Waarom veilige toegang voor externe webdevelopers cruciaal is
Wanneer je met een externe webdeveloper samenwerkt, moet diegene toegang krijgen tot je website, hostingomgeving en soms ook je domeinnaam en e-mail. Juist op deze punten liggen grote beveiligingsrisico's. Onnodig brede rechten, vergeten accounts en oude inloggegevens zijn een veelvoorkomende oorzaak van datalekken en gehackte sites. Een duidelijke, herhaalbare procedure voor het verlenen en intrekken van toegang voorkomt dat je de controle verliest.
Risico's van ad hoc toegangsbeheer
Veel bedrijven geven een developer één keer alle benodigde wachtwoorden via e-mail of chat en laten het daarbij. Er wordt zelden vastgelegd wie wat heeft gekregen, er wordt geen einddatum afgesproken en er wordt niets ingetrokken wanneer het project stopt. In een eerder artikel over veilige onboarding en offboarding voor websitebeheerders lieten we al zien hoe snel dat mis kan gaan. Hetzelfde geldt voor externe webdevelopers: zonder procedure blijft toegang vaak onnodig lang bestaan.
Toegang verstrekken: zo beperk je rechten tot het minimum
Bij het verlenen van toegang is het principe minimaal noodzakelijke rechten leidend. Geef alleen toegang tot wat echt nodig is voor de opdracht en niet meer. Zo verklein je de impact als inloggegevens misbruikt worden of in verkeerde handen vallen.
Werk met aparte accounts en rollen
Maak voor iedere externe developer een eigen account aan op je hosting, WordPress installatie en eventueel je Git repository. Deel nooit je hoofdbeheeraccount. Gebruik waar mogelijk rollen, zoals een ontwikkelrol in WordPress, en voorkom dat een externe partij direct de eigenaar van een abonnement of domeinnaam wordt. Bij oplossingen zoals managed WordPress hosting kun je vaak per site specifieke rechten instellen, wat het risico verder verlaagt.
Gebruik veilige authenticatie en wachtwoordbeheer
Stel waar mogelijk multifactor authenticatie in, bijvoorbeeld via een authenticator app of een beveiligingssleutel. Verstrek wachtwoorden nooit in platte tekst via e-mail of chat, maar gebruik een veilige wachtwoordmanager of eenmalige geheime link. Bewaar zelf ook een volledig, actueel overzicht van alle uitgegeven accounts, inclusief welke rechten daarbij horen en wie verantwoordelijk is voor beheer.
Toegang intrekken: maak offboarding een vaste stap
Net zo belangrijk als het verlenen van toegang is het op tijd intrekken ervan. Offboarding hoort een standaardonderdeel te zijn van ieder project met een externe webdeveloper, ongeacht of de samenwerking goed of moeizaam is verlopen.
Standaard checklist voor het einde van een project
Plan al bij de start van de opdracht een moment voor overdracht en offboarding in. Op dat moment controleer je of alle code en documentatie is opgeleverd, wijzig je gedeelde wachtwoorden en blokkeer je individuele accounts van de developer. Vergeet hierbij niet de toegang tot je hostingomgeving, domeinbeheer en eventuele monitoring of logging tools. Op PC Patrol helpen we klanten regelmatig om deze stappen te structureren, zodat offboarding net zo vanzelfsprekend wordt als het tekenen van een offerte.
Documenteer wie wanneer toegang heeft gehad
Bewaar centraal wie toegang heeft gekregen, met welke rechten en wanneer die toegang is ingetrokken. Deze logging helpt bij incidentonderzoek wanneer er later toch iets verdachts gebeurt. Bovendien voldoe je hiermee beter aan je verplichtingen rond dataveiligheid en AVG, omdat je kunt aantonen dat toegang doelgericht en tijdelijk was.
Maak van toegangsbeheer een herhaalbaar proces
Door onboarding en offboarding van externe webdevelopers te vangen in een vaste procedure, verlaag je risico's zonder dat het samenwerken lastiger wordt. Integendeel, heldere afspraken over toegang zorgen voor vertrouwen aan beide kanten. Wil je dit combineren met een veilige, goed ingerichte hostingomgeving, dan is het slim om te kijken naar een professionele oplossing zoals managed WordPress hosting, zodat techniek en toegangsbeheer op elkaar aansluiten.
Toegangsbeheer als onderdeel van je totale beveiligingsstrategie
Veilige toegang voor externe webdevelopers staat niet op zichzelf, maar maakt deel uit van je bredere beveiligingsaanpak. Denk daarbij aan sterke back-up procedures, monitoring en bewustwording bij iedereen die aan je website werkt. Op PC Patrol delen we regelmatig praktische stappenplannen en voorbeelden, zodat je dit stap voor stap kunt professionaliseren en minder afhankelijk wordt van losse personen en toevallige afspraken.