Het nieuws over het PHP-lek van 21 oktober roept een simpele vraag op: hoe staat mijn eigen site ervoor? Met de gratis check hierboven krijg je in een minuut een eerste antwoord. Op deze pagina lees je wat de check meet, wat hij niet kan zien en wat je daarna doet. Het hele verhaal over het lek zelf staat in mijn blog websites offline door een PHP-lek.
Wat de check ziet.
De check bekijkt je homepage van buitenaf, zoals een bezoeker of Google dat doet. Hij meet onder meer:
- Het certificaat. Heeft je site een geldig slotje, verloopt het binnenkort, en stuurt http:// door naar de beveiligde versie?
- De snelheid. Hoe snel je pagina laadt, en wat Google je site op de telefoon geeft voor snelheid, vindbaarheid en toegankelijkheid. Die meting van Google lukt niet altijd; dan zie je de rest gewoon wel.
- De techniek. Waarmee je site gebouwd is, als je site dat laat zien, zoals WordPress. En of je server openlijk vertelt welke PHP-versie hij draait. Dat laatste helpt aanvallers, en meestal is het makkelijk uit te zetten.
- De basis voor Google en je bezoekers. Een titel en omschrijving, één hoofdkop, afbeeldingen met een omschrijving, een pagina die op de telefoon past en een nummer waarop je met één tik belt of appt.
- Je mail. Of SPF en DMARC voor je domein zijn ingesteld, zodat anderen niet zomaar mail uit jouw naam kunnen versturen.
Uit die metingen komen tot drie punten die het meest opleveren, met uitleg en wat je eraan doet. Alle metingen staan eronder, zodat je zelf kunt meekijken. Waarom het slotje zo belangrijk is, lees je in het slotje in de browser.
Wat de check niet ziet.
Eerlijk is eerlijk: een check van buitenaf heeft grenzen. Hij kijkt naar wat je site laat zien, niet naar wat er op de server gebeurt.
- Of je site gehackt is. Een inbraak zit vaak in bestanden of in de database, of in pagina's waar je homepage niet naar linkt. Dat ziet een check van buitenaf niet.
- Of de PHP-update erop staat. Laat je server zijn versie niet zien, dan weet de check ook niet welke versie er draait. En toont hij wel een versienummer, vraag dan toch je hostingpartij of de update erop staat.
- Je plugins en je back-ups. Welke plugins er draaien, of ze bijgewerkt zijn en waar je back-up staat, weet alleen wie je site beheert.
Een goede uitslag betekent dus niet dat je site veilig is, en een minder goede uitslag niet dat hij gehackt is. Zie de check als een eerste blik, geen keuring.
Een lek is nog geen hack, en een goede uitslag is nog geen garantie.
Draait je site op PHP? Dan doe je dit.
Twijfel je, stel je bouwer of hostingpartij dan één vraag: draait mijn site op PHP, en staat de update van 21 oktober erop? Volgens php.net dichten PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 de twee lekken; voor versies ouder dan 8.2 komt geen update. Staat de update erop, loop dan ook dit na:
- Werk je systeem, je thema en je plugins bij, en verwijder wat je niet gebruikt.
- Zorg voor een back-up die niet op dezelfde server staat als je site.
- Was je site offline, controleer dan of formulieren, je webshop en betalingen weer werken. Let ook op onbekende gebruikers, pagina's die je niet kent of doorverwijzingen naar andere sites.
Zie je iets vreemds, lees dan website gehackt? Zo herken je het.
Kom je er met de uitslag niet uit?
Stuur me je webadres. Ik kijk gratis waar je site op draait en wie hem moet bijwerken, zodat je weet waar je staat.
Vraag het Peter→Waarom mijn sites niet op PHP draaien.
Geen van de websites die ik bouw draait op PHP. De meeste zijn vooraf gebouwde pagina's die vanaf het netwerk van Vercel naar je bezoeker gaan, zonder database waar een bezoeker bij kan en zonder plugins om bij te houden. Heeft een site meer nodig, zoals een webshop of een beheeromgeving, dan draait dat als kleine losse functies, niet als PHP op een eigen server. Onkwetsbaar is geen enkele site, maar er staat een stuk minder open.
Moet je nu van WordPress af? Niet door dit lek: een goed bijgehouden site bij een goede hostingpartij is prima. Ga je je site toch al vernieuwen, dan lees je in WordPress of maatwerk wat het verschil is, en op mijn prijzenpagina wat een nieuwe site kost: een one-page website voor €795 excl. btw, of maatwerk met een vaste prijs vooraf.
Veelgestelde vragen
Nee. De check kijkt van buitenaf naar je homepage: het certificaat, de snelheid, de techniek die je site laat zien en de basis voor Google. Een inbraak zit vaak in bestanden of in de database, en dat kan een check van buitenaf niet zien. Twijfel je, vraag dan je bouwer of hostingpartij om je site na te lopen.
Voor de meting gebruik ik alleen je webadres. Je naam en je e-mail of telefoonnummer gebruik ik alleen om contact met je op te nemen over deze check; ik krijg je aanvraag zelf binnen en kijk er nog even naar. Meer lees je in de privacyverklaring.
Nee. De check is gratis en vrijblijvend. Wil je daarna hulp bij een van de punten, dan hoor je vooraf wat dat kost.