Website inlogbeveiliging: aanvallen stoppen in 6 stappen

Wanneer iemand jouw website probeert binnen te komen, is de kans groot dat het geen mens is. Cloudflare analyseerde in zijn Threat Report 2026 honderden miljarden verbindingen en ontdekte dat 94% van alle inlogpogingen afkomstig is van geautomatiseerde bots.^[1] Van de resterende menselijke pogingen maakt 46% gebruik van inloggegevens die al eerder waren gestolen bij een datalek elders.

De aanvallers raden geen wachtwoorden. Ze hoeven dat niet. Er circuleren momenteel 24 miljard gestolen username-wachtwoordcombinaties in underground databases.^[4] Die worden automatisch uitgetest op jouw inlogpagina, duizenden tegelijk, elk uur van de dag.

Dit artikel geeft je een gelaagd verdedigingsmodel voor je inlogpagina: van Cloudflare rate limiting tot phishingKeurigOnline zegtPhishingPhishing is een cyberaanval waarbij criminelen zich voordoen als betrouwbare organisaties om gevoelige informatie te stelen.-resistente passkeys. Of je nu WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. beheert of een maatwerk-webapplicatie: de zes lagen die hieronder aan bod komen, werken samen en zijn elk afzonderlijk te implementeren, ook zonder groot budget of groot technisch team.

Wat zijn credential-based aanvallen? (en waarom jouw site het doelwit is)

Aanvallers richten zich niet meer op softwarefouten of serverexploits. Ze richten zich op inloggegevens: jouw gebruikersnaam en wachtwoord. Drie aanvalstypen domineren het dreigingslandschap.

Brute force

Bij een brute force-aanvalKeurigOnline zegtBrute force-aanvalEen brute force-aanval is een methode waarbij een aanvaller systematisch alle mogelijke combinaties probeert om toegang te krijgen tot een systeem. probeert een bot automatisch duizenden wachtwoordcombinaties totdat er één klopt. Het begint met veelgebruikte wachtwoorden als "123456" of "welkom01" en werkt door naar complexere variaties. Brute force-aanvallen zijn in 2025 bijna verdrievoudigd: van ongeveer 20% naar 60% van alle basiswebapplicatie-incidenten in één jaar tijd.^[2]

Credential stuffing

Credential stuffing is slimmer en gevaarlijker. De aanvaller gebruikt geen willekeurige wachtwoorden, maar username-wachtwoordcombinaties die al zijn gelekt bij een datalek bij een andere dienst. Denk aan het lek bij een webshop, een forum of een andere hostingprovider. Die gestolen combinaties worden automatisch uitgetest op jouw inlogpagina.

Het werkt omdat mensen wachtwoorden hergebruiken. Uit Cloudflare-data blijkt dat 63% van alle geslaagde logins op beschermde sites gebruikmaakt van eerder gecompromitteerde inloggegevens.^[1] En er is geen gebrek aan materiaal: 24 miljard gestolen credential-paren circuleren momenteel in underground databases, goed voor circa drie complete inlogcombinaties per aardbewoner.^[4]

Password spraying

Password spraying omzeilt lockout-systemen die accounts blokkeren na te veel foutieve pogingen. In plaats van veel pogingen op één account te doen, probeert de aanvaller één veelgebruikt wachtwoord uit op duizenden accounts tegelijk. Eén poging per account per dag valt zelden op in logs en triggert geen automatische blokkade.

Wat kost een geslaagde aanval?

Gestolen inloggegevens waren in 2025 de meest gebruikte initiële aanvalsvector en verantwoordelijk voor 22% van alle bevestigde datalekken.^[2] De gemiddelde kosten van een datalek via gecompromitteerde inloggegevens bedragen 4,67 miljoen dollar, met een gemiddelde ontdektijd van 246 dagen.^[5]

Voor mkb-bedrijven is het beeld niet beter: kleine ondernemingen worden gemiddeld elke 11 seconden getroffen door geautomatiseerde aanvallen, en 12% van alle authenticatiepogingen bij mkb-bedrijven is credential stuffing.^[4]

De 6 lagen van effectieve inlogpaginabeveiliging

Één beveiligingsmaatregel is niet genoeg. CrowdStrike toonde in zijn Global Threat Report 2026 aan dat 82% van alle detecties volledig malware-vrij was: aanvallers logden gewoon in met geldige inloggegevens.^[3] Een firewallKeurigOnline zegtFirewallEen firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. of antivirus helpt dan niets. Effectieve inlogpaginabeveiliging werkt gelaagd, van buiten naar binnen.

De volgende secties werken elke laag concreet uit, met configuratievoorbeelden en aanbevolen tools. Begin bij laag 1: die biedt de meeste bescherming voor de minste moeite.

