Het beveiligen van WordPress kan je vergelijken met een tikkende tijdbom: je weet nooit wanneer de bom afgaat. Wist je dat er elke dag duizenden WordPress-sites worden gehackt? Ook voor jouw site is het een serieus probleem, eentje die je het liefst in de kiem smoort, voordat het uitgroeit tot iets dat je hele site platgooit!

Er zijn twee manieren om je WordPress-site te beschermen: allereerst is het zaak om met een veilige hostingservice in zee te gaan, een die een bewezen staat van dienst heeft en de best practices uit de sector opvolgt. Daarnaast is het belangrijk dat je de beveiliging van je site opschroeft door een externe beveiligingsdienst in de arm te nemen.

Wat betreft de beveiliging van WordPress-sites, zijn Wordfence en Sucuri de twee populairste opties. Beide leveren ze een breed scala aan beveiligingsfuncties om je website veilig te houden. Wat betreft hun features kan je stellen dat ze hetzelfde zijn, maar toch verschillend.

Wordfence of Sucuri? Als je je afvraagt welke van de twee het beste bij jouw website past, dan helpt dit artikel met het nemen van de beslissing. Ik heb ze beide uitgebreid gebruikt en ze 1-op-1 vergeleken op verschillende vlakken: prestaties, prijzen en de totale waarde van geleverde diensten.

Je kan deze informatie gebruiken om te kijken welke optie het meest geschikt is voor jou.

Klinkt goed? Laten we beginnen!

Inleiding tot de beveiliging van WordPress

WordPress is het meest populaire Content Management Systeem (CMS) ter wereld. Het is zo populair dat het meer dan 35% van de websites aandrijft. En deze populariteit zorgt uiteraard ook voor problemen!

WordPress wordt constant bedreigd door hackers. Volgens een rapport van GoDaddy Security waren 90% van alle gehackte CMS-platforms in 2018 WordPress-sites. Google zet bijvoorbeeld dagelijks 10.000 websites op zijn blacklist voor het hosten en verspreiden van malware. Deze geblackliste sites verliezen daarmee tot wel 95% van hun organisch verkeer.

WordPress beveiligingsstatistieken

WordPress beveiligingsstatistieken

41% van de gehackte WordPress-sites worden gehackt vanwege kwetsbaarheden in het hostingplatform. Om die reden kan het uitkiezen van een goed beveiligd WordPress-hostingplatform je een hoop leed besparen.

Wellicht nog alarmerender is het feit dat 60% van de kleine bedrijven binnen 6 maanden sluit na een cyberaanval. Aangezien een grote meerderheid van hackpogingen zich richt op mkb is het goed beveiligen van je website nóg belangrijker.

Hoe hackers inbreken op WordPress-sites

Slechts 36,7% van de gehackte WordPress-sites waren gehackt omdat ze draaiden op verouderde kwetsbare versies van WordPress. Waar de meeste aanvallers zich op richten bij WordPress-sites zijn de uitbreidbare componenten, de plugins en thema’s.

Hoe WordPress-sites worden gehackt

Hoe WordPress-sites worden gehackt (Bron: Wordfence)

Plugins vormen het grootste risico! Zoals we al schreven in Kinsta’s WordPress beveiligingsartikel, vormen plugins samen met bekende en onbekende kwetsbaarheden het grootste deel van WordPress-hacks. Uit een studie van Wordfence bleek dat ze samen 55,9% van de bekende backdoors vertegenwoordigen.

Een andere populaire hackmethode richt zich op het raden van zwakke wachtwoorden door middel van bruteforce. Deze aanvallen maken samen 16,1% van de totale hackpogingen uit. De studie onthulde nog een schokkend feit: 61,5% van de website-eigenaren van wie de site was gehackt, was zich niet eens bewust dat hun site was gehackt.

Hoe je je WordPress-site kan beveiligen

Er zijn drie cruciale pijlers om te zorgen dat je WordPress-site is beschermd tegen cyberaanvallen:

De 3 pijlers van webbeveiliging

De 3 pijlers van webbeveiliging

Preventie

Of het nou om een menselijke ziekte gaat of digitale malware, voorkomen is altijd beter dan genezen!

WordPress is dan wel gratis, maar de kosten van het bouwen van een WordPress-site en het vervolgens beveiligen en onderhouden, zijn dat niet. Helaas staat beveiliging vaak onderaan in de lijst met prioriteiten bij het bouwen van een website.

Het team achter WordPress core (de kern van WordPress) levert fantastisch werk als het gaat om het beveiligen van WordPress. Maar zoals we eerder vermeldden, de meeste WordPress-hacks komen niet voort uit fouten in de kernsoftware.

Preventie richt zich op het weren van schadelijke code uit je WordPress-sites. Meestal wordt dit gedaan door firewalls, antivirussoftware, e-mailfilteroplossingen, beschermen tegen DDoS-aanvallen, bots, etc.

Detectie

Detectie wil niets anders zeggen dan dat je op de hoogte bent van beveiligingsincidenten zodra deze zich voordoen. Hierdoor kan je meteen actie ondernemen en kan je je website beveiligen voordat er aanzienlijke schade wordt aangericht.

Denk hierbij aan inbraakdetectiesystemen, netwerkscanners, integriteitsmonitoring, etc.

