All-In-One Security vs. Kakapo Security: punten of bewijs?

All-In-One Security is een populaire gratis beveiligingsplugin met een puntensysteem: elke ingeschakelde maatregel verhoogt de beveiligingsscore. Dat motiveert — en het verleidt ertoe schakelaars om te zetten waarvan je het effect niet kent.

Het korte antwoord

AIOS dekt loginbeveiliging, hardening, een eenvoudige firewall en bestandswijzigingen af, is gratis en laagdrempelig. De puntenstand maakt vooruitgang zichtbaar, maar zegt niets over welke maatregel hoeveel oplevert.

Kakapo Security ziet af van een score en zet in op naleesbaarheid: 40 firewallpatronen en 22 zoekpatronen staan in de meegeleverde broncode, plus een lijst van benaderingen die bij meting te veel vals alarm opleverden. Het activiteitenlogboek is geketend en wordt berekend met een waarde uit de wp-config.php.

Waar de twee verschillen

Waarom geen score

Een score veronderstelt dat maatregelen bij elkaar opgeteld kunnen worden. Dat kan niet: tijdige updates en een tweede factor leveren samen meer op dan een dozijn kleine hardeningschakelaars — maar in een puntensysteem tellen ze even zwaar.

Erger is het tweede effect: wie optimaliseert voor 100 punten, zet ook dingen aan die op zijn site bijwerkingen hebben. Een schakelaar die één punt oplevert en de paginabouwer breekt, is een slechte ruil.

Gebruik je een tool met een score: zet niets aan waarvan je het effect niet in één zin kunt uitleggen. De puntenstand is geen doel.

Wanneer All-In-One Security de betere keuze is

• Je wilt gratis beginnen
• Je houdt van een begeleide configuratie met zichtbare vooruitgang
• Je hebt alleen loginbeveiliging en basishardening nodig

Wanneer Kakapo Security de betere keuze is

• Je wilt kunnen nalezen waarnaar wordt gezocht
• Je hebt een logboek nodig waaraan je achteraf aangebrachte wijzigingen kunt zien
• Er mag niets naar een beveiligingsdienst gaan
• Je beheert meerdere sites onder één licentie

Overstappen: wat je moet doen

1. Noteer het verplaatste inlogadres, als dat is ingesteld — anders sluit je jezelf buiten.
2. Kijk welke regels er in de .htaccess zijn geschreven; beveiligingsplugins laten daar vaak blokken achter.
3. Installeer Kakapo Security en voer de licentiesleutel in.
4. Zet de firewall eerst op ‘Observeren’ (in het Duits: „Beobachten“) en laat hem een week meedraaien.
5. Leg de stand van de bestanden vast zolang de site aantoonbaar schoon is.
6. Schakel de oude plugin uit en zet dan om naar ‘Blokkeren’ (in het Duits: „Blockieren“).

Wat geen van beide vervangt

Een beveiligingsplugin is een laag, niet het dak. Drie dingen blijven jouw taak, en in de praktijk voorkomen die meer incidenten dan welke firewallinstelling ook.

• Updates. De grote meerderheid van de geslaagde inbraken maakt gebruik van lekken waarvoor al lang een update beschikbaar was.
• Back-ups. Ze zijn het enige wat na een incident telt — en het enige wat ook helpt als je helemaal niet bent aangevallen, maar alleen zelf iets kapot hebt gemaakt.
• Opgeruimde toegangen. Elke toegang die niemand meer nodig heeft, is een deur die niemand meer in de gaten houdt.

Deze drie kosten geen geld en geen bijzondere kennis. Wie ze op orde heeft, wint er met een beveiligingsplugin veel bij. Wie ze niet op orde heeft, koopt met een plugin vooral een beter gevoel.

Waar Kakapo Security bewust niets doet

Zodat de verwachting klopt, hier de grenzen zonder omwegen: de tweefactorauthenticatie verstuurt haar codes per e-mail; een authenticator-app wordt niet ondersteund. Een onderhouden signatuurdatabase voor schadelijke code is er niet — de scan zoekt naar patronen, niet naar bekende malware bij naam. En de kwetsbaarheidscontrole accepteert wel het adres van een bron, maar levert er standaard geen mee. Daarbij komt: de firewall werkt in WordPress, niet ervoor — een aanval die de server overbelast, wordt door een PHP-plugin niet onderschept, welke dan ook.

Wat het in plaats daarvan doet, is nauw omschreven en controleerbaar: patronen herkennen en afwijzen, corebestanden toetsen aan de checksums van api.wordpress.org, wijzigingen aan bestanden opmerken en elke beslissing vastleggen in een keten die achteraf niet ongemerkt te wijzigen is. Wie die vier punten nodig heeft, zit goed. Wie een signatuurdatabase zoekt, niet.

Controleer bij elke beveiligingsplugin waar de firewall zit. Vóór de server is sterker tegen overbelasting, in WordPress is nauwkeuriger bij verzoeken aan WordPress zelf. Allebei tegelijk kan alleen als de hostingprovider meewerkt.

Veelgestelde vragen