Het begint meestal onschuldig. De website voelt traag aan, daarna laadt hij helemaal niet meer. U belt de hostingpartij en hoort dat er “ongewoon veel verkeer” binnenkomt. Geen bestellingen, geen contactformulieren, en de telefoon gaat vaker dan anders omdat klanten denken dat u failliet bent. Een DDoS-aanval op uw website is voor de meeste ondernemers een abstract begrip, tot het hen zelf overkomt.
Het goede nieuws: een DDoS-aanval steelt geen gegevens en verandert niets aan uw site. Het slechte nieuws: u kunt hem niet zelf tegenhouden vanuit WordPress. Wat u wél kunt doen, is zorgen dat u er niet door verrast wordt en dat de juiste partijen klaarstaan. Dit artikel legt uit wat er gebeurt, hoe u het herkent en wat een realistische voorbereiding is voor een mkb-bedrijf.
Wat een DDoS-aanval eigenlijk doet
DDoS staat voor Distributed Denial of Service. Vrij vertaald: een verspreide poging om uw dienst onbereikbaar te maken. Een aanvaller gebruikt duizenden gekaapte apparaten (computers, maar ook slecht beveiligde camera’s en routers) om tegelijk verzoeken naar uw server te sturen. De server probeert alles netjes af te handelen, raakt overbelast en heeft geen capaciteit meer over voor echte bezoekers.
Vergelijk het met een winkel waar opeens vijfhonderd mensen tegelijk de deur binnenlopen, alleen maar om in de weg te staan. De echte klanten komen er niet meer door. De winkel zelf is niet beschadigd, maar er wordt niets verkocht zolang het duurt.
Er zijn grofweg twee soorten. Bij volumetrische aanvallen gaat het om pure hoeveelheid: zoveel dataverkeer dat de internetverbinding van de server dichtslibt. Bij applicatieaanvallen (laag 7) is het verkeer kleiner, maar gericht op zware pagina’s, zoals de zoekfunctie, de inlogpagina of de winkelwagen van een webshop. Die tweede soort is voor WordPress-sites het venijnigst, omdat elk verzoek PHP en de database aan het werk zet.
Waarom zou iemand uw website aanvallen?
Dat is de vraag die vrijwel elke ondernemer stelt. “Wij zijn een installatiebedrijf in Apeldoorn, wie heeft daar last van?” De motieven zijn in de praktijk minder persoonlijk dan u denkt:
- Afpersing. Een korte aanval als “proef”, gevolgd door een e-mail met de vraag om te betalen in cryptovaluta. Betaal nooit; het maakt u alleen een interessanter doelwit.
- Concurrentie of rancune. Een boze ex-medewerker of een ontevreden klant kan voor enkele tientjes een aanval kopen. Dat is helaas geen fantasie.
- Bijvangst. Uw site staat op een gedeelde server met honderd andere sites. Een van die buren is het doelwit, u ligt er ook uit.
- Willekeur. Sommige botnets testen simpelweg hun kracht op willekeurige domeinen.
Het is dus zelden een teken dat iemand iets specifieks tegen u heeft. Het is wel een reden om niet af te wachten.
Hoe u een DDoS-aanval herkent (en waar u hem mee verwart)
Niet elke uitval is een aanval. Een verlopen SSL-certificaat, een mislukte update of een volle schijf op de server geven vergelijkbare klachten. Signalen die wél op een aanval wijzen:
- De site is traag of onbereikbaar, terwijl er in WordPress niets is veranderd.
- Uw hostingpartij meldt ongewoon hoog verkeer of beperkt uw account tijdelijk.
- In de serverlogboeken staan duizenden verzoeken per minuut vanaf steeds wisselende IP-adressen, vaak naar één en dezelfde pagina.
- Andere sites op dezelfde server zijn ook traag.
- De uitval komt in golven: een kwartier plat, tien minuten rustig, weer plat.
Een goed ingerichte uptime-monitor is hierbij onmisbaar. Die vertelt u niet alleen dát de site eruit ligt, maar ook sinds wanneer en hoe vaak. Dat scheelt een hoop gissen als u de hostingpartij belt.
