XSS

Een Web Application Firewall (WAF) filtert kwaadaardig verkeer voordat het je applicatie bereikt. Voor WordPress: Wordfence of Cloudflare (gratis tier volstaat voor de meeste MKB-sites). Concrete instellingen: rate-limiting op /wp-login.php (maximaal 10 verzoeken per minuut per IP) en blokkeer /xmlrpc.php voor niet-API-clients. WAF biedt ook virtual patching: een kwetsbare plugin is al beveiligd op firewallniveau, nog voor de update uitkomt.

Content Security Policy: stop XSS aan de bron

Een Content Security Policy (CSP) vertelt de browser welke scripts en bronnen geladen mogen worden. Begin met de header Content-Security-Policy-Report-Only om schendingen te loggen zonder de site te breken. Scherp daarna geleidelijk aan. Aanvullende security headers voor HSTS, X-Frame-Options en Referrer-Policy voeg je toe via .htaccess. Kant-en-klare snippets vind je in ons overzicht van 20 .htaccess code snippets.

Stel dat er een security vulnerability ontdekt wordt in een populaire plugin. De developer publiceert dan een patch. Hackers weten binnen enkele uren welke sites nog niet geüpdatet zijn. Ze scannen automatisch miljoenen sites om die specifieke vulnerability te vinden.

Update je tijdig? Dan is je site veilig. Update je niet? Dan wordt je site een doelwit.

Voorbeeld: De Elementor plugin had in 2023 een kritieke XSS vulnerability. Deze kreeg de code CVE-2023-32243. Binnen 48 uur na publicatie waren er meer dan 3 miljoen scan pogingen op niet-geüpdatete sites.

Wat moet je updaten?

Dit zijn de vijf belangrijkste componenten die je moet updaten:

1. WordPress core - Elke nieuwe versie bevat security patches

# Rate limiting met mod_evasive
<IfModule mod_evasive20.c>
    DOSHashTableSize 3097
    DOSPageCount 5
    DOSSiteCount 50
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 10
</IfModule>

4. Kies hosting met goede monitoring

Definitie: Een Web Application Firewall (WAF) is een beveiligingslaag die HTTP-verkeer filtert en monitort tussen een webapplicatie en het internet. Een WAF beschermt tegen aanvallen zoals XSS, SQL-injectie, en kan ook bots herkennen op basis van gedragspatronen.

Of je nu wilt blokkeren of niet — goede monitoring is belangrijk. Zo weet je wat er op je server gebeurt.

Waar je op kunt letten bij je hostingpartij: