Op zoek naar een alternatief voor Wordfence? Deze zes vragen geven de doorslag

Een beveiligingsplugin vervang je zelden uit nieuwsgierigheid. Meestal is er een aanleiding: de site werd traag, de mailbox liep vol met meldingen, of bij een privacycontrole kwam de vraag op wat de plugin eigenlijk naar buiten stuurt. Deze tekst zet de gebruikelijke aanleidingen op een rij en noemt bij elke aanleiding de vraag die een alternatief moet beantwoorden.

Aanleiding 1: te veel meldingen, te weinig echte

De meest voorkomende reden, en de gevaarlijkste: wie elke week drie onschuldige vondsten wegklikt, klikt op een gegeven moment ook de echte weg. De vraag aan elk alternatief is daarom niet ‘hoeveel patronen heeft het’, maar hoe gaat het om met vals alarm.

Hoe je dat herkent: zegt de tool WAARNAAR hij zoekt? Kun je een vondst vrijgeven — en vervalt de vrijgave als het bestand verandert? Kakapo Security koppelt elke vrijgave aan de checksum van de gelezen inhoud: zodra er iets aan het bestand verandert, is de vondst terug. Dat is ongemakkelijk en terecht.

Een bulkknop ‘alles vrijgeven’ is een waarschuwingssignaal, geen verlichting. Het is een algemene amnestie met één klik — precies voor de gevallen die je afzonderlijk had moeten bekijken.

Aanleiding 2: de site is traag geworden

Een scan over tienduizenden bestanden kost rekentijd. Doorslaggevend is of hij die neemt als er niemand is, of midden in een bezoek. Vraag aan het alternatief: loopt de scan in kleine porties met een tijdsbudget, kun je hem pauzeren, en gaat hij bij de volgende start verder waar hij gebleven was?

Tweede vraag, die vaak wordt vergeten: wat gebeurt er bij elke afzonderlijke paginaweergave? Een firewall controleert mee. Hoe meer regels, hoe meer werk per verzoek — en hoe belangrijker het is dat de regels beknopt en getest zijn in plaats van talrijk.

Aanleiding 3: er mag niets naar buiten gaan

Een beveiligingsplugin ziet inlogpogingen met gebruikersnamen, IP-adressen, bestandslijsten en database-inhoud. Als daarvan iets naar een dienst gaat, hoort die dienst in je register van verwerkingsactiviteiten. Vraag aan het alternatief: wat verlaat de server, en kun je dat uitzetten?

Bij Kakapo Security zitten firewallpatronen, zoekpatronen en controlelogica in de plugin. Naar buiten gaat alleen wat je zelf instelt: de checksums van de WordPress-core van api.wordpress.org en — als je die opgeeft — je eigen kwetsbaarheidsbron. Standaard is die laatste leeg.

Aanleiding 4: de login is de eigenlijke zwakke plek

De meeste overnames verlopen niet via een lek in de code, maar via een wachtwoord. Controleer daarom wat het alternatief rond het inloggen biedt — en dan verder dan het beperken van mislukte pogingen: inlogadres verplaatsen, wachtwoordsterkte afdwingen, lopende sessies zien en beëindigen, een tijdvenster om in te loggen, een beperking op land van herkomst.

En de ongemakkelijke vraag over tweefactor: is een code per e-mail genoeg, of hebben jullie een authenticator-app nodig? Kakapo Security levert alleen e-mailcodes en zet dat ook zo in de interface. Voor veel redacties is dat genoeg. Wie TOTP nodig heeft, moet daarnaar vragen voordat hij overstapt.

Aanleiding 5: toen het erop aankwam, ontbrak de informatie

Na een incident telt niet wat er is afgeweerd, maar wat je kunt aantonen: wie heeft wanneer ingelogd, wat is er aan bestanden veranderd, wie heeft welke instelling gewijzigd. Vraag aan het alternatief: is er een logboek — en kun je daaraan zien of het achteraf is gewijzigd?

Kakapo Security ketent zijn activiteitenregels aan elkaar en berekent de keten met een waarde uit je wp-config.php. Wie een regel wijzigt of verwijdert, breekt de keten zichtbaar. Dat is geen kluis, maar het onderscheidt een logboek van een lijst die je stilletjes kunt bewerken.

Aanleiding 6: vijf plugins voor vijf taken

Beveiliging, cookies, back-up, snelheid — elk onderwerp een plugin, elk met een eigen interface, een eigen login, een eigen factuur. Als dat de aanleiding is, is de vraag niet ‘welke beveiligingsplugin’, maar of de andere bouwstenen van dezelfde maker te krijgen zijn en of ze op dezelfde manier te bedienen zijn.

De checklist in het kort

Wat geen enkel alternatief kan

Geen enkele plugin in WordPress vervangt een firewall vóór de webserver, omdat hij pas draait als PHP al is gestart. Geen enkele vervangt actuele updates. En geen enkele scan vindt alle schadelijke code — hij vindt wat op zijn patronen lijkt. Wie deze drie zinnen onthoudt, kiest anders en rustiger.

Leg de stand van je bestanden vast zolang de site aantoonbaar schoon is. Een stand die pas na een infectie is vastgelegd, verklaart de schadelijke code tot normale toestand — en die valt daarna nooit meer op.

Veelgestelde vragen