Veel eigenaren van gehackte WordPress-sites weten niet eens dat hun site is gehackt. Daarom is het van cruciaal belang om over betrouwbare detectiesystemen te beschikken, vooral op hostingniveau. Beveiligingsplugins zoals Sucuri of Wordfence zijn hierbij fantastische hulpmiddelen.

Reactie en herstel

Hoop op het beste, maar bereid je voor op het ergste! Reactie en herstel richt zich op het snel en efficiënt aanpakken van beveiligingsincidenten.

Een goed herstelproces moet niet alleen alles opschonen na een aanval, maar ook backup- en forensische functies bevatten. Hiermee zorg je ervoor dat je soortgelijke incidenten in de kiem smoort, voordat ze zich voordoen.

Dit is een belangrijke reden waarom je gedegen onderzoek zou moeten doen naar hoe serieus je hostingbedrijf bezig is met beveiliging, het liefst nog voordat je je aanmeldt. Als je WordPress-site bijvoorbeeld wordt gehackt, terwijl je deze bij Kinsta host, dan werken de beveiligingsspecialisten van Kinsta met je samen om de malware te identificeren en te verwijderen.

Beveiligingsdiensten zoals Sucuri of Wordfence bieden soortgelijke reactiediensten aan als onderdeel van hun professionele pakketten.

Sucuri vs Wordfence, wat is de beste beveiligingsplugin? Ontdek het antwoord in deze grondige beoordeling! 🔐🏆Click to Tweet

Sucuri vs Wordfence

Zowel Sucuri als Wordfence helpen je met het beveiligen van je WordPress-site. Het verschil zit hem in hun aanpak. Als we ze tegen elkaar opstellen, ziet het er zo uit:

Sucuri Wordfence
Prijzen firewall (WAF) Vanaf $9,99/maand Vanaf $99/jaar
Prijzen voor verwijderen malware Vanaf $199,99/jaar – onbeperkte cleanups $179 per cleanup
Gratis plugin Ja Ja
Web Application Firewall (WAF) Ja, maar alleen voor Premium-klanten Ja, gratis
Website Integriteitsscan Ja Ja
Ondersteuning voor SSL-certificaten (voor WAF) Ja Nee
Bescherming tegen DDoS-aanvallen Ja Nee
Preventie tegen zeroday-aanvallen Ja Nee
CDN voor verbeterde prestaties Ja Nee
Cloudbased platform Ja, scannen op afstand Nee
Zelf gehost platform Nee Ja, lokaal scannen
Tweaks voor systeembeveiliging Nee Ja

De bovenstaande tabel laat de belangrijkste verschillen tussen Sucuri en Wordfence goed zien. Laten we deze diensten nu eens van dichterbij bekijken!

Info

Beide plug-ins zijn compatibel met en toegestaan op Kinsta-hosting.

Beoordeling Sucuri

Sucuri Security is een gratis beveiligingsplugin voor WordPress

Sucuri Security is een gratis beveiligingsplugin voor WordPress

Inleiding Sucuri

Sucuri is een cloudbased websitebeveiligingstool voor het beveiligen van websites. Het filtert al het verkeer naar je website nog voordat het verkeer je hostingserver bereikt.

De belangrijkste features zijn malwaredetectie, integriteitsmonitoring en het verbeteren van de beveiliging. Sucuri scant alles op afstand en voert daarom geen diepe scans uit op serverniveau.

Sucuri belooft websites te beschermen, prestaties te verbeteren, te monitoren op hacks en biedt onbeperkte support bij beveiligingsincidenten (echter wel alleen voor premium gebruikers).

Sucuri Security heeft een beoordeling van 4.4 sterren met meer dan 600.000 actieve installaties

Sucuri Security heeft een beoordeling van 4.4 sterren met meer dan 600.000 actieve installaties

Houd er rekening mee dat Sucuri geen wondermiddel is en voorziet in alle beveiligingsbehoeften van je website. Het is ontworpen als aanvulling op de al bestaande beveiliging van je website. Toch biedt Sucuri veel tools om het risico op hacks te verminderen, wat voor meer gemoedsrust en meer controle over je beveiliging moet zorgen.

De werking van Sucuri

Als we het hebben over hoe Sucuri werkt, dan kunnen we onderscheid maken tussen drie niveaus:

  1. Sucuri Security is een gratis plugin die wordt geleverd met standaard WordPress-beveiligingsfeatures. De gratis versie van de plugin bevat geen firewall.
  2. Sucuri Firewall (WAF) is een betaalde dienst die je kan integreren met de gratis Sucuri Security plugin. Je kan de plugin ook gebruiken zonder de plugin. De dienst bevat features om je website te beschermen zoals Website Application Firewall (WAF), CDN voor optimalisatie van prestaties, loadbalancing voor hoge beschikbaarheid, Intrusion Detection System (IDS), DDoS-mitigatie en tal van andere tools.
  3. Sucuri Platform is een suite van premium cloudbased beveiligingsdiensten. De dienst bevat alles wat Sucuri Firewall ook levert, plus andere belangrijke functies, zoals monitoring, detectie en reactie op incidenten. Wanneer je je aanmeldt voor het Sucuri Platform kan je het team van Sucuri vragen om alle waarschuwingen voor malware en blacklists te verwijderen voor je website.
Hoe de Sucuri Web Application Firewall (WAF) werkt

Hoe de Sucuri Web Application Firewall (WAF) werkt

Voor een beter begrip volgt hier een korte video over hoe Sucuri in de praktijk werkt:

Sucuri houdt elke wijziging aan je website bij en slaat de logs op naar haar eigen cloudservers. Deze logboeken kan je controleren om erachter te komen wat er precies is misgegaan. Hiermee kan je beveiligingsproblemen snel en efficiënt oplossen.

