Een DDoS aanval probeert een website, server of online dienst onbereikbaar te maken door deze met grote hoeveelheden verkeer of verzoeken te overbelasten. Echte bezoekers kunnen de website daardoor niet meer openen of krijgen te maken met lange laadtijden en foutmeldingen.
DDoS staat voor Distributed Denial of Service. Distributed betekent dat het verkeer niet vanaf één apparaat komt, maar vanaf veel verschillende computers, servers of slimme apparaten tegelijk. Deze apparaten zijn vaak zonder medeweten van de eigenaar onderdeel geworden van een botnet.
Je kunt een DDoS aanval niet altijd volledig voorkomen. Je kunt de website en server wel zo inrichten dat schadelijk verkeer eerder wordt herkend, gefilterd en opgevangen. Vooral bescherming buiten WordPress zelf is hierbij belangrijk.
Wat is een DDoS aanval?
Bij een DDoS aanval stuurt een aanvaller grote hoeveelheden verkeer naar een website, server, DNS-dienst of netwerk. Het doel is niet altijd om in te breken of bestanden te stelen. De aanval is vooral bedoeld om beschikbare capaciteit op te gebruiken, zodat normale bezoekers geen toegang meer krijgen.
De server kan bijvoorbeeld onvoldoende bandbreedte, geheugen, processorkracht of beschikbare verbindingen overhouden. Bij een aanval op applicatieniveau kan juist één zwaar onderdeel van de website steeds opnieuw worden opgevraagd, waardoor PHP, WordPress of de database overbelast raakt.
Een DDoS aanval kan een kleine bedrijfswebsite treffen, maar ook webshops, overheden, banken en grote online platforms. De omvang van het bedrijf bepaalt niet of een aanval mogelijk is. De aanwezige bescherming en de capaciteit om verkeer te filteren bepalen vooral hoeveel schade ontstaat.
Hoe werkt een DDoS aanval?
De aanvaller gebruikt meestal een netwerk van besmette apparaten. Zo’n netwerk wordt een botnet genoemd. Het kan bestaan uit computers, servers, routers, beveiligingscamera’s en andere apparaten die met internet verbonden zijn.
De aanvaller geeft deze apparaten tegelijkertijd de opdracht om verkeer naar hetzelfde doel te sturen. Omdat de verzoeken vanaf veel verschillende IP-adressen komen, is het moeilijker om ze met één eenvoudige blokkade tegen te houden.
Niet iedere aanval probeert zoveel mogelijk bandbreedte te gebruiken. Sommige aanvallen sturen relatief weinig verkeer, maar kiezen verzoeken die veel werk veroorzaken. Een WordPress-pagina die niet goed wordt gecachet en bij ieder bezoek meerdere databasevragen uitvoert, kan bijvoorbeeld sneller overbelast raken dan een eenvoudige statische pagina.
Wat is het verschil tussen een DoS en DDoS aanval?
Bij een DoS aanval komt het schadelijke verkeer meestal vanaf één systeem of een beperkt aantal bronnen. Zo’n bron kan soms relatief snel worden herkend en geblokkeerd.
Bij een DDoS aanval wordt het verkeer verdeeld over veel apparaten en locaties. Het blokkeren van één IP-adres heeft dan weinig effect, omdat andere apparaten doorgaan met het versturen van verzoeken.
Het doel is bij beide aanvallen vergelijkbaar: een systeem vertragen of onbereikbaar maken. Het verspreide karakter maakt een DDoS aanval meestal moeilijker te herkennen en te stoppen.
Welke soorten DDoS aanvallen bestaan er?
DDoS aanvallen kunnen verschillende onderdelen van een website en infrastructuur raken. Het type aanval bepaalt welke bescherming nodig is.
Volumetrische aanvallen
Een volumetrische aanval probeert zoveel mogelijk netwerkcapaciteit te gebruiken. Grote hoeveelheden data worden naar het doel gestuurd, waardoor de beschikbare bandbreedte vol raakt.
