Security & privacy
Veel IT-managers en security officers twijfelen over de veiligheid van WordPress. Is die twijfel terecht, of ligt het probleem bij de manier waarop het platform wordt ingericht? Bij Level Level laten we zien hoe informatiebeveiliging en privacy structureel verankerd worden in elke regel code, ontwikkelstraat en serverlaag.
Is WordPress het probleem?
Als IT-manager, CISO of product owner sta je voor een bekend probleem. Aan de buitenkant zie je een strakke website die soepel functioneert, maar je kunt in de broncode niet zien of endpoints correct zijn afgeschermd, of database-query’s vatbaar zijn voor SQL-injections, of hoe externe afhankelijkheden worden beheerd.
Iedere regel code kan fouten bevatten. Dat geldt voor maatwerksoftware net zo goed als voor systemen van partijen als Microsoft of Google. Veiligheid draait om de vraag of je processen hebt ingericht die risico’s structureel minimaliseren en incidenten direct beheersen.
Informatiebeveiliging en compliance geborgd in elke regel code en serverlaag
De daadwerkelijke veiligheid van een platform valt of staat met de expertise en werkwijze van de partner die het opbouwt en beheert. Bij Level Level plakken we geen pleisters achteraf en geloven we niet in snelle beveiligingsplugins.
Als ISO 27001-gecertificeerd bureau borgen we veiligheid in onze complete organisatie: van strikte Git-ontwikkelstraten en data-minimalisatie tot vergrendelde productieomgevingen en continue monitoring.
Veel voorkomende pijnpunten
De kwetsbaarheden die we in de markt aantreffen
Wanneer wij bestaande WordPress-platforms van andere bureaus overnemen of auditen, zien we vaak dezelfde patronen terugkomen:
Vastzitten in interactieve elementen (keyboard traps)
Iemand navigeert met de Tab-toets, opent een zoekbalk of fly-out menu, en kan er vervolgens met geen mogelijkheid meer uit zonder muis.
Achterstallig onderhoud en plugin-wildgroei
Tientallen plugins van ontwikkelaars zonder duidelijk verdienmodel of beveiligingshistorie, die al maanden of jaren niet zijn bijgewerkt.
Geen traceerbaarheid
Wijzigingen die rechtstreeks in het WordPress-dashboard of via FTP op de server worden doorgevoerd, zonder versiebeheer of audittrail.
Onnodige data-opslag
Contactformulieren en inschrijvingen die privacygevoelige gegevens (zoals NAW-gegevens, e-mailadressen of bestanden) jarenlang ongecodeerd in de database laten staan.
Onbeveiligde API-endpoints
Koppelingen met externe systemen die zonder authenticatie of rate limiting publiekelijk benaderbaar zijn.
Waarom alleen ISO-hosting niet genoeg is
Veel bureaus adverteren trots met ISO 27001-gecertificeerde hosting, maar dat garandeert enkel de fysieke beveiliging van serverkasten, stroom en brandblussystemen in het datacenter. Het biedt geen enkele waarborg voor de veiligheid van de applicatie zelf of de interne processen van het bureau.
Zo’n certificering zegt namelijk niets over de omgang met klantdata en wachtwoorden, het beheer van broncode bij uitdiensttreding of de controle op codekwaliteit. Informatiebeveiliging stopt niet bij de voordeur van de hostingprovider; het moet verankerd zijn in de complete bedrijfsvoering van het ontwikkelbureau.
Onze norm: ISO 27001 en de BIO als fundament
Waar anderen leunen op het certificaat van hun hostingprovider, is Level Level als bureau zelf ISO 27001-gecertificeerd. Dit betekent dat onze complete bedrijfsvoering, onze processen, ons kantoor en onze ontwikkelstraten jaarlijks onafhankelijk worden geaudit volgens de strengste internationale normen voor informatiebeveiliging.