Rate limiting op edge-niveau: vóórdat PHP het ziet

Rate limiting instellen in Cloudflare Free

Met een gratis Cloudflare-account stel je een rate limit rule in via Security > WAF > Rate limiting rules. Gebruik de volgende configuratie:

Veld:    URI Path bevat /wp-login.php
         OF URI Path bevat /xmlrpc.php
Methode: POST

Actie:   Challenge (Turnstile) na 5 pogingen per 60 seconden per IP
         Block bij herhaalde overschrijding (duur: 1-24 uur)

Stel de drempel in op maximaal 5 POST-verzoeken per IP per 60 seconden. De "Challenge"-actie toont Cloudflare Turnstile bij de eerste overschrijding. Turnstile is de gratis, privacyvriendelijke CAPTCHAKeurigOnline zegtCaptchaCaptcha is een beveiligingstest die onderscheid maakt tussen mensen en geautomatiseerde programma's (bots).-variant van Cloudflare. Bij herhaalde schending stel je de actie in op "Block" voor een periode van minimaal 1 uur.

Serveroptie zonder Cloudflare

Gebruik je geen Cloudflare, dan configureer je rate limiting op serverniveau. In NginxKeurigOnline zegtNginxNginx is een open-source webserver, reverse proxy en load balancer die veel gebruikt wordt voor hoogperformante websites. voeg je het volgende toe aan je serverconfiguratie:

limit_req_zone $binary_remote_addr zone=loginzone:10m rate=5r/m;

location = /wp-login.php {
    limit_req zone=loginzone burst=3 nodelay;
    fastcgi_pass unix:/run/php/php-fpm.sock;
    include fastcgi_params;
}

In ApacheKeurigOnline zegtApacheApache HTTP Server is een open source webserver ontwikkeld door de Apache Software Foundation. gebruik je mod_evasive of mod_security voor vergelijkbare beperkingen. Meer kant-en-klare serverconfiguratieblokken vind je in ons overzicht van .htaccess-snippets voor jouw website.

IP-reputatielijsten en geoblocking

Naast rate limiting activeer je IP-reputatielijsten in Cloudflare via Security > Settings > Security Level: stel dit in op "High". Dit blokkeert IP-adressen die Cloudflare al kent als bron van aanvallen, nog vóór jouw rate limit rule wordt bereikt. Als jouw website uitsluitend Nederlandse bezoekers verwacht, overweeg dan geoblocking voor regio's van waaruit je nooit legitiem verkeer ontvangt. Dat vermindert het aanvalsoppervlak aanzienlijk zonder de gebruikerservaring voor echte bezoekers te raken.

MFA en sterke authenticatie instellen

Multifactorauthenticatie voegt een verificatiestap toe naast het wachtwoord. Zelfs als een aanvaller je wachtwoord heeft via credential stuffing, kan hij niet inloggen zonder de tweede factor. Microsoft berekende dat MFA 99,9% van geautomatiseerde accountcompromitteringen blokkeert.^[8] Niet alle MFA-vormen zijn even sterk. Er zijn drie niveaus, in oplopende veiligheid.

Niveau 1: SMS of e-mail OTP

Je ontvangt een eenmalige code via sms of e-mail. Dit is beter dan geen MFA, maar heeft zwakheden. Bij SIM-swapping neemt een aanvaller je telefoonnummer over en ontvangt zo je sms-codes. Bovendien onderscheppen moderne PhaaS-platformen deze codes in realtime via Adversary-in-the-Middle-aanvallen. Meer hierover in het volgende hoofdstuk.

Niveau 2: TOTP (tijdgebonden eenmalige code)

Apps als Google Authenticator of Authy genereren elke 30 seconden een nieuwe 6-cijferige code op basis van een gedeeld geheim. Dit is sterk, maar niet onkwetsbaar. Bij 80% van de MFA-bypass-aanvallen steelt de aanvaller de sessiecookie ná de succesvolle MFA-verificatie, waardoor de aanvaller is ingelogd terwijl jij denkt dat alles in orde is.^[5]

Niveau 3: FIDO2 en passkeys (aanbevolen voor beheerdersaccounts)

FIDO2-sleutels en passkeys zijn phishing-resistant. De cryptografische sleutel is gebonden aan de exacte domeinnaamKeurigOnline zegtDomeinnaamEen domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai.: je sleutel werkt alleen op jouw echte site. Een aanvaller die een nepaanmeldpagina opzet op een ander domein, krijgt niets terug. Passkeys zijn daarmee het enige betrouwbare antwoord op AiTM-aanvallen die TOTP-codes omzeilen.