Beveiligingsinstellingen en beschikbare features

Je kan Sucuri’s aanbod voor WordPress-sites opdelen in twee producten: de gratis plugin Sucuri Security en een premium cloudbased Sucuri Firewall (WAF).

Laten we eerst naar de gratis plugin kijken.

Het dashboard van Sucuri Security heeft een eenvoudige interface die je een goed overzicht geeft van de beveiliging van je WordPress-site.

De primaire taak van het dashboard is om je te informeren over de integriteit van de kernbestanden van WordPress. Het geeft je een waarschuwing als het aangetaste kernbestanden aantreft. Vervolgens kan je passende actie ondernemen: de geïnfecteerde bestanden vervangen door de originele of ze markeren als false positives.

In het tabblad Audit Logs vind je elke wijziging die aan je site gemaakt is. Onder de tabbladen iFrames, Links, en Scripts vind je elk script en elke link naar je website.

Het dashboard van Sucuri Security. Let op de waarschuwing rechtsboven

Het dashboard van Sucuri Security. Let op de waarschuwing rechtsboven

In mijn geval was de waarschuwing een false positive. Ik heb deze dus handmatig als “opgelost” gemarkeerd. Sucuri onthoudt dit voor de volgende scan.

Je kan Sucuri dus leren om een false positive waarschuwing te negeren

Je kan Sucuri dus leren om een false positive waarschuwing te negeren

Het paneel Settings heeft veel tabbladen die je kan aanpassen zodat Sucuri je site nog beter beschermt. In het tabblad genaamd General Settings kan je de algemene instellingen vinden. Denk hierbij aan de mappen API Key (API-sleutels) en Data Storage (Gegevensopslag). Verder vind je hier de instellingen van de logboekexporter, Log Exporter en andere diensten als Reverse Proxy, IP Address Discoverer en Timezone Override.

Ook kan je hier de algemene instellingen van Sucuri importeren of exporteren.

Het tabblad met algemene instellingen in Sucuri Security

Het tabblad met algemene instellingen in Sucuri Security

Laten we eens naar het tabblad Scanner gaan. Hier kan je de geplande taken van Sucuri zien, onder Scheduled Tasks vind je de instellingen van de WordPress Integrity Diff Utility (om de bestanden op je server te vergelijken met de originele) en een lijst met False Positives.

Als je wil dat de scanners van Sucuri bepaalde bestanden en mappen overslaan, dan kan je dat hier instellen. Deze tool is nuttig als je niet-codegerelateerde bestanden en mappen hebt die je wil negeren, omdat het scannen ervan veel resources kost. Denk hierbij aan mediabestanden, backups en andere bestanden.

Hier kan je de scannerinstellingen instellen

Hier kan je de scannerinstellingen instellen

In het tabblad Hardening kan je de standaard WordPress- en PHP-beveiligingsmethoden toepassen. Onder Whitelist Blocked PHP Files heb je de mogelijkheid om bepaalde PHP-bestanden uit te sluiten van de strenge restricties.

Standaard beveiligingsregels toepassen

Standaard beveiligingsregels toepassen

In het geval van een aanval of breach is het tabblad Post-Hack een reddende engel. Hier kan je je geheime sleutels bijwerken onder Update Secret Keys, wachtwoorden resetten onder Reset User Password, Reset Installed Plugins gebruiken om bestaande plugins te resetten en alle bestaande plugins en thema’s bij werken onder Available Plugin and Theme Updates.

Tools om je site te beveiligen na een hack

Tools om je site te beveiligen na een hack

Ook het tabblad Alerts is erg handig. Hier kan je instellen wie waarschuwingen moet ontvangen (Alerts Recipient), kan je een lijst opgeven met vertrouwde IP-adressen onder Trusted IP Addresses. Ook kan je instellen waarover je een waarschuwing wil ontvangen, onder Alert Subject. Ten slotte kan je Alerts Per Hour gebruiken om aan te geven hoeveel waarschuwing je per uur wil ontvangen. Je kan instellen wat voor soort beveiligingswaarschuwingen (Security Alerts) het waarschuwingsmechanisme activeren en welke typen moeten worden genegeerd (meestal die van externe plugins). Dit is een geweldige Dectectie feature.

Met Sucuri Security kan je waarschuwing naar jouw behoeften aanpassen

Met Sucuri Security kan je waarschuwing naar jouw behoeften aanpassen

Het tabblad API Service Communication is redelijk straightforward. Het is bedoeld voor ontwikkelaars die toegang willen tot de externe API-dienst van Sucuri.

Hier kan je met de externe API-service van Sucuri communiceren

Hier kan je met de externe API-service van Sucuri communiceren

Ten slotte bevat het tabblad Website Info bijna alles wat je wil weten over je website en de webserver waarop deze wordt gehost. Binnen de sectie Access File Integrity kan je de integriteit van je .htaccess-bestand checken.

Als je je site door een managed hostingplatform als Kinsta laat hosten, hoef je je hierover geen zorgen te maken. Kinsta maakt namelijk geen gebruik van cPanel en heeft haar eigen custom gebruikerspaneel genaamd MyKinsta.

