Cloudflare

Wil je dit soort noodpatches in het vervolg niet meer handmatig hoeven volgen? Lees ook ons artikel over structureel updatebeleid voor WordPress, zodat je bij de volgende kwetsbaarheid niet weer achter de feiten aanloopt.

Kun je niet meteen updaten? Tijdelijke noodmaatregel

Draai je een maatwerkomgeving waarin updaten niet meteen kan, bijvoorbeeld door custom code die eerst getest moet worden? Blokkeer dan tijdelijk toegang tot het kwetsbare endpoint op je firewall of edge-niveau (WAF, Cloudflare, of vergelijkbaar).

Let op: blokkeer beide vormen van het endpoint

• Het pad /wp-json/batch/v1

1. Stel automatische updates in voor premium plugins. Ga naar Plugins > Geïnstalleerde plugins en klik bij elke betaalde plugin op "Automatische updates inschakelen". Dit staat voor premium plugins vaak niet standaard aan en vereist een actieve licentieverbinding.
2. Activeer een Web Application Firewall (WAF). Wordfence (gratis basisversie beschikbaar) en Cloudflare blokkeren bekende aanvals-IP's en kwaadaardige payloads proactief, ook bij toekomstige kwetsbaarheden die nog niet gepatcht zijn.

Wat als je site al gehackt is?

Updaten naar 1.9.13 sluit de voordeur, maar richt de bestaande schade niet. Als je bij de controles uit het vorige onderdeel aanwijzingen hebt gevonden van een geslaagde aanval, doorloop dan de volgende stappen:

HTTPS versleutelt het verkeer tussen bezoeker en server. Het zegt niets over de betrouwbaarheid van de site zelf. Stel het in als basis en combineer het met de lagen hieronder. Lees hoe je dit correct configureert in ons artikel over SSL-certificaten en websiteveiligheid.

WAF: blokkeer aanvallen voor ze je site raken

Een Web Application Firewall (WAF) filtert kwaadaardig verkeer voordat het je applicatie bereikt. Voor WordPress: Wordfence of Cloudflare (gratis tier volstaat voor de meeste MKB-sites). Concrete instellingen: rate-limiting op /wp-login.php (maximaal 10 verzoeken per minuut per IP) en blokkeer /xmlrpc.php voor niet-API-clients. WAF biedt ook virtual patching: een kwetsbare plugin is al beveiligd op firewallniveau, nog voor de update uitkomt.

Content Security Policy: stop XSS aan de bron

Een Content Security Policy (CSP) vertelt de browser welke scripts en bronnen geladen mogen worden. Begin met de header Content-Security-Policy-Report-Only om schendingen te loggen zonder de site te breken. Scherp daarna geleidelijk aan. Aanvullende security headers voor HSTS, X-Frame-Options en Referrer-Policy voeg je toe via .htaccess. Kant-en-klare snippets vind je in ons overzicht van 20 .htaccess code snippets.