Hoe goede beveiliging van je website eruitziet, en wanneer je je geen zorgen hoeft te maken

Elke paar weken vertelt iemand ons dat hun website gehackt is, of dat hun contactformulier ineens vol staat met nepaanvragen, of dat een plugin waar ze nog nooit van gehoord hadden vreemde mails begint te versturen. Als we ernaar kijken, is het bijna altijd een van drie situaties. En elke situatie vraagt om een ander niveau van beveiliging, niet om hetzelfde standaardantwoord.

Je hebt een simpele site zonder logins of betalingen

Denk aan een bedrijfssite van vijf pagina's: wie je bent, wat je doet, een contactformulier. Niemand logt in, er wordt geen persoonlijke data opgeslagen behalve een naam en e-mailadres bij een formulier, en er wisselt geen geld van eigenaar op de site zelf.

Hiervoor heb je niet veel nodig. Een fatsoenlijke hostingpartij, HTTPS aan (wat tegenwoordig overal standaard is), regelmatige updates van het CMS of framework, en een back-up die af en toe ook echt getest wordt. Dat is het eigenlijk. Als een leverancier je bovenop zo'n brochure-site een beveiligingspakket probeert te verkopen, vraag dan wat het precies beschermt, want er valt vaak weinig te beschermen.

Je werkt met logins, betalingen of persoonsgegevens

Dit is een webshop, een klantportaal, een boekingssysteem, alles waarbij mensen accounts aanmaken, kaartgegevens invoeren of informatie delen die pijn doet als die uitlekt. Hier verandert de rekensom compleet.

Je hebt wachtwoorden nodig die goed opgeslagen zijn (gehasht, nooit in platte tekst), overal versleutelde verbindingen, updates van afhankelijkheden die ook echt gebeuren in plaats van zich opstapelen, monitoring die ongewoon gedrag signaleert, back-ups die getest en terug te zetten zijn, en rate limiting zodat niemand duizenden keren op je inlogpagina kan gokken. De AVG betekent ook dat je nadenkt over waar data staat en wie erbij kan, niet alleen of het versleuteld is.

Dit is waar beveiliging vanaf dag één in de bouw moet zitten. Achteraf toevoegen kan, maar is altijd rommeliger en duurder dan het meteen goed doen. Dit is echt de situatie waarin een ervaren technische partner zijn geld waard is.

Je draait iets ouds dat niemand actief onderhoudt

Dit is de situatie die ons het meest zorgen baart, en die vaker voorkomt dan mensen toegeven. Een WordPress-site met veertig plugins, de helft ongebruikt. Een PHP-versie die drie releases achterloopt. Een systeem dat jaren geleden gebouwd is door iemand die inmiddels weg is bij het bedrijf, en niemand in het huidige team weet nog hoe het in elkaar zit of wie de updates beheert.

Het risico is hier niet zichtbaar in het dagelijks gebruik, en dat is precies het probleem. Kwetsbaarheden kunnen jarenlang onopgemerkt blijven voordat iemand ze vindt en misbruikt. Dat betekent niet altijd dat alles opnieuw gebouwd moet worden. Soms is een eerlijke audit, het opruimen van wat je echt nodig hebt, en een plan voor wie het onderhoud oppakt genoeg. Maar het betekent wel dat iemand echt moet kijken, in plaats van aannemen dat het wel goed zit omdat er nog niets is misgegaan.

• Eenvoudige brochure-site zonder logins of betalingen: laag risico, beveiliging op hostingniveau en basisupdates zijn genoeg, betaal niet extra voor meer
• Site of app met accounts, betalingen of persoonsgegevens: echt risico, beveiliging moet vanaf het begin ingebouwd worden plus doorlopende monitoring en updates
• Oud of onbeheerd platform: onbekend risico tot iemand het audit, begin met goed kijken voordat je beslist wat je gaat oplossen

Het eerlijke antwoord is: laat de inspanning aansluiten bij wat je daadwerkelijk draait. Een site van vijf pagina's heeft geen monitoring op enterprise-niveau nodig, en een betaalsysteem kan niet wegkomen met 'we updaten het wel als we tijd hebben'. Bedenk eerst welke van deze drie situaties op jou van toepassing is, voordat je beslist wat je eraan uitgeeft, en waaraan.