Info

Wil je MyKinsta eens uitproberen? Je hoeft hiervoor geen klant van Kinsta te zijn. Je kan gratis een account aanmaken en de MyKinsta-demo uitproberen.

Het tabblad Website Info toont de specificaties van jouw site en server

Het tabblad Website Info toont de specificaties van jouw site en server

De cloudbased firewall van Sucuri is een premium dienst. Deze tool is erg handig om junk traffic, DDoS-aanvallen en slechte bots te filteren.

Het doet zijn werk uitstekend, zelfs zonder de plugin (wat de aanbevolen manier is). Je hoeft alleen maar de DNS van je host naar hun nameservers te verwijzen.

Sucuri WAF beschermt je site tegen aanvallen

Sucuri WAF beschermt je site tegen aanvallen

Lees de uitgebreide gids over de Sucuri Firewall om meer te weten te komen over alle functies.

De meeste webhosts, waaronder Kinsta, hebben beveiligingsfuncties om IP-adressen met spam en bots te blokkeren/filteren. Kinsta heeft daarnaast ook nog beveiligingsinstellingen waarmee je IP-beperkingen kan instellen.

Een professionele WAF-service zoals Sucuri, wiens bedrijfsmodel vooral is gericht op het wegnemen van schadelijk verkeer, biedt gedetailleerdere controle.

Het is daarom niet ongebruikelijk dat gebruikers zich aanmelden voor de cloudbased firewall van Sucuri als backup en er alleen naar overschakelen in geval van een aanval. Sucuri maakt dit gelukkig erg eenvoudig.

Sucuri CDN POP's zijn verspreid over de hele wereld

Sucuri CDN POP’s zijn verspreid over de hele wereld (bron: Sucuri)

Welbeschouwd is Sucuri dus veel meer dan de zoveelste beveiligingsplugin of firewall. Het is een complete webbeveiligingsoplossing om je sites te beschermen tegen vrijwel elke aanval.

Gebruiksgemak

Sucuri is eenvoudig in gebruik. De gebruikersinterface is duidelijk en overzichtelijk. Als Sucuri een bepaalde handeling aanbeveelt, bijvoorbeeld om de beveiliging op te schroeven, dan kan je dit met slechts één muisklik doen.

Zodra je de plugin hebt geïnstalleerd, moet je de gratis API-sleutel genereren. Dit kan je rechtstreeks vanuit je WordPress-dashboard doen.

Sucuri automatiseert de meeste van zijn beveiligingsfuncties, zodat je maar één keer hoeft in te stellen en er nooit meer naar om hoeft te kijken. Je hoeft je ook geen zorgen te maken over het updaten of onderhouden van de plugin.

Sucuri waarschuwt je wanneer er iemand heeft ingebroken op je site. Als je handmatig de controle wil overnemen, dan geeft de tool je veel opties. En aangezien Sucuri’s WAF cloud-based is, hoef jij aan jouw kant geen technisch onderhoud te plegen.

Al met al vond ik dus dat Sucuri erg makkelijk in te stellen en te gebruiken is.

Hoe Sucuri scoort op de 3 pijlers van webbeveiliging

Preventie

De gratis Sucuri Security-plugin is meer dan geschikt om je WordPress-site in de gaten te houden en standaard beveiligingsmaatregelen toe te passen. Maar de tool is niet gebouwd om grote aanvallen op je website te voorkomen.

Als je op zoek bent naar een gratis WordPress-beveiligingsoplossing, dan zou ik Sucuri Security niet aanraden. Ga er dus niet vanuit dat deze plugin je website veilig houdt.

Daarvoor moet je bij Sucuri Firewall zijn. Deze dienst levert fantastisch werk en beschermt je tegen DDoS-aanvallen, bots en hacks om je klantgegevens te bemachtigen. Het Sucuri Security Platform gaat nog een stap verder en voegt nog meer preventieve maatregelen toe.

Om je een praktijkvoorbeeld te geven uit een casestudy van Kinsta: het toevoegen van Sucuri Firewall aan een kleine e-commercesite die door DDoS-aanvallen werd geterroriseerd, zorgde dat het beveiligingsprobleem binnen een uur werd opgelost.

Detectie

De gratis plugin van Sucuri is erg goed om zelfs de kleinste verandering aan je website op te sporen. Als er afwijkingen worden gevonden, dan word je hiervan onmiddellijk op de hoogte gesteld, zodat je de juiste actie kan ondernemen.

Zelfs als een hacker je heeft buitengesloten van je site, kan je de logboeken raadplegen, die zijn opgeslagen op de cloudservers van Sucuri, om erachter te komen wat er is gebeurd en hoe je de controle weer terugkrijgt.

Het is echter het premium Sucuri Security Platform dat schittert als het aankomt op monitoring en detectie. Het platform levert allerlei extra functies, zoals regelmatige server-side beveiligingsscans, blacklist monitoring, SSL monitoring, directe meldingen en Log Correlation Integration (SIEM).

Reactie en herstel

Een webbeveiligingsplatform zou niet compleet zijn als het geen manier biedt om een gehackte website te herstellen.

Gelukkig voor mij heb ik onder de bescherming van Sucuri nog nooit een beveiligingsincident gehad. Maar er zijn mensen die minder fortuinlijk waren en zij hebben hun ervaringen gedeeld op beoordelingssites als G2.com.

