Wordfence vs. Kakapo Security: welke bescherming past?

Een beveiligingsplugin wordt op twee dagen beoordeeld: op de dag dat hij iets afweert, en op de dag dat hij zich vergist. De eerste dag staat in elke productbeschrijving. De tweede in geen enkele — terwijl die bepaalt of de plugin na een halfjaar nog aanstaat. Deze vergelijking zet Wordfence en Kakapo Security op beide punten naast elkaar.

Het korte antwoord

Wordfence is de bekendste beveiligingsplugin voor WordPress, met een gratis versie, een eigen firewall en een malwarescanner die werkt met signaturen van de fabrikant. Een deel van de kracht ligt daarbij uitdrukkelijk buiten de eigen installatie: signaturen en dreigingsinformatie komen van de aanbieder.

Kakapo Security kiest de andere weg. Het biedt een patroonfirewall, een scan, een vergelijking van de corebestanden met de checksums van api.wordpress.org en een reeks inlogblokkades — en dat alles draait op jouw server, zonder iets bij een dienst na te vragen. Daar staat tegenover dat er geen onderhouden signatuurdatabase is en geen IP-filter op basis van reputatie.

Kort gezegd: wie een continu bijgehouden dreigingsdatabase en een gratis instap wil, zit goed bij Wordfence. Wie wil kunnen nagaan waarnaar precies wordt gezocht, wie geen gegevens aan een beveiligingsdienst wil geven en wie sowieso al andere Kakapo-plugins gebruikt, vindt in Kakapo Security de passendere tool.

Wat beide kunnen

• Mislukte inlogpogingen beperken en adressen blokkeren
• Tweefactor bij het inloggen
• Bestanden op wijzigingen controleren en de WordPress-core met het origineel vergelijken
• Een scan van wp-content op verdachte patronen
• Een logboek van wat is afgeweerd en wie heeft ingelogd
• Een melding als er iets opvalt

Op dit niveau ontlopen de twee elkaar weinig. Het verschil zit in WAARVANDAAN de kennis komt waarnaar wordt gezocht.

Waar de twee verschillen

Het verschil dat je pas na weken merkt: vals alarm

Elke scan die iets vindt, vindt ook iets wat niet klopt. Een plugin die elke week drie onschuldige bestanden meldt, wordt na de derde keer niet meer gelezen — en dan glipt de echte vondst er ook doorheen. De omgang met deze vraag onderscheidt tools sterker dan het aantal patronen.

Kakapo Security houdt daarvoor in de meegeleverde broncode een lijst bij van bij meting verworpen benaderingen — met het aantal valse alarmen waarop ze zijn gestrand: hoge dichtheid aan \xNN-reeksen (23 legitieme bestanden), versnipperde functienamen bij twee fragmenten (2, vanwege een wijdverbreide bibliotheek), zeer lange regels (429), niet-afdrukbare tekens (179), open backticks (49). Deze lijst staat in de interface, niet in een wiki voor ontwikkelaars.

Een beveiligingsplugin waarvan de overzichtsregel permanent op rood staat, beschermt niets meer — hij traint alleen het wegklikken. Controleer na twee weken gebruik hoeveel meldingen echt waren.

Wat Kakapo Security uitdrukkelijk NIET doet

Dat hoort in een eerlijke vergelijking, omdat het de keuze bepaalt:

• Geen tweefactor via een authenticator-app — de codes komen per e-mail. Wie TOTP nodig heeft, heeft een extra plugin nodig.
• Geen onderhouden signatuurdatabase. De scan zoekt naar patronen, niet naar bekende malware bij naam.
• Standaard geen kwetsbaarheidscontrole. Het adres van een bron kun je invoeren, maar er wordt er geen meegeleverd.
• Geen cloudfirewall vóór de website. De regels draaien in PHP, dus pas als WordPress al opstart.

Wie een van deze vier dingen nodig heeft, moet niet overstappen alleen omdat de rest past.

Waar de gegevens staan

Een beveiligingsplugin ziet meer van een website dan welke andere plugin ook: inlogpogingen met gebruikersnamen, IP-adressen van bezoekers, bestandslijsten, database-inhoud. De vraag waar daarvan iets naartoe gaat, is daarom geen bijzaak, maar onderdeel van de verwerking in opdracht.

Kakapo Security vraagt voor zijn detectie niets op. Firewallpatronen, zoekpatronen en controlelogica zitten in de plugin; naar buiten gaat alleen wat je zelf instelt — de checksums van de WordPress-core van api.wordpress.org en, als je die hebt opgegeven, je eigen kwetsbaarheidsbron. Er is geen tussenstap via een dienst van de fabrikant.

Wanneer Wordfence de betere keuze is

• Je wilt zonder budget beginnen
• Je wilt een continu bijgehouden signatuur- en kwetsbaarhedendatabase, zonder er zelf naar om te hoeven kijken
• Je hebt tweefactor met een authenticator-app nodig
• Je wilt bekende aanvallersadressen uit een gezamenlijke bron blokkeren

Wanneer Kakapo Security de betere keuze is

• Je wilt kunnen nalezen waarnaar wordt gezocht — elk patroon staat in de broncode
• Er mag niets naar een beveiligingsdienst gaan, ook geen metadata
• Je hebt een logboek nodig waaraan je achteraf aangebrachte wijzigingen kunt zien
• Je beheert meerdere sites en wilt ze onder één licentie onderbrengen
• Je gebruikt sowieso al Consent, Backup of de andere bouwstenen

Overstappen: wat je moet doen

1. Noteer welke regels bij de oude plugin op scherp stonden — vooral blokkeerlijsten en uitzonderingen.
2. Installeer Kakapo Security en voer de licentiesleutel in.
3. Zet de firewall eerst op ‘Observeren’ (in het Duits: „Beobachten“) en laat hem een week meedraaien.
4. Loop het firewall-logboek door: staat daar echt verkeer van je bezoekers, dan is een regel te breed.
5. Zet pas daarna om naar ‘Blokkeren’ (in het Duits: „Blockieren“).
6. Leg de stand van de bestanden één keer vast zolang de site aantoonbaar schoon is.
7. Schakel de oude plugin uit in plaats van hem te verwijderen — voor twee weken.

Twee firewalls tegelijk op scherp zetten is geen dubbele beveiliging, maar een dubbele foutenbron. De ene meldt, de andere blokkeert — anders weet je nooit welke iets heeft afgewezen.

Veelgestelde vragen