Zelfs wanneer de webserver voldoende processorkracht heeft, kunnen normale bezoekers de website niet bereiken als de netwerkverbinding verzadigd is. Dit type aanval moet daarom meestal door de hostingprovider, internetprovider of een extern beschermingsnetwerk worden afgehandeld.
Protocolaanvallen
Een protocolaanval richt zich op onderdelen die verbindingen tussen apparaten en servers regelen. De aanvaller probeert bijvoorbeeld zoveel mogelijk halfopen verbindingen te maken of netwerkapparatuur met speciaal opgebouwde pakketten te belasten.
Hierdoor kunnen firewalls, load balancers en servers hun beschikbare verbindingen of geheugen opgebruiken. Bescherming op netwerk- en transportniveau is hiervoor belangrijk.
Aanvallen op applicatieniveau
Een aanval op applicatieniveau richt zich op de website of webapplicatie zelf. De aanvaller vraagt bijvoorbeeld voortdurend een zoekfunctie, inlogpagina, winkelwagen, API-route of andere zware pagina op.
Dit verkeer kan op normaal websiteverkeer lijken. Daardoor is het lastiger om echte bezoekers en schadelijke verzoeken van elkaar te onderscheiden. Een Web Application Firewall, rate limiting en goede caching kunnen hierbij helpen.
Hoe herken je een DDoS aanval?
Een trage of onbereikbare website betekent niet automatisch dat er een DDoS aanval plaatsvindt. Een mislukte update, foutieve plugin, databaseprobleem, beperkte hosting of plotselinge normale bezoekerspiek kan vergelijkbare klachten veroorzaken.
Een aanval wordt waarschijnlijker wanneer de problemen samengaan met een onverwachte toename van verkeer, grote aantallen vergelijkbare verzoeken of opvallende patronen in server- en firewalllogs. Je hostingprovider kan meestal beter zien of ook het netwerk en andere diensten worden belast.
Andere signalen zijn veel verkeer naar één specifieke URL, een sterke stijging van requests per seconde, grote aantallen verbindingen vanuit verschillende landen en terugkerende foutcodes zoals 502, 503 of 504 tijdens de piek.
Beveiligingsplugins kunnen verdachte activiteit binnen WordPress tonen, maar zij geven geen volledig beeld van een aanval op het netwerk. Controleer daarom ook de statistieken van je hostingprovider, firewall, CDN en server.
Wat is het verschil tussen DDoS, brute force en kwaadaardige bots?
Een DDoS aanval is gericht op beschikbaarheid. De aanvaller probeert de website of server te overbelasten, zodat normale gebruikers geen toegang meer krijgen.
Bij een brute-force-aanval probeert iemand juist toegang te krijgen tot een account door veel gebruikersnamen en wachtwoorden uit te proberen. Dit kan eveneens veel verzoeken veroorzaken, maar het primaire doel is inloggen en niet alleen de website offline halen.
Kwaadaardige bots kunnen verschillende doelen hebben. Zij kunnen content kopiëren, spam plaatsen, kwetsbaarheden zoeken, formulieren misbruiken of grote aantallen pagina’s opvragen. Wanneer veel bots gezamenlijk verkeer sturen, kan dit ook bijdragen aan overbelasting.
Wil je verdachte bots herkennen en beperken zonder nuttige zoekmachinebots te blokkeren, lees dan: WordPress-bots blokkeren, zo bescherm je je website beter.
Waarom is WordPress niet de belangrijkste beschermingslaag?
Een DDoS aanval kan al netwerkcapaciteit en serverbronnen gebruiken voordat WordPress volledig wordt geladen. Een plugin die binnen WordPress draait, komt daarom vaak pas in actie nadat het verzoek de server al heeft bereikt.
Een beveiligingsplugin kan wel helpen tegen bepaalde aanvallen op applicatieniveau, verdachte IP-adressen, loginmisbruik en geautomatiseerde verzoeken. De plugin kan echter geen grote aanval op de internetverbinding of het netwerk van de hostingprovider opvangen.
De belangrijkste beschermingslagen horen daarom vóór de WordPress-installatie te staan. Denk aan bescherming van de hostingprovider, een extern CDN, een reverse proxy, een netwerkfirewall en een Web Application Firewall.
Wil je jouw WordPress website ook beschermen tegen andere vormen van misbruik, lekken en ongewenste toegang, lees dan: WordPress beveiliging: 23 tips om je website te beschermen.
Hoe bescherm je WordPress tegen een DDoS aanval?
Goede bescherming bestaat uit meerdere lagen. Geen enkele losse instelling, plugin of dienst biedt volledige zekerheid. De maatregelen moeten elkaar aanvullen.
Gebruik hosting met actieve DDoS-bescherming
Vraag je hostingprovider welke bescherming op het netwerk aanwezig is. Alleen de vermelding dat een pakket veilig of krachtig is, zegt weinig. Vraag of verkeer automatisch wordt gefilterd, welke soorten aanvallen worden herkend en wat er tijdens een aanval gebeurt.
Controleer ook of de provider monitoring, rate limiting, netwerkfirewalls en een duidelijk incidentproces heeft. Bij managed hosting kan de provider sneller ingrijpen, omdat het serverbeheer en de netwerkbescherming op elkaar zijn afgestemd.
Een grotere server kan meer normaal verkeer verwerken, maar vormt op zichzelf geen DDoS-bescherming. Een krachtige VPS of dedicated server kan nog steeds uitvallen wanneer de netwerkverbinding of applicatie wordt overbelast.
Wil je weten wanneer een VPS meer controle biedt en welke verantwoordelijkheid daarbij hoort, lees dan: Wat is VPS hosting en hoe werkt het?
Plaats een reverse proxy of CDN voor de server
Een reverse proxy ontvangt het verkeer voordat het je eigen server bereikt. Verdachte verzoeken kunnen hierdoor buiten je hostingomgeving worden tegengehouden.
Een CDN kan daarnaast statische bestanden vanaf verspreide locaties leveren. Hierdoor hoeft je eigen server minder verzoeken te verwerken en blijft meer capaciteit beschikbaar voor dynamische onderdelen van de website.
De DNS-records van de website moeten hiervoor correct zijn ingesteld. Controleer ook of het echte IP-adres van de origin server niet via oude DNS-records, subdomeinen, e-mailheaders of andere diensten openbaar blijft. Een aanvaller die het origin IP kent, kan proberen de beschermingslaag te omzeilen.
Wil je beter begrijpen hoe een CDN verkeer verdeelt en de origin server ontlast, lees dan: Wat is een CDN en hoe verbetert het prestaties en veiligheid?
Gebruik een Web Application Firewall
Een Web Application Firewall controleert HTTP- en HTTPS-verzoeken voordat deze door de website worden verwerkt. De firewall kan bekende aanvalspatronen herkennen, verdachte landen of IP-adressen beperken en ongebruikelijk verkeer blokkeren.
Een externe WAF is bij DDoS-bescherming meestal sterker dan een pluginfirewall, omdat het verkeer wordt gefilterd voordat het WordPress en de webserver belast. Een pluginfirewall blijft wel nuttig als aanvullende bescherming tegen specifieke WordPress-aanvallen.
Voor extra bescherming binnen WordPress kun je een beveiligingsplugin zoals All-In-One Security (AIOS) gebruiken. AIOS bevat een firewall en functies waarmee je verdachte verzoeken, mislukte inlogpogingen en bepaalde kwaadaardige bots kunt beperken. De plugin kan vooral helpen bij aanvallen op applicatieniveau, maar kan een grote DDoS-aanval op het netwerk of de server niet zelfstandig stoppen. Gebruik AIOS daarom als aanvullende beveiligingslaag naast goede hosting, een externe firewall, rate limiting en DDoS-bescherming.
Stel regels niet onnodig streng in. Een verkeerd ingestelde firewall kan klanten, formulieren, zoekmachines, betaalproviders of externe koppelingen blokkeren.
Meer uitleg over verschillende soorten firewalls vind je in: Wat is een firewall en welke opties heb je?
Stel rate limiting in
Met rate limiting bepaal je hoeveel verzoeken een gebruiker, IP-adres of sessie binnen een bepaalde tijd mag uitvoeren. Dit kan vooral helpen bij loginpagina’s, formulieren, zoekfuncties, API-routes en andere onderdelen die veel servercapaciteit vragen.
De juiste limiet verschilt per website. Een webshop of API heeft andere normale gebruikspatronen dan een eenvoudige bedrijfswebsite. Begin daarom niet met willekeurige lage limieten, maar controleer eerst hoeveel verzoeken echte gebruikers en koppelingen nodig hebben.
Rate limiting is vooral effectief tegen aanvallen op applicatieniveau. Een grote volumetrische aanval moet nog steeds eerder in het netwerk worden tegengehouden.
Gebruik caching waar dat mogelijk is
Caching voorkomt dat WordPress, PHP en de database iedere pagina bij elk bezoek opnieuw moeten opbouwen. Een gecachete pagina kan daardoor met minder serverwerk worden geleverd.
Cache vooral openbare pagina’s die voor iedere bezoeker hetzelfde zijn. Accountpagina’s, winkelwagens, afrekenpagina’s en gepersonaliseerde onderdelen mogen meestal niet volledig worden gecachet.
Caching stopt geen volledige DDoS aanval, maar kan de hoeveelheid werk per verzoek sterk verlagen. Daardoor kan de website beter omgaan met piekverkeer en eenvoudige aanvallen op openbare pagina’s.
Beperk zware en onnodige onderdelen
Verwijder ongebruikte plugins en controleer welke onderdelen veel databasevragen of externe verbindingen veroorzaken. Een zware zoekfunctie, slecht formulier of inefficiënte plugin kan tijdens veel gelijktijdige verzoeken snel problemen geven.
Beveilig loginpagina’s en formulieren met passende limieten, CAPTCHA of andere controles. Blokkeer echter niet zomaar volledige WordPress-functies wanneer plugins, mobiele apps of externe systemen daarvan afhankelijk zijn.
Het volledig uitschakelen van de REST API is geen algemene oplossing voor DDoS. Veel WordPress-functies, editors en plugins gebruiken deze API. Beperk alleen specifieke routes wanneer je weet dat ze niet nodig zijn of wanneer logs laten zien dat juist die routes worden misbruikt.
Controleer XML-RPC voordat je het beperkt
XML-RPC kan worden gebruikt door externe apps, publicatietools en bepaalde diensten. Gebruik je deze functie niet, dan kun je toegang beperken of alleen risicovolle methodes blokkeren.
Het uitschakelen van XML-RPC beschermt de volledige website echter niet tegen DDoS. Een aanvaller kan ook de homepage, loginpagina, zoekfunctie, API of andere URL’s belasten.
Controleer daarom eerst of XML-RPC werkelijk wordt misbruikt en of Jetpack, mobiele apps of andere diensten ervan afhankelijk zijn. Kies daarna een gerichte oplossing via de hostingprovider, firewall of beveiligingsconfiguratie.
Monitor verkeer en serverbelasting
Zonder monitoring is het moeilijk om normaal verkeer van een aanval te onderscheiden. Bewaar daarom toegang tot access logs, firewalllogs, CPU- en geheugengebruik, bandbreedte en foutmeldingen.
Stel waarschuwingen in voor plotselinge stijgingen in verkeer, serverbelasting en foutcodes. Hierdoor kun je sneller reageren voordat de website volledig onbereikbaar wordt.
Bewaar logs lang genoeg om na een incident te onderzoeken welke URL’s, landen, IP-adressen, user agents en protocollen werden gebruikt. Deze informatie helpt om beschermingsregels gerichter aan te passen.
Wat helpt niet voldoende tegen DDoS?
Alleen IP-adressen handmatig blokkeren werkt meestal niet bij een grote DDoS aanval. Het verkeer kan vanaf duizenden wisselende apparaten komen en de server moet de verbinding vaak al verwerken voordat de blokkade wordt toegepast.