Sucuri heeft op G2.com een score van 4 sterren

Sucuri heeft op G2.com een score van 4 sterren

Hieronder vind je een website-eigenaar die zeer te spreken was over Sucuri.

“Toen ik plotseling besefte dat mijn website, die voornamelijk werd gebruikt door leerkrachten en kinderen, was gehackt, moest ik het probleem zo snel mogelijk oplossen. Binnen een half uur nadat ik het probleem had gemeld en me had aangemeld voor hun dienst, had Sucuri mijn website weer hersteld en werkend gekregen. Ik zal mijn website nooit meer onbeschermd houden, en ben erg tevreden over hoe Sucuri deze beveiligingskwestie afhandelde.”

Janice P, Marine Educator

En hier is een webdesigner die haar positieve ervaring met Sucuri deelt. Ze gebruikt het platform om de WordPress-websites van haar klanten schoon te houden.

“Mijn klanten hadden vaak problemen met hun WordPress-sites. Sinds ik mijn klanten heb aangemeld, zijn hack-gerelateerde problemen verleden tijd.”

Melissa C, Business Owner

Houd er rekening mee dat er nogal wat beoordelingen zijn waarbij gebruikers klagen over de tijd die Sucuri nodig heeft om op tickets te reageren. Inzicht in de prijsstrategie van Sucuri verklaart dit probleem.

Prijzen Sucuri

We komen nu bij het belangrijkste gedeelte: de prijzen.

Overzicht prijzen en features van Sucuri

Overzicht prijzen en features van Sucuri

Sucuri Firewall (WAF) begint bij $9,99/maand en Sucuri Platform kost vanaf $199,99/jaar. Als je je aanmeldt voor het Sucuri Platform, krijg je onbeperkt toegang tot het verwijderen van malware en het herstellen van hacks.

Alle premium pakketten van Sucuri bevatten een niet-goed-geld-terug-garantie van 30 dagen.

De goedkopere pakketten van Sucuri bevatten dezelfde features als de duurdere, behalve ondersteuning van SSL-certificaten op je origin server (die krijg je vanaf het op een na goedkoopste pakket).

Het echte verschil tussen de goedkopere en duurdere pakketten zit hem in de prioriteit die Sucuri geeft aan de scans en de reactie-en-herstel.

Overzicht prijzen en features van Sucuri Platform

Overzicht prijzen en features van Sucuri Platform

Deze prijsstrategie geeft elke klant van Sucuri dezelfde preventie- en detectiefeatures, maar wat betreft scans en het verwijderen van malware, krijgen klanten die hebben betaald voor de duurdere pakketten de hoogste prioriteit.

Dat betekent dat iedereens ticket wordt beantwoord, maar dat dit voor de laagste pakketten in de meeste gevallen niet onmiddellijk gebeurt. Als je sneller geholpen wil worden, dan zul je dus een duurder pakket aan moeten schaffen. Ter vergelijking: een gelijkwaardige beveiligingsoplossing kost bij Cloudflare $200/maand.

Ik begrijp waarom deze benadering voor frustratie zorgt, helemaal voor gebruikers met een gehackte website die willen dat het snel wordt opgelost. Maar gezien de waarde die je ontvangt voor hetgeen je betaalt, is het op de lange termijn een erg goede deal voor de meerderheid van de gebruikers van Sucuri.

We hebben nu Sucuri besproken. Tijd om naar Wordfence te gaan en zien hoe deze twee zich tot elkaar vergelijken.

Beoordeling Wordfence

Wordfence Security is een gratis beveiligingsplugin voor WordPress

Wordfence Security is een gratis beveiligingsplugin voor WordPress

Inleiding tot Wordfence

Wordfence is een gratis WordPress-beveiligingsplugin met een endpoint-firewall (WAF) en een malwarescanner.

De plugin beschikt daarnaast over beveiligingsmaatregelen als inlogbeveiliging (2FA, inlogpagina, CAPTCHA, limiet inlogpogingen), Live Traffic, en geavanceerde op regels gebaseerde blokkering.

Wordfence heeft een beoordeling van 4.8 sterren met meer dan 3 miljoen actieve installaties

Wordfence heeft een beoordeling van 4.8 sterren met meer dan 3 miljoen actieve installaties

In tegenstelling tot Sucuri is Wordfence een gelokaliseerde firewall. Het staat op jouw webserver en is dus geen clouddienst. Daarom kan de plugin op een dieper niveau server-side scans uitvoeren en biedt hij volledige end-to-end encryptie.

Maar dit voordeel gaat wel ten koste van prestaties.

Waarom? Omdat de resources van je server worden ingezet om het verkeer te analyseren, te controleren op “slechte” bedoelingen en, indien nodig, het verkeer toegang te weigeren. Als je je website host op een server met minder resources (bijv. shared hosting en goedkope managed hosting-abonnementen), dan kan dit de snelheid van je site significant beïnvloeden.

In het geval van een DDoS-aanval, kan de enorme stroom aan verkeer de resources van je server overbelasten. Daar kan geen enkele lokale beveiligingsplugin tegenop. Dat is dan ook meteen de grootste zwakte van Wordfence ten opzichte van Sucuri.

Als je bijvoorbeeld de WAF van Sucuri gebruikt, dan wordt het “slechte verkeer” in de cloud voor je eruit gevist, dus nog voordat het de server kan bereiken.

Dat gezegd hebbende is de gelokaliseerde WAF van Wordfence geheel gratis, terwijl je moet betalen voor de premium cloud-WAF van Sucuri.

