Van alle beveiligingsmaatregelen die u op een WordPress-site kunt nemen, is er één die per bestede minuut het meeste oplevert. Het is niet een duurdere firewall en niet een extra scanner. Het is een tweede stap bij het inloggen: naast uw wachtwoord een code van zes cijfers uit een app op uw telefoon.

De reden is eenvoudig. Verreweg de meeste inbraken op WordPress-sites gebeuren niet door een geniale aanval, maar doordat iemand het juiste wachtwoord had. Uitgelekt bij een ander bedrijf, geraden omdat het te simpel was, of afgekeken. Met tweestapsverificatie in WordPress is dat wachtwoord op zichzelf niet meer genoeg. Hieronder leest u hoe u het instelt, wat u kiest en hoe u voorkomt dat u uzelf buitensluit.

Hoe het werkt, kort

Bij het inloggen vult u zoals altijd uw gebruikersnaam en wachtwoord in. Daarna vraagt WordPress om een code. Die code staat in een app op uw telefoon en verandert elke dertig seconden. De app en de site delen bij het instellen eenmalig een geheim, en berekenen daarna allebei zelfstandig dezelfde code op basis van de tijd. Er is geen internetverbinding voor nodig en er wordt niets verstuurd.

Het gevolg: wie uw wachtwoord heeft maar niet uw telefoon, komt er niet in. Dat klinkt simpel, en dat is het ook. Het is de reden dat banken, boekhoudpakketten en e-mailproviders het al jaren standaard aanbieden.

Welke methode u kiest

Er zijn drie gangbare varianten, en ze zijn niet gelijkwaardig.

  • Een authenticator-app zoals Google Authenticator, Microsoft Authenticator, Authy of de ingebouwde functie van uw wachtwoordmanager. Dit is de aanbevolen keuze: veilig, gratis en werkt zonder bereik.
  • Een fysieke sleutel die u in de USB-poort steekt of tegen uw telefoon houdt. De veiligste optie, en de moeite waard voor beheerders van een webshop met omzet. Wel een aanschaf, en u wilt er altijd twee hebben.
  • Een code per sms of e-mail. Beter dan niets, maar duidelijk zwakker. Sms is te onderscheppen en via e-mail betekent dat wie uw mailbox heeft, ook uw tweede stap heeft. Gebruik dit alleen als reservemethode.

Praktisch advies: kies een app en zorg dat die back-ups maakt of gekoppeld is aan een account, zodat een nieuwe telefoon geen ramp is. Dat is precies waar het bij de gratis varianten regelmatig misgaat.

Instellen, stap voor stap

  1. Maak een back-up van uw site. Bij een instelling die met inloggen te maken heeft, wilt u een uitweg.
  2. Kies een plugin. WordPress heeft dit niet standaard aan boord. Vrijwel elke bekende beveiligingsplugin biedt het, en er zijn losse plugins die alleen dit doen. Kies er een die actief wordt onderhouden; wat u daaraan ziet, staat in het artikel over verlaten plugins.
  3. Installeer een authenticator-app op uw telefoon voordat u verder gaat.
  4. Activeer de functie voor uw eigen account. U krijgt een QR-code te zien; scan die met de app.
  5. Sla de herstelcodes op. U krijgt een reeks eenmalige codes. Zet die in uw wachtwoordmanager of print ze en leg ze in een la. Dit is uw reservesleutel; sla deze stap niet over.
  6. Bevestig met een code uit de app. Pas dan is het echt actief.
  7. Test het in een privévenster voordat u uitlogt uit uw gewone venster. Zo houdt u een werkende sessie achter de hand als er iets niet klopt.
  8. Zet het daarna verplicht voor alle beheerders en redacteuren. De meeste plugins kunnen dit per gebruikersrol afdwingen.

Die zevende stap is de reden dat veel mensen het nooit aanzetten: de angst om buitengesloten te raken. Met een privévenster en bewaarde herstelcodes is dat risico praktisch nul.

Voor wie zet u het aan?

Begin bij iedereen met beheerdersrechten. Dat is de groep die alles kan: plugins installeren, bestanden bewerken, gebruikers aanmaken. Daarna redacteuren en auteurs, want ook een gekaapt redacteursaccount is genoeg om spampagina’s te plaatsen.

Heeft u een webshop met klantaccounts, dan hoeft u het voor klanten meestal niet te verplichten; dat kost conversie en het risico ligt elders. Wel is het verstandig het aan te bieden als optie.

Gebruik dit moment ook om te kijken wie er eigenlijk toegang heeft. Bij vrijwel elke site die wij overnemen staan er accounts in van oud-medewerkers, oude bureaus of een ontwikkelaar van drie jaar geleden. Die verwijdert u voordat u tweestapsverificatie inricht; dat scheelt werk en het lost een groter risico op dan de maatregel zelf. Meer daarover in het artikel over het opschonen van gebruikersaccounts.

Als iemand zijn telefoon kwijtraakt

Dit gebeurt, en het is prettig om het van tevoren geregeld te hebben. Er zijn drie uitwegen.

De eenvoudigste zijn de herstelcodes. Die werken één keer per stuk en zijn precies voor dit moment bedoeld. Werkt dat niet, dan kan een andere beheerder de tweestapsverificatie voor de betreffende gebruiker uitzetten, waarna die opnieuw kan instellen. En is er niemand meer die erin kan, dan is er altijd nog de route via de database of via een van de veiligheidsopties in wp-config.php; uw hostingpartij of beheerder kan daarbij helpen.

Een voorbeeld uit de praktijk: een reisorganisatie in Utrecht zette tweestapsverificatie aan voor drie beheerders, maar niemand bewaarde de herstelcodes. Toen de enige actieve beheerder een nieuwe telefoon nam en de app niet had teruggezet, kon er niemand meer in de site. Het is opgelost via de database, maar het kostte een halve dag en een ongemakkelijk telefoontje. Vijf minuten codes opslaan had dat voorkomen.

Wat het niet oplost

Wees eerlijk over de grenzen. Tweestapsverificatie beschermt de voordeur van uw beheerscherm. Het doet niets aan een verouderde plugin met een lek waarlangs iemand binnenkomt zonder ooit in te loggen. Het doet niets aan een besmetting die er al zit. En het beschermt uw FTP-toegang of uw hostingpaneel niet, tenzij u het daar apart aanzet, wat overigens sterk aan te raden is.

Zie het dus als één stevige laag naast actuele software, unieke wachtwoorden en een geteste back-up. In die combinatie is het de goedkoopste winst die er te halen valt. Bij een beveiligingspakket voor uw website hoort het instellen ervan standaard bij het startwerk, ook bij WebMaintor.

Concrete volgende stap: reserveer vandaag twintig minuten. Installeer een authenticator-app, zet tweestapsverificatie aan voor uw eigen beheerdersaccount, sla de herstelcodes op in uw wachtwoordmanager en test het in een privévenster. Daarna zet u het aan voor de rest van uw team, en dan is dit onderwerp voorgoed afgehandeld.