Ook uitsluitend een WordPress-beveiligingsplugin installeren is niet voldoende. De plugin kan bepaalde schadelijke verzoeken blokkeren, maar gebruikt zelf eveneens servercapaciteit en kan geen verzadigde netwerkverbinding herstellen.
Meer RAM, CPU of een groter hostingpakket kan tijdelijke ruimte geven, maar lost de oorzaak niet op. Zonder filtering kan een aanvaller eenvoudig meer verkeer sturen of een ander onderdeel van de infrastructuur belasten.
Het uitschakelen van de volledige REST API of willekeurig verwijderen van WordPress-functies kan normale onderdelen van de website beschadigen zonder dat de belangrijkste DDoS-risico’s verdwijnen.
Wat moet je doen tijdens een DDoS aanval?
Tijdens een actieve aanval is snel en gecontroleerd handelen belangrijk. Verander niet tegelijk allerlei WordPress-instellingen zonder te weten welk type verkeer het probleem veroorzaakt.
Neem direct contact op met de hostingprovider
De hostingprovider kan controleren of de aanval de server, netwerkverbinding, DNS of andere infrastructuur raakt. Geef het tijdstip, de getroffen domeinen en waargenomen foutmeldingen door.
Vraag welke tijdelijke maatregelen mogelijk zijn. De provider kan bijvoorbeeld verkeer filteren, routes aanpassen, specifieke patronen blokkeren of gespecialiseerde bescherming inschakelen.
Activeer tijdelijke noodbescherming
Gebruik je een externe beschermingsdienst, dan kun je tijdens een aanval tijdelijk strengere beveiligingscontroles inschakelen. Bij een aanval op applicatieniveau kan een noodmodus extra controles uitvoeren voordat bezoekers toegang krijgen.
Laat zo’n strenge instelling niet onnodig lang actief. Extra controles kunnen de gebruikerservaring, toegankelijkheid, analytics en externe koppelingen beïnvloeden.
Pas gerichte firewallregels toe
Controleer welke URL’s en verzoeken het meeste verkeer veroorzaken. Beperk vervolgens alleen de onderdelen die daadwerkelijk worden misbruikt.
Blokkeer bijvoorbeeld geen compleet land of alle niet-ingelogde bezoekers wanneer dat niet nodig is. Een te brede regel kan meer echte bezoekers tegenhouden dan aanvallers.
Bescherm en controleer het origin IP
Wanneer verkeer normaal via een reverse proxy loopt, hoort de origin server alleen verbindingen van die beschermingsdienst te accepteren. Controleer of directe toegang tot het origin IP mogelijk is.
Is het IP-adres bekend geworden en wordt de server rechtstreeks aangevallen, bespreek dan met de hostingprovider of een wijziging nodig is. Pas daarna DNS-, firewall- en mailinstellingen zorgvuldig aan.
Bewaar gegevens van het incident
Bewaar logs, screenshots, tijdstippen, meldingen van de hostingprovider en wijzigingen die tijdens de aanval zijn uitgevoerd. Deze informatie is nodig om achteraf te bepalen welk type aanval plaatsvond.
Controleer na afloop waarom bepaalde bescherming niet of te laat werkte. Pas daarna permanente regels, monitoring en capaciteit aan.
Kan een DDoS aanval gegevens stelen?
Een DDoS aanval is in de eerste plaats gericht op het verstoren van beschikbaarheid. Het grote aantal verzoeken is bedoeld om de website, server of verbinding te overbelasten.
Dat betekent niet dat je andere risico’s mag negeren. Een DDoS aanval kan worden gebruikt als afleiding terwijl aanvallers op een andere plek proberen binnen te dringen. Controleer daarom ook inlogactiviteiten, bestandswijzigingen, beheerdersaccounts en beveiligingsmeldingen.
Ga niet automatisch uit van een datalek wanneer een website door DDoS offline gaat. Onderzoek wel of naast de overbelasting ook ongeautoriseerde toegang of andere verdachte activiteit heeft plaatsgevonden.