Hoe wij veiligheid borgen
Wij werken voor uiteenlopende organisaties: van overheden en financiële instellingen tot grote e-commerce platforms en culturele organisaties. De strengste normen uit de overheidsstandaard (de BIO) hanteren we als vaste basis. Dit borgen we in de praktijk door:
- Logo Gemeente Rotterdam
- Logo Betaalvereniging
- Logo Boor
- Logo Financieel Dagblad
- Logo Cordaid
- Logo Internationaal Film Festival Rotterdam
Data minimalisatie
Privacy by design: data die er niet is, kan niet lekken
De grootste nachtmerrie van elke bestuurder is een datalek dat gemeld moet worden bij de Autoriteit Persoonsgegevens. Onze ontwikkelstrategie is daarom vanaf de basis gericht op data-minimalisatie:
In-memory verwerking
Extreem gevoelige gegevens die binnenkomen via formulieren slaan we waar mogelijk uitsluitend tijdelijk in memory op. Zodra de data via een beveiligde koppeling is doorgestuurd naar het bronsysteem, verdwijnt het direct uit het werkgeheugen.
Automatische retentie en schoning
We richten bewaartermijnen geautomatiseerd in. Formulierteksten kunnen na 6 maanden worden geanonimiseerd en na 12 maanden definitief worden gewist. Zo blijft er geen onnodige persoonsdata in de database achter.
Versleuteling
Gevoelige datavelden worden op databaseniveau versleuteld opgeslagen.
Geen vat voor ransomware
Al onze back-ups worden offsite en geïsoleerd bewaard. Omdat onze serveromgevingen volledig vanuit code worden opgebouwd (Infrastructure as Code), kunnen we een platform bij calamiteiten binnen no-time volledig schoon heropbouwen. Er valt voor ransomware simpelweg niets te gijzelen.
Hoe wij veiligheid borgen in ons proces
Beveiliging is geen plugin die je aanzet; het is een werkwijze die verweven zit in elke sprint en elke codewijziging.
1. Immutable op productie
In al onze productieomgevingen staat de mogelijkheid om plugins te installeren of bestanden te bewerken in het WordPress-dashboard permanent uitgeschakeld.
De code op de server is immutable (onaanpasbaar). Mocht een aanvaller op wat voor manier dan ook toegang krijgen tot een beheerdersaccount, dan kan deze alsnog geen bestanden overschrijven, thema’s wijzigen of kwaadaardige PHP-scripts uploaden. Nieuwe code kan uitsluitend worden uitgerold via onze geautomatiseerde deployment-straat.
2. Het vierogenprincipe bij elke codewijziging
Geen enkele developer kan bij Level Level op eigen houtje code naar een live platform pushen. Elke wijziging verloopt via een pull request in Git en moet worden goedgekeurd door een tweede developer.
Tijdens deze peer review controleren we scherp op veilige data-afhandeling, zoals het opschonen van input, het veilig tonen van output en het gebruik van voorbereide database-query’s. Ook kijken we of er geen logische fouten of onbeveiligde koppelpunten in de code zitten, en borgen we dat alles onderhoudbaar blijft volgens de officiële WordPress Coding Standards.
3. Supply chain security en eigen mirrors
Veel beveiligingsincidenten in open source ontstaan doordat een externe bibliotheek besmet raakt of wordt overgenomen door kwaadwillenden. Wij beheren al onze afhankelijkheden strikt via Composer en npm:
- Kwaliteitsselectie: We werken uitsluitend met beproefde software van gerenommeerde partners (zoals Gravity Forms, Advanced Custom Fields, Admin Columns en Yoast) met een bewezen staat van dienst en een duurzaam verdienmodel.
- Geautomatiseerde kwetsbaarheidsscans: Onze CI/CD pipeline blokkeert een uitrol automatisch zodra een gebruikte dependency een bekende kwetsbaarheid bevat.
- Private mirrors: We onderhouden eigen mirrors van alle gebruikte packages. Mocht een package plotseling uit de openbare registers verdwijnen of gecompromitteerd raken, dan vallen we direct terug op onze eigen getoetste kopie.
