Checklist wordpress veiligheid

WordPress bestaat uit php, een database, een besturingssysteem en een hardware/vps omgeving. Daarnaast bestaat elke website uit een URL en vaak ook uit mail functies en api koppelingen. Uiteraard moeten al deze onderdelen veilig zijn en dus niet alleen wordpress zelf

Iedereen die een aanvulling weet is welkom deze door te geven zodat de lijst wellicht completer wordt. De lijst is in volgorde, dus de belangrijkste maatregelen bovenaan. De lijst is gesplitst in maatregelen die je vanuit het CMS (wordpress zelf) kunt regelen, zaken die je meestal zelf kunt maar die via sftp/de files en/of de database lopen en zaken die door de serverbeheerder/hoster geregeld kunnen worden. Achter elke regel staat een ruwe schatting van  hoeveel tijd de maatregel in beslag neemt en of er kosten/investeringen bij komen.

Algemene aandachtspunten:

1. Bepaal privacy, integriteits en uptime waarden. Hoe hoger de risico’s, zoveel verder zou je door zou moeten met onderstaande puntenlijst (c.a. uur werk voor goede risico analyse in combinatie met contracten en overleg)
2. zorg voor veilige, lange wachtwoorden en voorkom gedeelde/generieke accounts zoals admin, root e.d. (c.a. 10 minuten)

Advanced/hoger risico maatregelen:

1. Laat de omgeving regelmatig pentesten, zeker als er maatwerk software is
2. Zorg voor offline logging van het verkeer van/maar de site (centraal log systeem, investering nodig)
3. Beperk het aantal functies op 1 systeem (mail apart van web, enz) 
4. Beperk het aantal websites op 1 ip

Instellingen/verbeteringen in WordPress zelf voor de security:

1. Zorg voor updates van alle onderdelen van wordpress (uur werk per jaar)
2. Zo min mogelijk plugins. Neem de tijd om je eens te verdiepen in templates en wat waar staat. Google analytics scripts kun je eenvoudig in een paar minuten via de interface van wordpress in de header plaatsen.
3. Beveiliging: hierin zijn twee sporen: de purist plaatst alle beveiligingsmaatregelen in de code en configuratie files van de server. Een andere aanpak is het plaatsen van een security plugin, in elk geval waarmee brute force wordt tegengegaan. Wordfence? (via plugin; 5 minuten, anders meer werk)
4. Als je toch iets download zoals een plugin, controleer dan de bron van de download en doe dit op een werkstation met anti virus software (1 minuut per plugin)
5. Zet reacties uit of stel zo in dat je eerst moet goedkeuren (1 minuut)
6. Verwijder de ‘hello word’ post en default thema’s twenty.. (2 minuten)
7. Minimale rechten; maak iemand die teksten schrijft geen beheerder (1 uur met testen en uitleg)

Advanced/hoger risico maatregelen:

1. Plaats een catcha op formulieren (15 minuten)
2. Pas de ‘salt’ waarden aan voorafgaand aan de installatie (5 minuten)
3. Voeg two-factor toe op wordpress login scherm (15 minuten)
4. Zet login pagina op ‘geheime’  plek in plaats van /wp-admin (15 minuten)

Zaken die via de files en de database geregeld kunnen worden:

1. Offline backups van files en database (uur per jaar inclusief testen restore)
2. Zorg voor de juiste ‘read’ rechte op de folders. NB: config file moet niet leesbaar zijn… (10 minuten)

Advanced/hoger risico maategelen:

1. Verwijder het wordpress wp-config-sample.php en wp-activate.php (1 minuut)
2. Plaats een andere prefix voor de tabellen (wp_ vervangen voor bijvoorbeeld ps_) (1 minuut, maar kan alleen tijdens installatie)

Zaken die via serverbeheer/de hoster gedaan kunnen worden

1. Zorg voor updates van het OS van de server… Vaak is dit niet in eigen beheer maar wel even belangrijk als updates van wordpress zelf (tijd hangt van platform af, minimaal paar uur per jaar per server)
2. Zet uiteraard een certificaat op de server, en wees je bewust van de verschillende opties (EV?) (1 uur)
3. Gebruik alleen secure ftp. Ftp is niet veilig. (15 minuten)
4. Zorg voor 100% score op internet.nl (ook goed voor je SEO, kan soms in 15 minuten geregeld zijn, zeker bij moderne hosting partij)
5. Zorg voor monitoring (site up?, defacement, server parameters?) (paar uur werk, soms kleine investering nodig)

Advanced/hoger risico maatregelen:

1. Zet limieten op mails, hosting bandbreedte, disk space
2. Beperk ssh toegang tot eigen IP’s of gebruik beveiliging. Idem voor rdp op windows besturingsystemen
3. Disable xmlrpc (zo veel mogelijk)
4. Zet php execution op upload folder uit
5. Zorg voor de goede tijd op de server en tijdzone
6. Zet cgi uit (tenzij dit nodig zou zijn voor de werking van de site)
7. Zorg dat de server niet remote pingt
8. Blok ‘gevaarlijke’ landen/niet doelgroep landen
9. Zorg dat alle poorten en ingangen op de server beveiligd zijn met certificaat
10. Breng gelaagdheid aan: de routeer het verkeer eerst door een firewall waar zaken worden afgevangen (investering nodig)
11. Ddos bescherming: Is je hoster aangesloten bij NAWAS? Cloudflare?
12. Plaats een layer 7 aparte firewall. Kan opensource zijn of betaalde appliance (investering nodig)
13. Zorg voor two factor authenticatie op server beheer en control panel
14. Disable phpmyadmin voor remote users
15. Server baseline: zorg voor een lijst met optimale veiligheidsregels voor de server en implementeer deze.

De lijst is mede tot stand gekomen dankzij de wordpress meetup in Rotterdam met dank aan Level level en Redkiwi en dankzij Pieter van de de wordpress meetup Grun.

Heb je vragen over de lijst? Heb je hulp nodig met veilig maken van wordpress? Wil je een pentest door ons laten doen? We helpen graag.