Welke WordPress security-plugin kies je?

De keuze voor een securityplugin lost het probleem niet op. De configuratie, en wat er daarna mee gebeurt, is wat telt. Zonder iemand die de plugin inricht op jouw situatie en op de meldingen reageert, levert die plugin vooral notificaties op die niemand leest.

Dat is niet wat je hoopt te lezen als je op zoek bent naar een concrete aanbeveling. Toch is dit precies waarom een top vijf hier weinig waarde heeft: de beste plugin voor jouw site is de plugin die iemand begrijpt, heeft ingesteld en actief in de gaten houdt. Een lijstje zonder kennis van jouw situatie suggereert dat de keuze het werk doet.

Waarom de keuze voor een securityplugin minder uitmaakt dan je denkt

Er zijn veel securityplugins beschikbaar voor WordPress, en het verschil zit zelden in de functielijst. Het zit in wat er na installatie gebeurt. Vrijwel alle securityplugins werken pas als iemand ze inricht op de situatie van de site: welk verkeer normaal is, welke meldingen ertoe doen, en wie erop reageert als er iets afwijkt.

Wij werken met Wordfence. Niet omdat het objectief de beste plugin is, maar omdat het past bij hoe wij werken en bij de sites die we beheren. Dat is een keuze, geen ranglijst.

Wat een securityplugin wél en niet doet

Een securityplugin verkleint de kans op een incident en verhoogt de zichtbaarheid als er iets misgaat. Hij signaleert verdacht verkeer, blokkeert bekende aanvalspatronen en geeft je inzicht in wat er op de site gebeurt.

Maar wat hij niet doet? Je plugins actueel houden. In onze praktijk is een verouderde plugin in ongeveer 75 procent van de gevallen de toegangsweg geweest bij een hack. Een securityplugin kan verdacht verkeer blokkeren en meldingen geven, maar hij dicht geen lek in een verouderde plugin. Dat doet een update.

Een securityplugin en structureel onderhoud doen dus verschillende dingen: de plugin signaleert en blokkeert, het onderhoud zorgt dat de kwetsbaarheid er niet is. Ze vervangen elkaar niet. Voor het volledige beeld van wat er bij preventie komt kijken, is WordPress preventief beveiligen een goed vertrekpunt.

Meerdere securityplugins naast elkaar: waarom dat zelden helpt

Op sites die we overnemen staat regelmatig meer dan één securityplugin actief. Meestal omdat niemand de vorige durfde te verwijderen toen er een nieuwe werd geïnstalleerd. Herkenbaar, maar het helpt niet.

Het resultaat is voorspelbaar: plugins conflicteren, geven dubbele of tegenstrijdige meldingen en kosten extra performance. En valse meldingen hebben een bijwerking die makkelijk wordt onderschat. Als meldingen altijd komen en nergens over blijken te gaan, worden echte meldingen ook genegeerd.

Eén plugin die is ingericht doet in de praktijk meer dan drie die aanstaan zonder dat iemand weet wat ze doen. Draait er al een securityplugin, dan is de eerste vraag wat daarmee gebeurt voordat er iets nieuws wordt toegevoegd.

Voor meer achtergrond over wat een firewall binnen zo’n plugin doet, legt dit overzicht van WordPress-firewalls dat afzonderlijk uit.

Overwegingen voordat je een keuze maakt

Er is geen universeel juiste keuze, maar er zijn wel vragen die het selectieproces concreter maken.

Wie reageert op de meldingen, en hoe vaak wil je gestoord worden? Een plugin die je elke dag een stroom notificaties stuurt, is alleen waardevol als iemand die notificaties leest en er iets mee doet. De instelling van de meldingsdrempel is daarbij minstens zo belangrijk als de keuze voor de plugin zelf.

Hoeveel configuratie is nodig voordat de plugin nuttig wordt? De standaardinstellingen van een securityplugin zijn zelden afgestemd op jouw specifieke site. Er is dus iemand nodig die de plugin afstelt: welk verkeer mag, welk verkeer geblokkeerd wordt, en welke uitzonderingen er gelden.

