XSS

Stel dat er een security vulnerability ontdekt wordt in een populaire plugin. De developer publiceert dan een patch. Hackers weten binnen enkele uren welke sites nog niet geüpdatet zijn. Ze scannen automatisch miljoenen sites om die specifieke vulnerability te vinden.

Update je tijdig? Dan is je site veilig. Update je niet? Dan wordt je site een doelwit.

Voorbeeld: De Elementor plugin had in 2023 een kritieke XSS vulnerability. Deze kreeg de code CVE-2023-32243. Binnen 48 uur na publicatie waren er meer dan 3 miljoen scan pogingen op niet-geüpdatete sites.

Wat moet je updaten?

Dit zijn de vijf belangrijkste componenten die je moet updaten:

1. WordPress core - Elke nieuwe versie bevat security patches

# Rate limiting met mod_evasive
<IfModule mod_evasive20.c>
    DOSHashTableSize 3097
    DOSPageCount 5
    DOSSiteCount 50
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 10
</IfModule>

4. Kies hosting met goede monitoring

Definitie: Een Web Application Firewall (WAF) is een beveiligingslaag die HTTP-verkeer filtert en monitort tussen een webapplicatie en het internet. Een WAF beschermt tegen aanvallen zoals XSS, SQL-injectie, en kan ook bots herkennen op basis van gedragspatronen.

Of je nu wilt blokkeren of niet — goede monitoring is belangrijk. Zo weet je wat er op je server gebeurt.

Waar je op kunt letten bij je hostingpartij:

• max-age=31536000: HSTS geldig voor 1 jaar (in seconden)
• includeSubDomains: HSTS geldt ook voor subdomeinen

4. Security headers tegen XSS en clickjacking

Voeg beveiligingsheaders toe die beschermen tegen cross-site scripting (XSS), clickjacking en MIME-type sniffing aanvallen.