Begin bij accounts waarmee je andere accounts kunt herstellen
Je WordPress-login is beveiligd met 2FA. Mooi. Maar in welke inbox komen de e-mails voor een password reset terecht? En wie heeft toegang tot het hostingaccount?
Achter een website zitten meerdere accounts. Breng eerst in kaart wie de website kan aanpassen of toegang kan herstellen, voordat je nog een security-plugin kiest. Voor een klein bedrijf gaat het meestal om:
- Zakelijke e-mail: de mailboxen en identity provider die je gebruikt om in te loggen en accounts te herstellen.
- Domein en DNS: de diensten die bepalen waar het verkeer voor je website en e-mail terechtkomt.
- Hosting en backups: toegang tot websitebestanden, databases en herstelkopieën.
- WordPress: administrator-accounts en andere accounts met gevoelige rechten.
Begin bij de accounts met de meeste controle en breid de beveiliging daarna uit. CISA adviseert om beheertoegang voorrang te geven wanneer je multifactor authentication (MFA) binnen een bedrijf invoert.
Kies een methode waar je team mee uit de voeten kan
Two-factor authentication (2FA), ook bekend als tweefactorauthenticatie, vraagt om twee verschillende soorten bewijs. Een wachtwoord plus een code uit een authenticator-app is een bekend voorbeeld. Alleen een gestolen wachtwoord is dan niet genoeg om in te loggen.
Ondersteunt de dienst het? Kies dan bij voorkeur een phishingbestendige optie, zoals FIDO security keys of passkeys. Die koppelen de authenticatie aan de echte dienst, waardoor een nagemaakte loginpagina een aanvaller veel minder oplevert. Een passkey kan het wachtwoord volledig vervangen. Volg daarom de instructies van je provider.
Een authenticator-app met eenmalige codes is een praktisch alternatief. Een phishingsite kan die codes wel onderscheppen. Gebruik sms als terugvaloptie wanneer sterkere methoden ontbreken. NIST legt de verschillen uit en laat zien waarom de gekozen methode ertoe doet.
Controleer bij een self-hosted WordPress-site welke plugin of login-integratie 2FA regelt en afdwingt. Neem alle relevante inlogroutes mee, ook een eventuele aangepaste loginpagina. De WordPress-handleiding over authenticatie is een bruikbaar vertrekpunt. De precieze inrichting hangt af van je website.
Regel recovery voordat je telefoon zoekraakt
Een eenvoudige controlevraag: de persoon die normaal inlogt is afwezig en diens telefoon is niet beschikbaar. Kan een bevoegde collega de website dan nog beheren, zonder die login te delen?
Registreer waar mogelijk een extra authenticator en bewaar recovery codes in een goedgekeurde, beveiligde kluis met beperkte toegang. Zorg dat je bij de herstelmogelijkheid kunt als de normale login niet werkt. Codes die alleen in het vergrendelde account staan, helpen je niet om weer binnen te komen.
Leg vast wie verantwoordelijk is voor recovery en hoe je de provider bereikt. Zet de codes zelf niet in gewone documenten, e-mailgesprekken of supporttickets. De recovery-richtlijnen van OWASP leggen uit waarom ook accountherstel goed beveiligd moet zijn.
Test de toegang voordat je 2FA verplicht maakt
Doorloop het hele proces met een testaccount waarvoor je toestemming hebt, voordat je 2FA voor het hele team afdwingt. Een melding dat de instelling is opgeslagen, is pas het begin.
- Log opnieuw in. Controleer in een aparte browsersessie of de verwachte tweede factor verplicht is. Houd tijdens de test een werkende admin-sessie beschikbaar.
- Test recovery. Volg de procedure van de provider. Gebruik je een eenmalige recovery code, markeer die dan als verbruikt en bewaar een eventuele nieuwe set veilig.
- Controleer de toegang van je team. Geef iedereen een eigen account met alleen de rechten die nodig zijn. Zorg dat een tweede bevoegde beheerder kan handelen wanneer de vaste beheerder afwezig is.
- Controleer gekoppelde tools. API tokens en application passwords kunnen toegang geven zonder een interactieve 2FA-stap. Controleer apart welke rechten ze hebben, waar je ze bewaart en hoe je ze intrekt.
Loop de toegang opnieuw na wanneer iemand vertrekt of een andere rol krijgt. Trek rechten in die niet meer nodig zijn en controleer actieve sessies en toegangsgegevens die voor dat werk werden gebruikt.
Een concrete eerste stap
Maak een lijst van de vier groepen accounts hierboven. Noteer per groep de verantwoordelijke, de inlogmethode en wie recovery beheert. Zet geen wachtwoorden of recovery codes in die lijst. Elk leeg veld laat zien waar je kunt beginnen.
2FA verkleint het risico dat iemand je accounts overneemt. Updates, passende rechten en geteste backups blijven nodig. Die horen bij hetzelfde websiteonderhoud.
Toegang beveiligen en binnenkomende aanvragen controleren zijn twee verschillende taken. Over dat laatste lees je meer in onze notitie over email verification en spam via je contactformulier.