Wat doet de plugin met de performance? Een securityplugin voert controles uit bij elk paginaverzoek, en dat kost rekenkracht. Hoe merkbaar dat is, hangt af van de hostingomgeving en van hoe de site er verder voor staat. Geen reden om geen plugin te gebruiken, maar wel een factor om mee te nemen, zeker voor sites waar snelheid kritisch is.

Wat gebeurt er als de plugin legitiem verkeer blokkeert? Een firewall die ook betaalproviders of koppelingen blokkeert, veroorzaakt problemen die niet direct zichtbaar zijn. Wie merkt dat, en hoe snel? Dat is een vraag die de voorkeur voor een bepaalde plugin kan beïnvloeden.

Draait er al een securityplugin? Als ja: is die ingericht? Wie heeft dat gedaan, en wat is er sindsdien mee gebeurd? Soms is het antwoord niet een andere plugin, maar het alsnog goed instellen van wat er al staat.

Meer over wat je structureel kunt doen om je site beter te beveiligen staat in het overzicht WordPress beveiligen en een gehackte site herstellen, inclusief maatregelen die los staan van toolkeuze.

Een securityplugin is een onderdeel, geen eindpunt

Een goed geconfigureerde securityplugin is een serieuze laag in je beveiliging. Maar het is één laag. Inlogbeveiliging, tweefactorauthenticatie, actuele plugins en een helder update- en monitoringproces doen het echte werk.

De grens van een securityplugin is duidelijk: hij verkleint de kans en verhoogt de zichtbaarheid. Hij sluit niets uit en vervangt onderhoud niet. Hoe wij configuratie, monitoring en onderhoud voor klanten inrichten staat beschreven bij onze WordPress-support.

De beslissing die overblijft: wie richt de plugin in, wie reageert op de meldingen, en wat is er nog nodig naast de plugin?

Frequently asked questions

Welke security-plugin is de beste voor WordPress? Er is geen universeel beste plugin, de keuze hangt af van wie de plugin inricht, wie op de meldingen reageert en hoe de site er verder voor staat. Een goed geconfigureerde plugin doet in de praktijk meer dan een populaire plugin die niemand heeft ingesteld.

Kun je meerdere securityplugins tegelijk gebruiken? Dat kan technisch, maar het helpt zelden. Meerdere plugins naast elkaar veroorzaken conflicten, dubbele meldingen en extra belasting op de server. Valse meldingen zorgen er bovendien voor dat echte meldingen worden genegeerd. Één goed geconfigureerde plugin doet in de praktijk meer.

Is een gratis securityplugin voldoende? Dat hangt minder af van de prijs dan van wat ermee gebeurt. Een gratis versie die is ingericht en wordt opgevolgd, doet meer dan een betaalde versie die na installatie niet meer wordt aangeraakt.

Beschermt een securityplugin tegen een verouderde plugin? Nee. Een securityplugin kan verdacht verkeer signaleren en blokkeren, maar hij dicht geen lek in een verouderde plugin. Dat doet een update. In onze praktijk is een verouderde plugin in ongeveer 75 procent van de gevallen de toegangsweg geweest bij een hack.

Vertraagt een securityplugin je website? Een securityplugin voert controles uit bij elk paginaverzoek en dat kost rekenkracht. Hoe merkbaar dat is hangt af van de hostingomgeving en de staat van de site. Het effect is in de meeste gevallen beperkt, maar het is een factor om rekening mee te houden, zeker op sites waar laadtijd kritisch is.

Heb je een securityplugin nodig als je een onderhoudscontract hebt? Een securityplugin en structureel onderhoud doen verschillende dingen. De plugin signaleert en blokkeert actief verdacht verkeer; het onderhoud zorgt dat kwetsbaarheden er niet zijn. Ze vervangen elkaar niet, beide zijn een onderdeel van een solide beveiligingsaanpak.