Security Headers

Een Web Application Firewall (WAF) filtert kwaadaardig verkeer voordat het je applicatie bereikt. Voor WordPress: Wordfence of Cloudflare (gratis tier volstaat voor de meeste MKB-sites). Concrete instellingen: rate-limiting op /wp-login.php (maximaal 10 verzoeken per minuut per IP) en blokkeer /xmlrpc.php voor niet-API-clients. WAF biedt ook virtual patching: een kwetsbare plugin is al beveiligd op firewallniveau, nog voor de update uitkomt.

Content Security Policy: stop XSS aan de bron

Een Content Security Policy (CSP) vertelt de browser welke scripts en bronnen geladen mogen worden. Begin met de header Content-Security-Policy-Report-Only om schendingen te loggen zonder de site te breken. Scherp daarna geleidelijk aan. Aanvullende security headers voor HSTS, X-Frame-Options en Referrer-Policy voeg je toe via .htaccess. Kant-en-klare snippets vind je in ons overzicht van 20 .htaccess code snippets.

WordPress-specifieke maatregelen

WordPress drijft 43% van het internet en ontvangt daardoor 90.000 geautomatiseerde aanvallen per minuut. Drie directe acties: verberg de standaard wp-admin-URL, schakel XML-RPC uit voor niet-API-clients, en installeer alleen plugins uit de officiële WordPress.org-repository. Combineer dit met een actueel beveiligingsbeleid voor snelheid en beveiliging, zoals beschreven in ons artikel over WordPress sneller maken in 2026.

1. File permissions — 644 voor files, 755 voor mappen, 600 voor wp-config.php
2. Database beveiliging — sterk wachtwoord, custom prefix (niet wp_)
3. Security headers — HSTS, X-Frame-Options, CSP via .htaccess
4. Cloudflare CDN — gratis DDoS-bescherming en WAF

Elk jaar worden miljoenen websites gehackt. De gemiddelde schade bedraagt €3.86 miljoen per datalek volgens IBM's Cost of a Data Breach Report 2023. Het gaat niet alleen om financiële schade. Een gehackte website betekent ook verlies van klantvertrouwen en SEO-penalties van Google. In sommige gevallen volgen zelfs juridische consequenties onder de AVG en GDPR.

• max-age=31536000: HSTS geldig voor 1 jaar (in seconden)
• includeSubDomains: HSTS geldt ook voor subdomeinen

4. Security headers tegen XSS en clickjacking

Voeg beveiligingsheaders toe die beschermen tegen cross-site scripting (XSS), clickjacking en MIME-type sniffing aanvallen.