Onder de motorkap: netwerkbeveiliging en infrastructuur
Veilige software heeft een even solide serverinfrastructuur nodig. We richten onze hostingomgevingen in volgens het defense-in-depth principe: meerdere onafhankelijke beveiligingslagen die elkaar versterken.
| Onderdeel | Onze standaard | Wat dit betekent voor je organisatie |
|---|---|---|
| Certificering | ISO 27001 & BIO-conform | Aantoonbare procesmatige beveiliging in code, hosting, kantoor en personeel. |
| Productie-omgeving | `DISALLOW_FILE_MODS` actief | Bestanden op de server zijn onaanpasbaar; wijzigingen zijn uitsluitend mogelijk via Git-deployments. |
| Netwerkbeveiliging | Web Application Firewall (WAF) & Rate Limiting | Verdacht verkeer en geautomatiseerde scanners worden aan de rand van het netwerk geblokkeerd voordat ze de server bereiken. |
| Omgevingsisolatie | Volledig geïsoleerde containers | Geen gedeelde resources met andere websites; storingen of aanvallen op andere platforms hebben geen nevenschade. |
| Database-architectuur | High Availability & automatische failover | Replicatie naar read-only back-up databases die bij uitval direct de taken van de primaire database kunnen overnemen. |
| Datasoevereiniteit-borging | 100% Nederlandse datacenters (Tilaa / Bit) | Gegevens vallen onder Nederlandse en Europese wetgeving; geen blootstelling aan de Amerikaanse CLOUD Act. |
| Back-ups & Herstel | Offsite back-ups & Disaster Recovery tests | Dagelijkse SQL-backups (twee weken bewaard) en uploads (tot een jaar terug). Meerdere keren per jaar rampscenario-simulaties. |
| Toegangsbeheer | SSO via Microsoft Entra ID / Google Workspace | Centraal geregeld toegangsbeheer en multi-factor authenticatie gekoppeld aan jullie eigen identiteitsbeheer. |
Ons noodprotocol
Hoe we omgaan met zero-day kwetsbaarheden
Zelfs met de beste voorbereiding kan er wereldwijd plotseling een kritiek lek worden ontdekt in een veelgebruikt onderdeel. Voor die situaties hanteren we een strikt noodprotocol:
WordPress Core updates
Kritieke beveiligingspatches voor de kern van WordPress worden geautomatiseerd uitgerold zodra ze beschikbaar zijn.
Plugin-kwetsbaarheden
Zodra er een ernstig lek in een gebruikte plugin bekend wordt, rollen we binnen maximaal 24 uur een noodpatch of mitigatie uit over alle getroffen klantomgevingen.
Monitoring
Onze monitoring tools houden platforms 24 uur per dag in de gaten op uptime, databasebeschikbaarheid, schijfruimte en geldigheid van SSL-certificaten.
Praktijk in beeld: pentesten en onafhankelijke audits
Echte weerbaarheid bewijs je niet op papier, maar in de praktijk. Onze platforms worden regelmatig blootgesteld aan formele security-onderzoeken door externe specialisten.
Externe ethical hackers en penetratietesten
Veel van onze opdrachtgevers laten hun platforms periodiek testen door onafhankelijke cybersecurity-bureaus via grondige pentests. Wij verwelkomen deze audits en zorgen dat ethical hackers direct met de juiste documentatie, scope en IP-vrijgaven aan de slag kunnen.
Onze platforms komen stelselmatig uitstekend uit deze externe onderzoeken. Mocht er bij een test op onze maatwerkcode toch een kritieke kwetsbaarheid aan het licht komen, dan lossen we dit onder garantie kosteloos en met de hoogste prioriteit op.
Single Sign-On (SSO) en centraal rechtenbeheer
Voor grotere organisaties vormt versnipperd inlogbeheer een aanzienlijk risico; een oud-medewerker wiens CMS-account actief blijft, is een directe open deur. Om dit te voorkomen, koppelen wij WordPress rechtstreeks aan jullie eigen identity provider, zoals Microsoft Entra ID, Google Workspace of Okta.
