Wordfence: stevige beveiliging voor je WordPress-site, ook als je hoster niets regelt

Veel website-eigenaren gaan ervan uit dat hun hostingpartij de beveiliging regelt. Soms klopt dat, maar lang niet altijd. Vooral bij goedkopere pakketten draait er vaak geen firewall, geen malwarescan en geen bescherming tegen inlogpogingen. Je site staat dan eigenlijk met de voordeur open. In zo’n situatie is Wordfence een van de eerste plugins die ik installeer.

Een firewall die meekijkt

Wordfence controleert elk bezoek aan je site voordat WordPress het verzoek verwerkt. Bekende aanvalspatronen, zoals pogingen om code in formulieren te injecteren of kwetsbaarheden in plugins te misbruiken, worden direct tegengehouden. Stel je de firewall in op de uitgebreide modus, dan gebeurt die controle nog eerder in het proces. Dat maakt de bescherming sterker.

Scannen op malware en gewijzigde bestanden

De scanner vergelijkt de bestanden van WordPress, je thema en je plugins met de originele versies. Is er iets aangepast of toegevoegd dat daar niet hoort, dan krijg je een melding. Ook verdachte links en bekende malware worden opgespoord. Zo ontdek je een probleem voordat Google je site als onveilig markeert.

Inloggen met tweestapsverificatie

Een sterk wachtwoord is goed, maar niet genoeg. Met Wordfence zet je gratis tweestapsverificatie (2FA) aan. Na het invullen van je wachtwoord vraagt de site om een code uit een app op je telefoon, zoals Google Authenticator of Microsoft Authenticator. Je kunt 2FA verplicht stellen voor beheerders en redacteuren. Daarnaast blokkeert Wordfence inlogpogingen met niet-bestaande gebruikersnamen en sluit het IP-adressen buiten die te vaak een verkeerd wachtwoord proberen.

Aanvallen afremmen

Met de instellingen voor rate limiting bepaal je hoeveel verzoeken een bezoeker of bot per minuut mag doen. Wie over de grens gaat, wordt tijdelijk geblokkeerd. Dat helpt tegen brute-force-aanvallen, agressieve scrapers en kleinere DDoS-aanvallen die op je website zelf gericht zijn. Wel een eerlijke kanttekening: Wordfence draait op je eigen server. Bij een grote DDoS-aanval moet die server al het verkeer nog steeds ontvangen. Voor dat soort aanvallen heb je bescherming op netwerkniveau nodig, bijvoorbeeld via Cloudflare. Samen vormen ze een sterke combinatie.

De nadelen

Wordfence is geen lichtgewicht. De plugin is flink van omvang en neemt meer ruimte in dan de meeste andere plugins. Tijdens een scan wordt je server extra belast, en op een eenvoudig hostingpakket kan je site dan merkbaar trager worden. Het helpt om scans op rustige momenten te laten draaien.

Ook de database groeit mee, vooral als je het live bijhouden van bezoekers aanzet. Die logging kun je beperken of uitschakelen, maar dat moet je wel zelf doen.

Verder krijgt de gratis versie nieuwe firewallregels en malwaresignaturen pas dertig dagen later dan de betaalde Premium-versie. Voor de meeste sites is dat acceptabel, maar bij een webshop of een site met gevoelige gegevens zou ik Premium overwegen.

Tot slot: het aantal instellingen kan overweldigend zijn en je mailbox raakt snel vol met meldingen. Gebruik Wordfence ook niet samen met een andere beveiligingsplugin, want die bijten elkaar vaak.

Conclusie

Biedt je hoster geen beveiliging, dan is Wordfence een sterke en grotendeels gratis oplossing. Je krijgt een firewall, een malwarescanner en tweestapsverificatie in één pakket. Neem de extra belasting en de omvang op de koop toe, stel de logging slim in en combineer het bij voorkeur met Cloudflare. Dan staat je site er een stuk beter voor.

Het configureren van deze plugin kan een behoorlijke klus zijn als je hier niet bekend mee bent. Maar daar kun je ons weer voor inschakelen.