Beveiliging: de basis die elke site nodig heeft

Houd alles bij wat je gebruikt: het systeem zelf, uitbreidingen, bibliotheken. Dit is verreweg de belangrijkste maatregel, en de reden dat 'we doen niets aan onderhoud' in de praktijk hetzelfde betekent als 'we wachten tot het misgaat'.

Zorg dat het verkeer versleuteld is met een geldig certificaat, en dat het automatisch verlengd wordt. Een verlopen certificaat maakt je site voor bezoekers onbruikbaar en voelt onbetrouwbaar.

Beperk wie waarbij kan. Beheerdersrechten alleen voor wie ze nodig heeft, sterke wachtwoorden en tweestapsverificatie op alles wat toegang geeft: het beheer van de site, het domein, de hosting en de mail.

Een back-up die nooit is teruggezet, is een hoop hoop. Test minstens één keer of je een kopie ook echt terug kunt zetten, en weet hoe lang dat duurt en wie het kan.

Bewaar kopieën niet alleen op dezelfde server: gaat die stuk of raakt hij besmet, dan gaan de back-ups mee. Meerdere momenten bewaren helpt ook, want besmetting wordt vaak pas dagen later ontdekt.

En denk aan de gegevens buiten de site: het bestandsarchief, de mailbox met aanvragen en de exports uit je beheeromgeving.

Formulieren zijn de meest gebruikte ingang. Bescherm ze tegen misbruik, filter wat er binnenkomt en vertrouw nooit op controles die alleen in de browser gebeuren — die zijn te omzeilen.

Bij inloggen hoort een limiet op mislukte pogingen, een sessie die verloopt en wachtwoorden die versleuteld worden opgeslagen met een modern algoritme. Wie wachtwoorden per e-mail verstuurt of leesbaar opslaat, heeft een groter probleem dan hij denkt.

Zorg tot slot dat je gewaarschuwd wordt: een melding als de site onbereikbaar is, als er ongewoon veel mislukte inlogpogingen zijn, of als er iets stukloopt. Weten dat er iets mis is, is het halve werk.