WordPress-specifiek: wp-login.php en xmlrpc.php dichtzetten

WordPress is het doelwit bij uitstek, simpelweg omdat het op meer dan 40% van alle websites draait. Aanvallers weten exact waar de inlogpagina staat: /wp-login.php. En ze weten dat /xmlrpc.php een tweede ingang biedt die nogal eens vergeten wordt. Hieronder een concreet stappenplan, van snelste impact naar diepgaandere bescherming.

Stap 1: rate limiting op Cloudflare

Stel de Cloudflare-rules in voor /wp-login.php én /xmlrpc.php zoals beschreven in de vorige sectie. Dit is de eerste en meest impactvolle stap: blokkeer het botverkeer voordat het je server raakt.

Stap 2: xmlrpc.php blokkeren via .htaccess

Als je geen legacy integraties hebt die XMLKeurigOnline zegtXMLXML is een opmaaktaal die gebruikt wordt om gestructureerde data uit te wisselen tussen systemen.-RPC gebruiken, blokkeer het bestand dan volledig en verwijder zo het aanvalsoppervlak:

# Blokkeer xmlrpc.php volledig
<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

Voeg dit toe aan het .htaccess-bestand in de WordPress-root. Meer handige .htaccess-snippets voor jouw website vind je in ons overzichtsartikel, inclusief aanvullende beveiligingsconfiguratieblokken.

Stap 3: Limit Login Attempts Reloaded

Installeer de plugin Limit Login Attempts Reloaded als backstop op applicatieniveau. Aanbevolen instellingen: lockout na 5 mislukte pogingen, blokkade van het IP-adres voor 24 uur, en een e-mailmelding aan de admin bij elke lockout. Dit is de laatste vanglijn als de Cloudflare-rate-limit onverhoopt omzeild wordt.

Stap 4: HTTP Basic Authentication op wp-login.php

Voeg een extra authenticatielaag toe vóór de WordPress-loginpagina. Via .htaccess en een .htpasswd-bestand eis je een gebruikersnaam en wachtwoord, nog voordat WordPress laadt:

# Bescherm wp-login.php met HTTP Basic Auth
<Files wp-login.php>
    AuthType Basic
    AuthName "Beheerderstoegang"
    AuthUserFile /pad/naar/.htpasswd
    Require valid-user
</Files>

Genereer het .htpasswd-bestand via de commandoregel met htpasswd -c /pad/naar/.htpasswd gebruikersnaam. Bewaar het bestand buiten de webroot zodat het niet direct opvraagbaar is.

Stap 5: login-URL verplaatsen

Met de plugin WPS Hide Login verander je de URL van /wp-login.php naar een zelfgekozen pad. Dit is geen vervanging voor de maatregelen hierboven, maar het filtert geautomatiseerde scanners die standaard /wp-login.php zoeken en niets anders proberen. Verwacht een directe daling van het aanvalsverkeer op de inlogpagina na activatie.

Phishing-as-a-Service: wanneer MFA niet meer genoeg is

Je hebt MFA ingeschakeld, je inlogpagina is beschermd met rate limiting, je wachtwoord is sterk en uniek. Dan toch krijgt een aanvaller toegang. Hoe?

Via Phishing-as-a-Service (PhaaS): kant-en-klare phishing-toolkits die criminelen als maandabonnement kopen voor 200 tot 350 euro. Ze bevatten AI-gegenereerde nep-e-mails, realtime dashboards en technologie die MFA-codes in real-time onderschept. De drempel om een aanval te lanceren is vrijwel nul: geen technische kennis vereist.

Hoe werkt AiTM?

Bij een Adversary-in-the-Middle (AiTM)-aanval plaatst het PhaaS-platform een onzichtbare reverse proxyKeurigOnline zegtReverse proxyEen reverse proxy is een server die verzoeken ontvangt en doorstuurt naar backend-servers. tussen de gebruiker en de echte website. Je denkt in te loggen op jouw normale loginpagina. Je vult je wachtwoord in en je MFA-code. De proxy stuurt die gegevens door naar de echte site, ontvangt de sessiecookie terug en is nu ingelogd als jou, terwijl jij ook ingelogd lijkt. Jouw TOTP-code was al geldig en verbruikt: nutteloos als verdediging.

Barracuda Networks detecteerde in januari en februari 2025 meer dan 1 miljoen PhaaS-aanvallen. Het platform Tycoon 2FAKeurigOnline zegt2FA2FA (tweefactorauthenticatie) is een beveiligingsmethode die naast je wachtwoord een tweede verificatie vereist. was verantwoordelijk voor 89% van alle PhaaS-incidenten in die periode.^[6] In mei 2026 waarschuwde de FBI voor Kali365, een nieuw PhaaS-platform dat Microsoft 365 OAuth-tokens steelt en MFA volledig omzeilt zonder het wachtwoord te kennen.^[7]

Tegenmaatregelen tegen PhaaS en AiTM

FIDO2 en passkeys zijn de enige MFA-methode die AiTM structureel tegenhoudt. De cryptografische sleutel is gebonden aan de exacte domeinnaam. Een phishing-proxy die op een ander domein draait, krijgt nooit een geldige sleutelrespons terug. Passkeys zijn phishing-resistant by design.

DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. instellen op je domein pakt het probleem bij de bron aan: het voorkomt dat aanvallers e-mails sturen die lijken te komen van jouw domein. Cloudflare meet dat 46% van alle geanalyseerde e-mails momenteel niet slaagt voor DMARC-authenticatie.^[1] Stel DMARC, SPF en DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. in via je DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn.-beheer. Ons artikel over DNSSEC op je domein inschakelen legt uit hoe je een bredere laag domeinbeveiliging opzet die PhaaS-aanvallen verder bemoeilijkt.

Conditional Access blokkeert inlogpogingen vanaf onbekende apparaten of ongebruikelijke locaties. Als een sessie plots verschijnt vanuit een ander land of op een nieuw apparaat, wordt die geblokkeerd of vereist een extra verificatiestap. Dit is beschikbaar via Azure AD, Google Workspace of andere identiteitsplatformen.

Monitoring en alerting: aanvallen herkennen voordat het te laat is

Een aanval die je vroeg detecteert, kun je stoppen. Een aanval die pas na 246 dagen wordt ontdekt, kost gemiddeld 4,67 miljoen dollar.^[5] Goede monitoring is daarmee niet alleen technisch zinvol, maar financieel de moeite meer dan waard.

Signalen van een actieve aanval

Kijk in je access logs op de volgende patronen:

• Pieken in POST-requests naar /wp-login.php, /xmlrpc.php, /login of andere authenticatie-endpoints. Een plotselinge stijging van 50 naar 5.000 POST-verzoeken per uur is een duidelijk signaal.
• Verhoogde 401- en 403-foutcodes in je serverlogboek. Veel mislukte inlogpogingen produceren een stroom van 401 Unauthorized-codes.
• 429 Too Many Requests: als je rate limiting al actief is, zie je dit wanneer de limiet wordt bereikt. Dit bewijst dat de maatregel werkt, maar ook dat er actief aangevallen wordt.
• Ongebruikelijke locaties of user agents: inlogpogingen vanuit landen waar je normaal geen bezoekers hebt, of user agents als python-requests of curl bij inlogpogingen, zijn betrouwbare aanvalssignalen.

Praktische tools

Cloudflare Security Events is de snelste optie als je al Cloudflare gebruikt. Via Security > Events zie je realtime een overzicht van geblokkeerde verzoeken, rate-limited IP-adressen en CAPTCHA-uitdagingen. Filter op endpoint om te zien welke aanvalspaden het zwaarst worden belast.

GoAccess is een open-source commandoregeltool voor real-time analyse van access logs. Draai het rechtstreeks op je server:

goaccess /var/log/apache2/access.log -c --log-format=COMBINED

Je krijgt direct een dashboard met topverzoeken, foutcodes en geografische verdeling van verkeer. GoAccess werkt ook met NginxKeurigOnline zegtNginxNginx is een open-source webserver, reverse proxy en load balancer die veel gebruikt wordt voor hoogperformante websites.-logs en is daarmee breed inzetbaar.

Wordfence Live Traffic toont in WordPress-dashboard inlogpogingen, geblokkeerde IP-adressen en aanvalsbronnen per minuut, zonder dat je in serverlogbestanden hoeft te zoeken.

Stel drempelwaarschuwingen in

Configureer een e-mailwaarschuwing wanneer het aantal mislukte logins een drempel overschrijdt, bijvoorbeeld meer dan 50 mislukte pogingen per uur. In Wordfence stel je dit in via Wordfence > Alerts. In Cloudflare maak je Notifications aan op basis van security-events via Account > Notifications.

Schrijf logingebeurtenissen ook naar een externe logfile of een eenvoudig SIEM. Als je ooit een incident moet reconstrueren, is een aantoonbare audit trail onmisbaar. Zorg er tegelijk voor dat je een SSL-certificaat correct hebt ingesteld: zonder HTTPS gaan inloggegevens onversleuteld over het netwerk en zijn ze onderschepbaar voordat ze je server bereiken.

Checklist: website inlogbeveiliging in 10 stappen

Gebruik onderstaande lijst als werkplan. Elke stap bevat een tijdindicatie: direct uitvoerbaar binnen een uur, te plannen voor deze week, of evalueerbaar dit kwartaal.

Met de eerste vijf stappen sluit je de grootste aanvalsvectoren al in de loop van één werkdag. De overige vijf verlagen het restrisico en bereiden je voor op geavanceerdere dreigingen zoals PhaaS.

Veelgestelde vragen over website inlogbeveiliging

Bronnen