maar multifactor-authenticatie voegt een extra controle toe wanneer een wachtwoord wordt gestolen of hergebruikt.
4. Zijn wachtwoorden uniek?
Gebruik geen gedeeld beheerwachtwoord voor meerdere mensen of websites. Een wachtwoordmanager maakt unieke lange wachtwoorden praktisch beheersbaar.
5. Draait de volledige website via HTTPS?
Niet alleen de login, maar de hele website hoort via HTTPS te werken. Beveiligingsheaders en een correcte TLS-configuratie kunnen de bescherming verder versterken.
6. Zijn formulieren beschermd?
Formulieren verwerken input van buitenaf en moeten daarom als onbetrouwbare invoer worden behandeld. Denk aan server-side validatie, spambeperking, CSRF-bescherming en veilige verwerking van uploads.
7. Zijn bestandsuploads beperkt?
Wanneer bezoekers documenten kunnen uploaden, beperk dan bestandstypes, grootte en opslaglocatie. Een uploadfunctie is gevoeliger dan een eenvoudig tekstformulier.
8. Zijn er goede back-ups?
Een back-up is pas waardevol wanneer hij losstaat van de website en effectief kan worden teruggezet. Bewaar meerdere versies en test periodiek een restore.
9. Is er monitoring?
Je wilt weten wanneer onverwachte wijzigingen, mislukte logins, malware-indicatoren of andere verdachte gebeurtenissen optreden. Logging helpt bovendien om achteraf te begrijpen wat er gebeurd is.
10. Zijn sessies en cookies correct beveiligd?
Beheersessies moeten via veilige cookies en HTTPS lopen. Sessies horen te verlopen en opnieuw geauthenticeerd te worden wanneer dat nodig is, zeker na gevoelige accountwijzigingen.
11. Zijn oude accounts verwijderd?
Accounts van ex-medewerkers, oude freelancers of tijdelijke leveranciers blijven verrassend vaak bestaan. Plan daarom periodiek een gebruikerscontrole.
12. Is er een herstelplan?
Wie doet wat wanneer de site gehackt wordt of uitvalt? Zorg dat domein, hosting, DNS, back-ups en beheeraccounts bereikbaar blijven voor de juiste personen.
Wat is “veilig genoeg”?
Absolute veiligheid bestaat niet. Het doel is risico verkleinen, aanvallen sneller detecteren en herstellen zonder afhankelijk te zijn van één account of één server.
Voor websites met klantaccounts, betalingen, gevoelige data of complexe maatwerkfunctionaliteit is een diepere beveiligingsreview nodig dan deze checklist.
Begin met de basis
Voor de meeste kmo-sites leveren consequente updates, MFA, minimale rechten, goede back-ups en een getest herstelproces al een grote verbetering op.
Laat je een nieuwe site bouwen, neem beveiliging dan vanaf de architectuur mee in plaats van als plugin achteraf. Bekijk hoe CodeGenius een professionele website aanpakt of bespreek een beveiligings- en onderhoudsvraag.