Hoe Wordfence werkt

De firewall van Wordfence wordt aangedreven door hun Threat Defense Feed, wat een mooie term is voor het verzamelen van firewallregels, schadelijke IP-adressen en malware-handtekeningen.

De Threat Defense Feed is geïntegreerd met de Wordfence-plugin die je op je WordPress-site installeert. Het wordt aangedreven door je server.

Hoe de Wordfence Firewall (WAF) werkt

Hoe de Wordfence Firewall (WAF) werkt

Met Wordfence Premium krijg je realtime updates binnen de Threat Defense Feed. Deze bevat functies als:

Gratis gebruikers krijgen de kritieke updates pas na 30 dagen nadat ze live gaan. Ook krijgen ze geen realtime IP-blacklisting. Hoewel dit een goede optie lijkt voor persoonlijke websites, kan het een dealbreaker zijn als je een bedrijfs- of e-commercesite host.

Er is één voordeel dat een endpoint-firewall heeft ten opzichte van cloudfirewalls. Omdat het volledig door je server wordt aangedreven, kan het in theorie geen data lekken en ook niet worden omzeild. Een cloudfirewall kan daarentegen wél data lekken of worden omzeild als de aanvaller het IP-adres van je server kent.

Cloud-firewall vs endpoint-firewall

Cloud-firewall vs endpoint-firewall (bron: Wordfence)

Beveiligingsinstellingen en beschikbare features

Wordfence opereert vanuit je webserver. Je kan daarom alle instellingen vinden in je WordPress-dashboard.

Het dashboard is strak en informatief. Het biedt je in één oogopslag essentiële informatie en waarschuwingen.

Het dashboard van Wordfence

Het dashboard van Wordfence

De scanner van Wordfence voert een integriteitscontrole uit op elk bestand op je server. Het laat je meteen weten wanneer een niet-officieel WordPress-kernbestand of niet-officiële thema’s/plugins worden aangetroffen.

Zoek je razendsnelle, betrouwbare en volledig beveiligde hosting voor je website? Kinsta levert dit allemaal plus 24/7 gerenommeerde support van echte WordPress-experts. Check onze pakketten

Het vergelijkt de code binnen jouw serverbestanden met die van bekende malware. Als het iets verdachts vindt, ook al is het maar een of twee regels, dan krijg je een waarschuwing. Ook krijg je meldingen als een van je thema’s of plugins een update beschikbaar heeft.

Laten we nu eens kijken naar het Firewall-paneel van Wordfence. Hier kan je de WAF-instellingen van Wordfence beheren en de configuratie ervan optimaliseren.

De firewall-instellingen van Wordfence zijn veelal geautomatiseerd

De firewall-instellingen van Wordfence zijn veelal geautomatiseerd

Wanneer je Wordfence voor het eerst installeert, staat de WAF standaard een week in Learning Mode. Dit betekent dat de plugin je site en bezoekers grond bestudeert, zodat deze begrijpt welke regels moeten worden toegepast om alleen legitiem verkeer door te laten in de firewall.

De feature Real-Time IP Blacklist is alleen beschikbaar voor premium gebruikers.

Als je Brute Force Protection inschakelt, dan beschermt Wordfence je tegen aanvallers door hun account te blokkeren na een aantal mislukte pogingen om het wachtwoord te raden. Ook dwingt deze functie je om je wachtwoord te wijzigen als het denkt dat het een zwak, makkelijk te raden wachtwoord is.

Beheer blokkeerregels van je site vanuit het tabblad Blocking

Beheer blokkeerregels van je site vanuit het tabblad Blocking

In het tabblad Blocking kan je verkeer blokkeren op basis van IP-adressen, IP-ranges, browser, hostname en de locatie vanwaar is verwezen naar je site. Blokkering op landniveau is echter een premium functie. Je kan verschillende blokkeringsregels samenvoegen en deze opslaan als Block Type.

Hier kan je geavanceerde blokkerregels toevoegen

Hier kan je geavanceerde blokkerregels toevoegen

In de sectie Firewall Options kan je IP-adressen en diensten op de whitelist zetten, IP-adressen instellen die moeten worden genegeerd in de WAF-waarschuwingen, inloglimieten instellen en URL’s whitelisten.

Met Wordfence kan je ook IP’s blokkeren die toegang willen krijgen tot bepaalde URL’s. Dit is handig als iemand je website herhaaldelijk onderzoekt op bekende kwetsbaarheden.

Nu is het tijd om naar het instellingentablad van Scanner te gaan.

Vanuit deze locatie kan je de scaninstellingen van Wordfence beheren

Vanuit deze locatie kan je de scaninstellingen van Wordfence beheren

Hier vind je de scantaken van Wordfence. De eerste drie tests zijn controles op spam en de blacklist en kunnen alleen door premium gebruikers worden gebruikt.

Als de scan iets ongewoons detecteert, krijg je een waarschuwing.

In de sectie Scan Options and Scheduling kan je de gevoeligheid van de scanner, de scanfrequentie en de whitelist=bestanden instellen. Ook kan je de scans optimaliseren voor de opstelling van jouw server.

Wordfence heeft uitgebreide scan- en planningsopties

Wordfence heeft uitgebreide scan- en planningsopties

Wordfence wordt geleverd met een hoop andere handige Tools.