Hierdoor wordt centraal beheer de norm: inloggen vereist automatisch de tweefactorauthenticatie (2FA/MFA) van jullie eigen organisatie en rollen binnen WordPress worden direct afgestemd op jullie gebruikersgroepen. Zodra een account centraal wordt uitgeschakeld, vervalt per direct ook de toegang tot het platform.
Volledig eigenaarschap en exit-strategie
Beveiliging betekent ook dat je als organisatie nooit gegijzeld mag worden door je webbouwer. Bij Level Level hanteren we een heldere filosofie: alle code en data blijven 100% eigendom van de opdrachtgever.
Er is geen sprake van vendor lock-in. Omdat we werken volgens open standaarden en schone Git-architectuur, kan een platform op ieder gewenst moment worden overgedragen aan een interne beheerder of een andere partij.
Veiligheid in de praktijk
Standaard een ijzersterk fundament
We doen niet aan ‘optionele’ kwaliteit, dit zijn de vijf pijlers die we in elk platform vastschroeven.
Vragen die IT- en security-officers vaak stellen
-
Is WordPress wel geschikt voor platforms met privacygevoelige gegevens?
Ja. De geschiktheid van een systeem voor privacygevoelige data hangt af van hoe ermee wordt omgegaan. Met onze privacy-by-design aanpak slaan we gevoelige data waar mogelijk alleen tijdelijk in memory op en schonen we persoonsgegevens geautomatiseerd op. Door dit te combineren met versleuteling, strikte rechten en hosting onder Nederlandse wetgeving voldoet een WordPress-platform probleemloos aan de eisen van de AVG en de BIO.
-
Kunnen wij zelf een externe penetratietest (pentest) laten uitvoeren?
Zeker. We moedigen externe audits en pentesten door ethical hackers juist aan. We leveren vooraf de benodigde technische specificaties aan en stemmen de testkaders af. Eventuele kritieke bevindingen op onze maatwerkcode lossen we onder onze kwaliteitsgarantie kosteloos op.
-
Waar staat onze data fysiek opgeslagen en hoe zit het met de Amerikaanse CLOUD Act?
Alle data van onze platforms wordt gehost in streng beveiligde, redundante datacenters in Nederland bij gespecialiseerde Nederlandse partners zoals Tilaa en Bit. Hierdoor valt alle dataverwerking volledig onder Nederlandse en Europese wetgeving. Er is geen sprake van blootstelling aan de Amerikaanse CLOUD Act, zoals wel het geval kan zijn bij Amerikaanse cloudaanbieders. Hebben jullie een eigen datacenter of private cloud? Dan kunnen we het platform ook op jullie eigen infrastructuur inrichten en beheren.
-
Hoe testen jullie of back-ups daadwerkelijk hersteld kunnen worden bij een calamiteit?
Een back-up is pas waardevol als je zeker weet dat het terugzetten werkt. Daarom voeren we meerdere keren per jaar simulaties uit waarin we hypothetische rampscenario’s testen (Disaster Recovery). Daarnaast monitoren we geautomatiseerd of back-ups dagelijks succesvol worden weggeschreven en controleren we continu de integriteit van de opslag.
-
Hoe gaan jullie om met cookies en privacyvriendelijke webstatistieken?
We richten cookie-banners in via compliant partners zoals Cookiebot, zodat cookies uitsluitend worden geplaatst na expliciete toestemming van de bezoeker. Voor statistieken implementeren we desgewenst Matomo als privacyvriendelijk alternatief voor Google Analytics. Hiermee worden bezoekersstatistieken volledig geanonimiseerd en in eigen beheer verwerkt, zonder dat er data wordt gedeeld met commerciële advertentienetwerken.
Een solide beveiligingsfundament voor je platform?
Digitale beveiliging vraagt om getoetste processen en een partner die risico’s aantoonbaar beheerst. Benieuwd hoe jouw platform scoort op de ISO- en BIO-normen?