Wat u vooraf kunt regelen
Voorbereiding op een DDoS-aanval draait niet om WordPress-plugins. Een plugin draait pas als het verzoek al bij uw server is aangekomen, en dan is de schade al gedaan. De bescherming moet vóór de server zitten.
1. Kies hosting die er iets tegen doet
Vraag uw hostingpartij expliciet: “Wat gebeurt er bij een DDoS-aanval op mijn site?” Goede partijen hebben netwerkfilters die grof verkeer afvangen en vertellen u eerlijk waar hun grens ligt. Slechte partijen zetten uw account uit “ter bescherming van andere klanten” en laten u het zelf uitzoeken. Dat antwoord wilt u vooraf kennen, niet op het moment zelf.
2. Zet een beschermende laag vóór uw site
Diensten zoals Cloudflare plaatsen zich tussen de bezoeker en uw server. Verkeer gaat eerst door hun netwerk, dat aanvalsverkeer herkent en tegenhoudt voordat het uw server bereikt. De gratis variant vangt al veel op; voor een webshop met echte omzet is een betaald abonnement vaak de moeite waard. Vergeet niet het echte IP-adres van uw server af te schermen, anders kan een aanvaller er gewoon omheen.
3. Maak zware pagina’s minder zwaar
Caching zorgt dat de meeste pagina’s als kant-en-klare bestanden worden geserveerd in plaats van steeds opnieuw opgebouwd. Daardoor kan uw server veel meer verzoeken aan voordat hij bezwijkt. Beperk daarnaast wat niet nodig is: schakel XML-RPC uit als u het niet gebruikt en begrens het aantal inlogpogingen. Het houdt een echte aanval niet tegen, maar verhoogt de drempel flink.
4. Leg vast wie wat doet
Wie belt de hostingpartij, wie zet een bericht op social media, wie informeert klanten die een bestelling verwachten? Een A4’tje met telefoonnummers en inloggegevens voor DNS en hosting bespaart in het moment zelf een uur paniek.
Wat u doet als het gebeurt
Blijf rustig en werk in deze volgorde. Bel eerst de hostingpartij en vraag of zij een aanval zien en wat zij al blokkeren. Als u nog geen beschermingslaag heeft, kunt u die vaak alsnog binnen een uur activeren door uw DNS te verhuizen; het effect komt dan geleidelijk. Zet in de tussentijd de zwaarste functies uit, bijvoorbeeld de zoekfunctie of een agenda-plugin, en schakel de cache zo agressief mogelijk in.
Bewaar de logboeken en eventuele afpersingsmails. Bij afpersing kunt u aangifte doen bij de politie; dat is zinvol, ook al is de kans op vervolging klein. Communiceer kort en eerlijk naar klanten: “Onze website is tijdelijk slecht bereikbaar door een aanval van buitenaf. Uw gegevens zijn niet in gevaar. Bestellen kan telefonisch via …”
Een fictief maar herkenbaar voorbeeld: een fietsenwinkel in Zwolle met een webshop lag op een zaterdagochtend twee uur plat. De hostingpartij zag een aanval op de zoekpagina, maar deed verder niets. Het bureau dat de site onderhield, zette binnen een uur een beschermende laag ervoor en blokkeerde tijdelijk de zoekfunctie. Tegen de middag draaide alles weer. De les die de eigenaar trok: het had hem twee uur omzet gekost, terwijl de voorbereiding een middag werk was geweest. Een beveiligingspakket met firewall en monitoring was daarna geen discussie meer.
Realistisch blijven
Een grote, goed georganiseerde aanval is voor geen enkele kleine onderneming volledig af te weren. Dat hoeft ook niet. Het doel is dat de gebruikelijke, goedkope aanvallen, die verreweg het grootste deel uitmaken, afketsen zonder dat u er iets van merkt. En dat u bij een uitzonderlijke aanval binnen een uur weet wat er aan de hand is en wie u belt.
Begin daarom vandaag met de twee simpelste stappen: vraag uw hostingpartij wat zij doen bij een aanval, en zet een beschermingslaag voor uw site. Het kost weinig en het verschil tussen “twee uur plat” en “niets gemerkt” zit precies daar. Wilt u weten hoe uw site er op dit moment voor staat, dan is een vrijblijvende websitecheck een praktische eerste stap.