Met de tool Live Traffic kan je bijvoorbeeld in real-time zien wat er gebeurt op jouw site. Je kan deze filteren op alleen beveiligingsgerelateerd verkeer. Hiermee zie je alle gebruikersaanmeldingen, hackpogingen en schadelijke verzoeken.

Live Traffic is de coolste maar tegelijkertijd ook de meest resource-intensieve functie van Wordfence

Live Traffic is de coolste maar tegelijkertijd ook de meest resource-intensieve functie van Wordfence

Hoewel het zeker een gave feature is, vreet Live Traffic veel serverresources. Ik raad dan ook aan om het uit te schakelen als je het niet gebruikt.

Andere tools zijn onder meer Whois Lookup, Import/Export Options en Diagnostics.

Ook kan je hier Two-Factor Authentication (2FA) inschakelen voor alle logins op je WordPress-site. Dit doe je in de module Login Security van Wordfence. Voorheen was dit een premium functie, maar tegenwoordig is hij gratis.

Eenvoudig twee-factor authenticatie inschakelen op je site

Eenvoudig twee-factor authenticatie inschakelen op je site

Je kan gratis mobiele apps gebruiken zoals Google Authenticator, FreeOTP of Authy (mijn persoonlijke favoriet) gebruiken om 2FA op te zetten.

Het tabblad Login Security Settings van Wordfence

Het tabblad Login Security Settings van Wordfence

Je kan 2FA inschakelen voor alle gebruikersrollen. Het is een effectieve manier om jezelf en je gebruikers te beschermen tegen bruteforce-aanvallen, zoals het raden van wachtwoorden.

Ook kan je een IP-whitelist instellen voor 2FA, zodat bepaalde IP’s tijdens het inloggen geen extra beveiligingscontroles hoeven te doorlopen. Als je vooral vanuit één locatie werkt, dan kan je hiermee zorgen dat je niet elke keer hoeft in te loggen met 2FA.

Andere beveiligingsfuncties voor inloggen om bruteforce-aanvallen te stoppen zijn:

Ten slotte bevat Wordfence het paneel All Options waar je elke instelling van Wordfence kan vinden. En dit is zeker welkom, gezien de uitgebreide opties die Wordfence beschikbaar stelt.

Alle opties van Wordfence zijn verzameld in het paneel All Options

Alle opties van Wordfence zijn verzameld in het paneel All Options

Gebruiksgemak

Wat gebruiksvriendelijkheid betreft is Wordfence vergelijkbaar met Sucuri Security en dus uiterst eenvoudig in gebruik. Na het installeren en activeren van de plugin, gaat Wordfence onmiddellijk een week in de Learning Mode.

Op basis van je serverinstellingen en verkeer, past het automatisch de aanbevolen firewall- en scaninstellingen toe. In mijn ervaring zijn deze instellingen meer dan genoeg om je te beschermen tegen de meeste aanvallen.

De inlogbeveiligingsfuncties zijn makkelijk in te stellen en werken goed.

Als je website wordt aangevallen door een DDoS-aanval, dan kan dit wel ervoor zorgen dat Wordfence je server vertraat. In de meest extreme gevallen kan dit de server zo overweldigen dat je geen toegang meer hebt tot je WordPress-beheerdersdashboard.

Omdat Wordfence een gelokaliseerde oplossing is, heb je volledige controle over de instellingen. Hoewel dit handig kan zijn als je technisch bekwaam bent, brengt dit voor de meeste WordPress-gebruikers alleen maar gedoe. Het is dus niet per se een voordeel.

Over het algemeen kan je dus stellen dat Wordfence erg eenvoudig in gebruik is, zolang het naar behoren werkt.

Hoe Wordfence scoort op de 3 pijlers van webbeveiliging

Preventie

In tegenstelling tot de gratis oplossing van Sucuri, die geen firewall bevat, heeft Wordfence wél het arsenaal om de meeste aanvallen tegen te houden. Niet alleen past de plugin de standaard beveiligingsmaatregelen toe, ook wordt deze geleverd met een server-side WAF.

De meest recente bedreigingsupdates updates zijn echter voorbehouden aan premium gebruikers. Gratis gebruikers krijgen de updates pas 30 dagen na uitgave. En omdat je eigen webserver Wordfence host (en het dus geen clouddienst is), zelfs met de premium versie, moet je een mogelijke DDoS-aanval helemaal zelf oplossen.

Ik snap het idee achter deze financiële beslissing, maar beveiligingstechnisch is de alles-of-niets-aanpak van Sucuri beter. Je zou namelijk kunnen denken dat je met Wordfence bent beschermd tegen de meest populaire bedreigingen, terwijl je dat in de praktijk niet bent.

Dat gezegd hebbende, de premium versie van Wordfence levert uitstekend werk als het gaat om preventie van aanvallen. Hun blog en YouTube-kanaal zijn waardevolle bronnen om jezelf op de hoogte te houden van de nieuwste beveiligingsdreigingen voor WordPress.

Detectie

De gratis Wordfence plugin presteert redelijk wanneer het gaat om het detecteren van de meeste beveiligingsproblemen. Maar je hebt een premium pakket nodig als je de meest recente bedreigen buiten de deur wil houden.

Als een hacker je met succes heeft buitengesloten van je website, dan kan je de logboeken niet controleren, iets wat bij Sucuri wel mogelijk is. Het onderzoeken van een hack is dus potentieel vele malen moeilijker.

