UPDATE 26-10-15: Wil je jouw site laten checken op dead plugins,themes, verborgen WordPress updates? Deze maand is het aantal problemen rondom gehackte websites een heet hangijzer. Het aantal WordPress dat gehackt wordt is groot. Wees hackers voor en laat een check doen hoe jouw site er voor staat tijdelijk voor slechts €24 (incl btw, 50% actiekorting). 

Extra beveiliging voor je WordPress site is sinds de grootschalige hackproblemen  van WordPress sites begin 2015 geen overbodige luxe meer, maar een must. Met een goed en veilig paswoord alleen, ben je helaas vaak niet voldoende beveiligd.

Het internet staat vol met artikels over gehackte WordPress Sites, security problemen etc.

Alhoewel een goed paswoord uiteraard nog altijd de nummer één regel is om je site veiliger te maken, zijn er aanvullende maatregelen nodig om te voorkomen dat je site toch gehackt wordt. Naast goede security via bijvoorbeeld een plugin, wordt vooral altijd aangeraden WordPress updates te installeren zodra deze beschikbaar zijn. Dat klinkt soms makkelijker dan het is.

De meeste updates laten vanzelf van zich horen. In het dashboard komt een melding, je klikt op op update en klaar. Toch kan je gemakkelijk updates over het hoofd zien. Daarnaast kan een update je complete site offline halen. En last but not least: soms denk je dat je alle WordPress updates gedraaid hebt en over nieuwe veilige software beschikt, terwijl je site nog steeds hackable software bevat.

Bij AllesWP komen veel supportvragen binnen die hiermee te maken hebben. Daarom  zetten we hier een aantal problemen op een rijtje met tips hoe deze te voorkomen.

‘Verborgen’ WordPress updates

Soms wordupdates niet getoond in je dashboard, terwijl er wel een update is.
Dit gebeurt  soms als je gebruik maakt van premium (betaalde) plugin of theme waar je geen license key voor hebt geïnstalleerd. Maak er daarom voor jezelf altijd een gebruik van direct de license key te activeren, bij installatie van een plugin. Ook zie je nog steeds soms dat premium plugins of themes die niet uit de WordPress Repository komen niet aankondigen dat er een update is in je Dashboard update lijst. Check daarom regelmatig of er al een update is van je gekochte software.

Bewuste niet-Updates, Incompatible Updates

WordPress updates kunnen niet compatible zijn met andere software in je WordPress installatie. Hierdoor kan het zo zijn dat je bepaalde noodzakelijke updates niet kan of wil doorvoeren die maken dat je site niet goed beschermd is. Je gijzelt als het ware met verouderde software andere onderdelen van je website op het gebied van veiligheid. Blijf dus niet hangen in verouderde software van bepaalde onderdelen. Zo kan het zijn dat je verouderde theme of vertaalplugin een nieuwere versie van WordPress niet ondersteunt. Wat je ook vaak ziet is dat in een theme software is meegebundeld die niet wordt geupdate, omdat het theme bewerkt is en aanpassingen mogelijk verloren gaan met een  update van het theme als die er al is.  Denk aan een sliderplugin die bij je theme zat die inmiddels sterk verouderd is.

Dead plugins/themes

Sommige plugins of themes worden niet meer ontwikkeld en zijn verlaten door de maker. Indien de PHP code in zo’n plugin of theme gebruikt echter niet meer veilig is, merk je hier niets van, omdat de maker geen updates meer uitbrengt. Check je plugin lijst daarom regelmatig op plugins die te oud zijn of die je niet meer gebruikt. Hetzelfde geldt voor je theme. Dit is een lastig karwei, omdat je per plugin zal moeten nagaan, wat de meest recente update is die is uitgebracht in de WordPress Repository. Bovendien zijn er plugins of themes die bijvoorbeeld een jaar oud kunnen zijn zonder dat er updates voor zijn uitgebracht, maar desondanks nog gewoon veilig zijn. Een developer kan je hierin meestal wel adviseren, maar helemaal zeker weet je het nooit.

Security Plugins

Het is vooral op dit punt dat een security plugin uitkomst kan bieden. Bekende security plugins zijn plugins als Limit login attempts of vergelijkbaar, Ithemes Security en WordFence. Voor meer informatie over Security plugins verschijnt regelmatig op AllesWP.nl een apart artikel.

Oude installaties en inactieve plugins

Wist je dat ook verouderde plugins die je inactief hebt gezet gehackt kunnen worden? Ruim oude plugins dus zo snel mogelijk op. Hetzelfde geldt voor een oude websiteversie die je ergens op je server hebt staan in je public html folder en al lang vergeten was. Ruim het op, want je ondermijnt daarmee je hele account.

Een Update-Stappenplan

Indien je WordPress update, hou er dan rekening mee dat je gebruikte theme of framework ook geschikt moet zijn voor deze nieuwe WordPress versie. Zoiets weet je niet van te voren vaak. Zorg daarom dat je in stappen te werk gaat, zodat je weet waar het eventueel fout gaat.

Je kan updates onderverdelen in:
-updates van een framework (bv Genesis),
-updates van het  theme,
-updates van plugins,
-updates van de WordPress Core.

In praktijk kan het handig zijn de updates ook in deze volgorde te doen, dwz. eers de updates van je framework en/of theme uitvoeren, daarna de updates van je plugins en daarna een update van WordPress zelf te doen. Na de update van WordPress is het zaak binnen een dag nogmaals te checken of er updates zijn van plugins. Het kan namelijk zo zijn dat door updaten van WordPress er nu opeens updates getoond worden die vóór de WordPress update niet getoond werden. Alhoewel WordPress.org zelf aanbeveelt eerst de WordPress Core te updaten, kan in veel gevallen bovenstaande werkwijze problemen voorkomen is onze ervaring.

WordPress Auto-Update

Interessant om te noemen is de zogenaamde auto-update functie die WordPress nog niet zo lang geleden heeft geïntroduceerd voor wat betreft de WordPress Core. Je WordPress software wordt hiermee automatisch geupdate naar een nieuwere versie zodra deze beschikbaar is. Alhoewel je daarmee nooit meer vergeet te updaten, krijgen we veel vragen over kapotte sites n.a.v zo’n WordPress auto update die niet compatible bleek te zijn met framework, themes en plugins. Gevolg een leeg wit scherm of cryptische foutmeldingen op je site.

AllesWP onderhoudt en bouwt WordPress websites en raadt aan tenminste 4 keer per jaar updates te (laten) installeren. Voor klanten die zeker willen zijn dat hun site goed blijft draaien, biedt AllesWP maandelijks update support aan.

En overbodig om te zeggen: voordat je zelf gaan updaten, maak altijd een backup. Dat voorkomt een hoop problemen.