Beveiligingschecklist voor Joomla websites
Houd je Joomla website veilig met deze tien essentiële beveiligingsmaatregelen. Van updates en 2FA tot backups, file permissions en security-extensies.
Laatst bijgewerkt op
Een gehackte website is een nachtmerrie: verlies van data, schade aan je reputatie en het risico dat je bezoekers malware meekrijgen. Het goede nieuws is dat de meeste aanvallen te voorkomen zijn met basismaatregelen. In deze checklist loop ik stap voor stap de essentiële beveiligingsmaatregelen voor je Joomla-website langs.
Zestig procent van de gehackte websites draaide verouderde software. Denk dus niet "mij overkomt dat niet" — aanvallen zijn geautomatiseerd en zoeken simpelweg naar bekende kwetsbaarheden. Is je site al besmet? Ga dan direct naar wat te doen bij een gehackte Joomla-website.
1. Houd alles up-to-date
Dit is veruit de belangrijkste maatregel. Verouderde software bevat bekende kwetsbaarheden die geautomatiseerd worden uitgebuit. Update regelmatig:
- Joomla core — check wekelijks, of zet automatische core-updates aan (vanaf Joomla 5.4)
- Extensies — alle componenten, modules en plugins
- Templates — ook je template kan kwetsbaarheden bevatten
- PHP-versie — draai minimaal PHP 8.3 voor Joomla 6
Draai je nog Joomla 3 of 4, dan help updaten niet meer: die versies krijgen geen patches. Zie Joomla upgrade & veiligheid.
2. Gebruik sterke wachtwoorden en tweefactorauthenticatie
Een sterk wachtwoord is je eerste verdedigingslinie. Zorg dat:
- elk wachtwoord minimaal 12 tekens lang is
- je een mix gebruikt van letters, cijfers en speciale tekens
- elk account een uniek wachtwoord heeft
- je een wachtwoordmanager gebruikt (1Password, Bitwarden)
Zet tweefactorauthenticatie aan voor álle beheerdersaccounts via Users → Manage → gebruiker → Multi-factor Authentication. Dit alleen al blokkeert de overgrote meerderheid van bruteforce-aanvallen.
3. Beperk toegang tot de beheeromgeving
Verander je admin-URL
Standaard is je beheeromgeving bereikbaar via /administrator. Dat weet iedereen. Hernoem deze URL met een extensie als Admin Tools.
IP-whitelist
Log je altijd vanaf dezelfde locatie in? Beperk de toegang tot je adminpaneel dan tot jouw IP-adres(sen).
Beperk inlogpogingen
Installeer een extensie die accounts tijdelijk blokkeert na meerdere mislukte pogingen. Dit stopt bruteforce-aanvallen.
Verwijder ongebruikte accounts
Controleer regelmatig je gebruikerslijst en verwijder accounts die niet meer actief zijn. Minder accounts is minder risico.
4. Maak regelmatig backups
Een backup is je veiligheidsnet. Zorg voor:
- Automatische backups — minimaal wekelijks, bij actieve sites dagelijks
- Off-site opslag — bewaar backups niet alleen op je eigen server
- Geteste backups — een backup die niet terug te zetten is, is waardeloos
- Meerdere versies — soms ontdek je een besmetting pas weken later
Aanbevolen extensies: Akeeba Backup (betaald, uitstekend) of XCloner (gratis).
5. Installeer een security-extensie
- Admin Tools (betaald) — uitgebreide beveiliging met .htaccess-maker, URL-hernoemer en IP-blokkering. De standaardkeuze voor professionele Joomla-sites.
- RSFirewall (betaald) — firewall, malwarescanner en intrusion detection in één pakket.
- Cloudflare (gratis plan) — niet Joomla-specifiek, maar biedt DDoS-bescherming, een firewall en caching als extra laag.
6. Beveilig je file permissions
Verkeerde permissions maken het hackers makkelijk om bestanden te wijzigen. De juiste instellingen:
- Mappen: 755
- Bestanden: 644
configuration.php: 444 (alleen lezen)
Controleer dit via FTP of via System → System Information → Directory Permissions. Gebruik nooit 777.
7. Monitor op verdachte activiteit
Hoe eerder je een aanval detecteert, hoe minder schade. Zorg voor:
- E-mailnotificaties bij mislukte inlogpogingen
- Regelmatige file integrity checks die gewijzigde bestanden detecteren
- Monitoring van serverlogs op verdacht verkeer
- Google Search Console, voor waarschuwingen over malware
8. Gebruik HTTPS en een geldig SSL-certificaat
Vanzelfsprekend, maar toch: gebruik altijd HTTPS. Het versleutelt alle communicatie tussen je server en bezoekers. De meeste hostingproviders bieden gratis Let's Encrypt-certificaten. Zet ook "Force HTTPS" aan via System → Global Configuration → Server, en controleer dat je certificaat automatisch vernieuwt.
9. Wees kritisch op extensies
Veel hacks lopen via kwetsbare extensies. Wees streng:
- Download alleen van betrouwbare bronnen (de Joomla Extensions Directory of de site van de ontwikkelaar)
- Check reviews en de datum van de laatste update — een extensie die twee jaar stilstaat is een risico
- Verwijder extensies die je niet gebruikt
- Koop nooit "nulled" (illegale) extensies: die bevatten vrijwel altijd malware
10. Plan regelmatige security-audits
Beveiliging is geen eenmalige actie maar een doorlopend proces. Plan elke drie tot zes maanden tijd in om je maatregelen te reviewen, software bij te werken en nieuwe dreigingen te evalueren. Wil je dit niet zelf doen, dan zit het standaard in onze onderhoudscontracten.
Snelle security-checklist
Laat je beveiliging checken
Wil je zekerheid dat je website goed beveiligd is? Vraag een gratis Joomla Quickscan aan. We controleren je website op bekende kwetsbaarheden en geven je een rapport met concrete aanbevelingen. Vermoed je dat je site al besmet is, ga dan direct naar spoedhulp bij een gehackte Joomla-website.
Delen