Drie jaar geleden liet je je website bouwen. Sindsdien hebben er allerlei mensen aan gewerkt: de webbouwer, een tekstschrijver, een stagiair die de blogs bijhield en een bureau dat ooit iets met SEO deed. Ieder kreeg even snel een account. Open nu eens je gebruikerslijst. Grote kans dat al die accounts er nog staan, en dat de helft beheerdersrechten heeft.
Het goed instellen van WordPress gebruikersrollen is een van de meest vergeten onderdelen van beveiliging. Het kost weinig tijd en het verkleint de kans op ongelukken en inbraken flink. In dit artikel lees je welke rollen er zijn, wie welke rol krijgt en hoe je je gebruikerslijst in een kwartier op orde brengt.
Niet iedereen heeft de loper nodig
Denk aan de sleutels van een kantoorpand. De schoonmaker krijgt een sleutel van de voordeur, de boekhouder ook van het archief, en alleen de eigenaar heeft de loper die op elke deur past. Niemand vindt dat vreemd. Toch krijgt op veel websites iedereen gewoon de loper, omdat dat het snelst is.
Dat is riskant om twee redenen. Ten eerste kan iemand met te veel rechten per ongeluk iets kapotmaken, zoals een plugin uitschakelen of een instelling veranderen. Ten tweede is elk account een mogelijke ingang voor een aanvaller. Wordt het wachtwoord van een beheerder buitgemaakt, dan heeft de aanvaller meteen volledige controle over je website. Goede beveiliging volgt daarom het zogeheten least privilege-principe: geef iemand nooit meer rechten dan nodig is voor zijn taak.
Een voorbeeld uit de praktijk
Neem een fictief accountantskantoor met zeven accounts op de website, waarvan vijf met beheerdersrechten. Een van die accounts is van een stagiair die twee jaar geleden is vertrokken. Hij gebruikte hetzelfde wachtwoord als voor een webwinkel die later werd gehackt. Een aanvaller probeert die gelekte combinatie op allerlei websites uit, en komt zo binnen als beheerder. Binnen een paar minuten staat er een achterdeur in de website. Had dat account de rol Schrijver gehad, of was het na het vertrek verwijderd, dan had de aanvaller niets kunnen beginnen.
De standaardrollen van WordPress uitgelegd
WordPress heeft vijf standaardrollen, van veel naar weinig rechten.
1. Beheerder
Mag alles: plugins installeren, thema’s wijzigen, gebruikers aanmaken en verwijderen. Geef deze rol alleen aan jezelf en aan je technische beheerder. Op de meeste bedrijfswebsites zijn twee beheerders genoeg.
2. Redacteur
Mag alle berichten en pagina’s publiceren, bewerken en verwijderen, ook die van anderen. Kan niet aan plugins, thema’s of instellingen komen. Ideaal voor de persoon die de inhoud van je website beheert.
3. Auteur
Mag alleen zijn eigen berichten schrijven, afbeeldingen uploaden en publiceren. Geschikt voor een vaste medewerker die zelfstandig blogs plaatst.
4. Schrijver
Mag berichten schrijven, maar niet publiceren. Iemand met een hogere rol moet het bericht eerst goedkeuren. Handig voor gastbloggers, stagiairs of een externe tekstschrijver.
5. Abonnee
Kan alleen inloggen en zijn eigen profiel aanpassen. Wordt vooral gebruikt voor websites met een besloten ledengedeelte.
Plugins kunnen extra rollen toevoegen. WooCommerce voegt bijvoorbeeld de rollen Klant en Winkelmanager toe. Een winkelmanager kan bestellingen en producten beheren zonder beheerder te zijn, wat precies de bedoeling is.
Zo breng je je gebruikerslijst op orde
- Open Gebruikers in je dashboard en filter op Beheerder. Ken je iedereen? Is er een account dat je niet herkent, lees dan direct de vijf signalen dat je website gehackt is.
- Verwijder wie er niet meer werkt. WordPress vraagt bij het verwijderen aan wie de berichten van die persoon moeten worden toegewezen. Kies daar een bestaand account, dan blijven de artikelen gewoon staan.
- Verlaag de rechten van iedereen die geen beheerder hoeft te zijn.
- Controleer de e-mailadressen. Een account met het adres van een oud-medewerker kan via “Wachtwoord vergeten” door iemand anders worden overgenomen.
- Zet tweestapsverificatie aan voor in elk geval alle beheerders en redacteuren. Dat is een extra controle bij het inloggen, bijvoorbeeld een code op je telefoon, zodat een gestolen wachtwoord alleen niet genoeg is om binnen te komen.
Maak er daarna een vast moment van: loop je gebruikerslijst eens per kwartaal na, en altijd direct als er iemand vertrekt of een samenwerking met een externe partij stopt. Zet het in je agenda, net als het intrekken van een toegangspas.
Veelgemaakte fouten
- De admin-reflex. Iedereen beheerder maken omdat je dan niet hoeft na te denken. Dat scheelt nu twee minuten, maar kan je later veel kosten.
- Accounts delen. “Log maar in met het account van kantoor.” Gaat er iets mis, dan kun je nooit zien wie het heeft gedaan. Geef iedereen een eigen account.
- De gebruikersnaam “admin”. Dat is de eerste naam die aanvallers proberen. Gebruik een gebruikersnaam die niet voor de hand ligt.
- Tijdelijke toegang die blijft. Een externe partij heeft voor een klus een account nodig. Prima, maar zet in je agenda wanneer je het weer verwijdert.
Waar je op moet letten
Niet alleen mensen hebben toegang tot je website. Plugins, koppelingen met andere systemen en AI-assistenten loggen soms in via een eigen account of een zogeheten applicatiewachtwoord: een apart wachtwoord dat een programma gebruikt om met je website te praten. Behandel die met dezelfde zorg als een menselijke gebruiker. Je vindt ze per gebruiker onderaan het profiel. Gebruik je een koppeling niet meer, trek het wachtwoord dan in.
Zorg daarnaast dat je zelf altijd een eigen beheerdersaccount houdt, ook als iemand anders het technische beheer doet. Zo blijf je eigenaar van je website. Wil je bijhouden wie wat doet, dan helpt een logboekplugin, zoals beschreven in de 7 beste beveiligingsplugins voor WordPress.
Tot slot
WordPress gebruikersrollen werken net als de sleutels van een kantoorpand: iedereen krijgt de sleutels die hij nodig heeft, en de loper blijft bij een paar vertrouwde mensen. Loop je gebruikerslijst vandaag nog na, verwijder wie er niet meer werkt en verlaag de rechten van wie geen beheerder hoeft te zijn. Het is een kwartier werk dat je veel ellende kan besparen.
Wil je zeker weten dat je site goed beveiligd is, ook van binnenuit? Webconneqt helpt je met doordachte website beveiliging, inclusief een controle van alle gebruikersaccounts. Neem gerust contact op om een security-check aan te vragen.