Je hebt geen andere keus dan contact opnemen met je hostingprovider of een externe beveiligingsdienst, waar ironisch gezien ook Wordfence onder valt.

Afgezien daarvan heeft Wordfence, in vergelijking met Sucuri, beperkte aanpassingsmogelijkheden wat betreft waarschuwing, ook al werkt het systeem verder prima. Het laat je onmiddellijk weten wanneer er een beveiligingsafwijking wordt gevonden.

Reactie en herstel

Zoals eerder opgemerkt, sta je er na een hack bij Wordfence zelf voor. Maar zelfs met het premium pakket, biedt Wordfence geen reactie- en hersteldienst.

Dit is een citaat dat rechtstreeks afkomstig is uit de gebruiksvoorwaarden van Wordfence:

“De ondersteuning die wij leveren binnen Wordfence Premium beperkt zich tot 2 uur ondersteuning per incident. We behouden ons het recht voor om verdere ondersteuning te weigeren of om kosten in rekening te brengen na deze 2 uur ondersteuning.”

Voor een volledige oplossing moet je een andere dienst van hun aanschaffen, genaamd WordPress Site Cleaning. Deze kost $179 per incident (plus eventuele extra kosten wanneer er veel vraag is).

WordPress Site Cleaning van Wordfence

WordPress Site Cleaning van Wordfence

Deze WordPress Site Cleaning-dienst omvat:

Ik heb nog geen gebruik hoeven te maken van deze site-schoonmaakservice, maar deze lijst lijkt uitgebreid genoeg. Hier zijn een paar goede recensies die ik op Twitter heb gevonden:

Dr. David Miles, Editor-in-Chief, Global Politics

Dr. David Miles, Editor-in-Chief, Global Politics

Rachel Bustin, Family Lifestyle Blogger

Rachel Bustin, Family Lifestyle Blogger

Vergeleken met de diensten die Sucuri levert omtrent het verwijderen van malware en het opschonen na hacks, die bij het premium Sucuri Platform inbegrepen zit, lijkt de opschoondienst van Wordfence duurder.

Daarnaast krijg je met Sucuri onbeperkte malwareverwijderingen tijdens je abonnementsperiode, terwijl de malwareverwijderingsservice van Wordfence maar voor een aanval geldt. Als je site een paar maanden later weer wordt geïnfecteerd, dan moet je opnieuw dezelfde vergoeding betalen voor verwijdering.

Info

Kinsta biedt een beveiligingsgarantie voor alle gebruikers voor alle pakketten.

Prijzen Wordfence

De beveiligingsplugin Wordfence is gratis te downloaden. Momenteel is het de best beoordeelde en de meest geïnstalleerde beveiligingsplugin binnen de WordPress-pluginbibliotheek.

Wordfence Premium kost vanaf $99/jaar voor 1 site. Je krijgt korting als je meerdere sites toevoegt aan je bestelling. Hoe meer sites je toevoegt, hoe hoger de korting!

Prijzen Wordfence Premium

Prijzen Wordfence Premium

De impact van beveiligingsplugins op siteperformance

WordPress-plugins vormen niet alleen het grootste beveiligingsrisico, maar hebben als groep een enorme impact op de prestaties van je site. Dit geldt met name voor beveiligingsplugins, omdat ze altijd “aan” moeten staan en vaak je site scannen.

Een uitzondering hierop vormen cloud-based oplossingen zoals Sucuri Firewall of Cloudflare. Ze zijn erg geschikt als je extra bescherming zoekt, helemaal als het gaat om bots en proxyverkeer.

Sucuri vs Wordfence, wat is de beste beveiligingsplugin? Lees onze grondige praktische review en vergelijking om erachter te komen! 🔐🏆Click to Tweet

Samenvatting

Sucuri vs Wordfence. Wat is de beste keuze?

Wat websitebeveiliging en prestaties betreft is Sucuri de betere keuze, vooral als het succes van je bedrijf of e-commercezaak van het functioneren van je website afhangt.

Als je op zoek bent naar een gratis webfirewall, dan is Wordfence wellicht de betere keuze. Als je hier inderdaad voor kiest, dan raad ik aan om deze te combineren met een betrouwbare gratis CDN, zoals Cloudflare.

Als puntje bij paaltje komt, komt het allemaal neer op je hosting. Een goede hostingprovider neemt je de beveiliging uit handen en zorgt zelf voor de meest beveiligingsmaatregelen. Zij snappen dat de prestaties van hun servers en diensten onder deze externe plugins lijden.

In het ideale geval vergrendelt je host de code en kan deze alleen vanaf een beperkt aantal locaties en instanties worden uitgevoerd. Ook beperken ze het schrijven van uploads tot alleen de betreffende map. Naast nog een paar andere beveiligingsmaatregelen, maakt dit WordPress-beveiligingsplugins overbodig.

Uiteindelijk is websitebeveiliging een reis en geen bestemming. Ik raad je aan om het beste pad voorwaarts te nemen!


Als je dit artikel leuk vond, dan ga je Kinsta’s WordPress hosting platform ook heel erg leuk vinden! Of het nu gaat om het versnellen van je website of de 24/7 support van ons ervaren WordPress-team. Onze door Google Cloud aangedreven infrastructuur is gericht op automatische schaalbaarheid, prestaties en beveiliging. Laat ons jou het Kinsta verschil tonen! Bekijk onze pakketten