Je website scannen op malware

Malware op een website is lang niet altijd zichtbaar. Het kan bezoekers ongemerkt doorsturen naar andere websites, spampagina's toevoegen voor zoekmachines, je server gebruiken om spam te versturen of betaalgegevens onderscheppen. Regelmatig scannen helpt om het vroeg te ontdekken. Wat je doet als je website al gehackt is, staat in Website gehackt: eerste stappen.

Twijfel je over de technische staat van je website? Met een onafhankelijk websiteonderzoek brengen we die in kaart.

Signalen van malware

• Bezoekers worden doorgestuurd naar andere websites, soms alleen op mobiel of vanuit Google.
• Vreemde pagina's of zoekresultaten met je domeinnaam (bijvoorbeeld in andere talen).
• Een waarschuwing in de browser of in Google.
• Onbekende beheerders of bestanden.
• Je hostingpartij meldt verdachte activiteit of blokkeert je website.
• Je e-mail komt ineens in de spam terecht.

Externe scanners

Online scanners bekijken je website van buitenaf en controleren op bekende malware, verdachte scripts en vermelding op zwarte lijsten. Voordeel: snel en eenvoudig. Nadeel: ze zien niet wat op de server verborgen zit.

Interne scanners

• Beveiligingsplugins (bij WordPress): controleren bestanden op wijzigingen ten opzichte van de originele versies, zoeken naar bekende malware en verdachte code.
• Serverscanners van je hostingpartij: veel partijen scannen standaard of bieden het als optie.

Zie ook WordPress beveiligen.

Google Search Console

Onder Beveiliging en handmatige acties → Beveiligingsproblemen meldt Google als het malware, misleidende pagina's of gehackte content heeft gevonden. Stel Search Console in en zorg dat meldingen naar een actief adres gaan. Zie Google Search Console instellen.

Regelmatig en automatisch

• Laat een interne scanner dagelijks of wekelijks draaien.
• Stel meldingen in bij nieuwe bevindingen.
• Combineer met een firewall. Zie Een web application firewall (WAF) uitgelegd.

Wat als er iets wordt gevonden?

1. Niet in paniek verwijderen: maak eerst een back-up van de huidige (besmette) situatie voor onderzoek.
2. Beoordeel de bevinding: soms is het een vals alarm.
3. Opschonen of terugzetten: verwijder de malware, of zet een schone back-up terug van vóór de besmetting. Zie Back-up terugzetten.
4. Lek dichten: update alles, verwijder ongebruikte plugins en thema's, wijzig alle wachtwoorden.
5. Controleer opnieuw en vraag bij Google zo nodig een nieuwe beoordeling aan.
6. Persoonsgegevens? Beoordeel of er sprake is van een datalek. Zie Datalek via je website.

Een scanroutine per type website

• WordPress of WooCommerce — Wat je inzet: beveiligingsplugin of scanner van je hosting, plus Search Console; Hoe vaak: automatisch dagelijks, handmatig controleren per maand
• Webflow of Shopify — Wat je inzet: Search Console en een externe scanner; de server zelf beheert het platform; Hoe vaak: maandelijks, en na het toevoegen van scripts of apps
• Maatwerk — Wat je inzet: scanner op de server en controle van bestandswijzigingen; Hoe vaak: automatisch, met meldingen

Op gehoste platforms zit het risico vooral in toegevoegde scripts en apps van derden. Houd bij welke scripts op je website staan en verwijder wat niet meer nodig is.

Voorbeeld

Stel: een WordPress-website van een restaurant stuurt mobiele bezoekers vanuit Google door naar een gokwebsite, terwijl de eigenaar op zijn laptop niets merkt. Een externe scanner vindt niets, maar de beveiligingsplugin vindt gewijzigde kernbestanden en een verborgen script in een verouderde plugin. Na het terugzetten van een schone back-up, het verwijderen van de plugin en het wijzigen van alle wachtwoorden is de website weer schoon.

Na het opruimen van malware helpen beveiligingsheaders herhaling te beperken; zie HTTP-securityheaders instellen.

Veelgestelde vragen

Hoe vaak moet ik scannen?

Automatisch, minstens wekelijks; voor webshops liever dagelijks.

Zijn gratis scanners voldoende?

Ze helpen, maar geven geen garantie. Combineer externe en interne controles.

Kan Webflow of Shopify ook malware krijgen?

Het risico op servermalware is daar kleiner, omdat het platform de servers beheert. Let wel op scripts van derden die je zelf toevoegt.

Moet ik mijn hostingpartij inschakelen?

Bij een besmetting is dat verstandig; zij kunnen vaak helpen of zien meer.

Hoe voorkom ik malware?

Met updates, sterke wachtwoorden en tweestapsverificatie, weinig plugins, een firewall en regelmatige scans.

Hulp nodig?

Wil je dat je website continu wordt bewaakt op beveiligingsproblemen? Bekijk onze dienst security en monitoring.

Een externe scanner ziet alleen wat zichtbaar is voor bezoekers. Gebruik daarnaast altijd een scanner die de bestanden op de server controleert; daar zit malware vaak verstopt.