Heeft een DDoS aanval invloed op SEO?
Een korte storing leidt meestal niet direct tot blijvende schade aan posities in Google. Zoekmachines verwachten dat websites soms tijdelijk niet bereikbaar zijn.
Wanneer een website langere tijd of regelmatig offline staat, kan Google pagina’s tijdelijk minder vaak crawlen. Bezoekers kunnen daarnaast afhaken en externe systemen kunnen problemen krijgen met het bereiken van de website.
Gebruik tijdens tijdelijke overbelasting bij voorkeur de juiste serverstatus. Een 503-melding maakt duidelijk dat de dienst tijdelijk niet beschikbaar is. Zorg wel dat de server deze melding nog kan leveren; bij een volledig verzadigde verbinding is dat niet altijd mogelijk.
Na afloop moet je controleren of belangrijke pagina’s bereikbaar zijn, of de sitemap normaal werkt en of Google Search Console nieuwe crawlproblemen toont.
Conclusie
Een DDoS aanval probeert een website, server of online dienst onbereikbaar te maken door beschikbare capaciteit te overbelasten. Het verkeer komt meestal vanaf veel verschillende apparaten en kan het netwerk, verbindingsprotocol of de website zelf raken.
De belangrijkste bescherming hoort vóór WordPress te staan. Goede hosting met DDoS-mitigatie, een reverse proxy, CDN, Web Application Firewall, rate limiting en monitoring verkleinen samen de impact.
WordPress-plugins en instellingen kunnen helpen tegen specifieke verzoeken en bots, maar vormen geen volledige bescherming. Schakel functies zoals REST API of XML-RPC niet willekeurig uit en vertrouw niet alleen op extra servercapaciteit.
Bereid vooraf een incidentplan voor, zodat duidelijk is wie contact opneemt met de hostingprovider, waar logs beschikbaar zijn en welke noodinstellingen veilig kunnen worden geactiveerd.
Veelgestelde vragen
1. Wat is een DDoS aanval precies?
Een DDoS aanval gebruikt veel verschillende apparaten om een website, server of online dienst met verkeer of verzoeken te overbelasten. Normale gebruikers kunnen de dienst daardoor niet meer bereiken.
2. Kan een kleine WordPress website een DDoS aanval krijgen?
Ja. Iedere publiek bereikbare website kan worden aangevallen. Kleine websites hebben soms minder servercapaciteit en kunnen daardoor al bij een kleinere aanval problemen krijgen.
3. Kan een WordPress plugin een DDoS aanval stoppen?
Een plugin kan bepaalde schadelijke verzoeken, bots en IP-adressen blokkeren. Grote aanvallen op het netwerk of de server moeten echter door de hostingprovider of een externe beschermingsdienst worden opgevangen.
4. Helpt Cloudflare tegen een DDoS aanval?
Een externe reverse proxy zoals Cloudflare kan schadelijk verkeer filteren voordat het de eigen server bereikt. Het beschermingsniveau en de beschikbare instellingen hangen af van de configuratie en het gekozen pakket.
5. Moet je XML-RPC uitschakelen tegen DDoS?
Alleen wanneer je XML-RPC niet gebruikt of wanneer blijkt dat deze functie wordt misbruikt. Het uitschakelen ervan beschermt andere pagina’s en netwerkdiensten niet tegen DDoS.
6. Is een VPS of dedicated server beschermd tegen DDoS?
Niet automatisch. Meer servercapaciteit kan normale pieken beter verwerken, maar zonder netwerkfiltering en actieve DDoS-bescherming kan ook een krachtige server onbereikbaar worden.
7. Hoe weet je zeker dat een storing door DDoS komt?
Dat kun je meestal alleen bepalen met server-, netwerk- en firewalllogs. Vergelijk de verkeerspiek, getroffen URL’s, IP-adressen, foutcodes en serverbelasting en laat de hostingprovider het netwerkverkeer controleren.