Onverwachte mail van je WordPress-site: wachtwoordreset, technisch probleem of een hack?

Krijg je van je eigen WordPress-site een mail met een link om je wachtwoord te resetten, terwijl je niets hebt aangevraagd? Dan verandert er niets zolang je niet op de link klikt: je wachtwoord blijft hetzelfde en de link staat alleen in jouw mailbox. Meestal vult een bot op heel veel sites tegelijk het formulier Je wachtwoord vergeten? in. Je mag de mail laten liggen of verwijderen.

Hieronder lees je wat de mails van je site betekenen (over je wachtwoord, een technisch probleem, updates, nieuwe gebruikers en beveiligingsplugins), wanneer je wel in actie komt en hoe je het wachtwoord van WordPress in Plesk wijzigt als je niet meer kunt inloggen.

Een resetmail die je niet hebt aangevraagd: wat is er gebeurd?

Onder het inlogformulier van elke WordPress-site staat de link Je wachtwoord vergeten?. Iedereen die je gebruikersnaam of e-mailadres kent, kan daar een resetlink aanvragen. WordPress stuurt die link naar het e-mailadres van het account, nooit naar degene die hem aanvroeg. Zo ziet zo'n mail eruit (verzonnen voorbeeld):

Onderwerp: [Jouw website] wachtwoord reset

Iemand heeft een wachtwoordreset aangevraagd voor het volgende account:
Sitenaam: Jouw website
Gebruikersnaam: jouwnaam

Als dit een vergissing was, kun je deze e-mail negeren en zal er niets gebeuren.

Ga naar het volgende adres om je wachtwoord te resetten:
https://jouwdomein.nl/wp-login.php?login=jouwnaam&key=...&action=rp

Dit verzoek voor het resetten van het wachtwoord is afkomstig van het IP-adres 192.0.2.10.

Wat je hierover moet weten:

• Zonder klik verandert er niets. Je huidige wachtwoord blijft werken, precies zoals de mail zegt.
• De link werkt kort. WordPress laat een resetlink standaard na 24 uur verlopen. Vraagt iemand een nieuwe aan, dan werkt de vorige link niet meer, en na gebruik werkt hij ook niet meer.
• Het IP-adres onderaan is het adres waarvandaan de reset is aangevraagd. Ken je dat adres niet, en komt het bijvoorbeeld uit een ander land, dan kwam het verzoek niet van jou of je collega's. Ook dan hoef je niets te doen.
• Je gebruikersnaam is geen geheim. Bots vinden die vaak op je site zelf, bijvoorbeeld via je auteurspagina. Krijg je deze mails regelmatig, zorg dan voor een sterk, uniek wachtwoord en zet tweestapsverificatie aan met een plugin.

Heb je de reset wel zelf aangevraagd? Klik dan binnen 24 uur op de link, kies een nieuw wachtwoord en klik op Wachtwoord opslaan.

Echte resetmail of phishing? Zo zie je het verschil

Oplichters sturen ook mails die op een resetmail lijken, om je wachtwoord te stelen. Met deze punten herken je een echte mail van je site:

Een echte resetmail vraagt dus nooit om je huidige wachtwoord. Twijfel je, klik dan niet op de link, maar ga zelf naar jouwdomein.nl/wp-admin en log in zoals je gewend bent. Meer over het herkennen van phishing lees je in e-mailbeveiliging tegen phishing, spam en misbruik.

Welke mail van je site betekent wat?

WordPress stuurt meldingen over de site naar het Administratie e-mailadres (in WordPress onder Instellingen > Algemeen) en meldingen over een account naar het e-mailadres van dat account. Het onderwerp begint met de naam van je site tussen blokhaken. Staat je site in het Engels, dan krijg je de Engelse onderwerpen die tussen haakjes staan.

"Je site ervaart een technisch probleem": wat doe je?

WordPress houdt in de gaten of een plugin of thema een fatale fout geeft. Gebeurt dat, dan krijg je deze mail met de naam van de plugin of het thema, het adres van de pagina waar het misging en een link naar de herstelmodus. Bezoekers zien op die pagina soms de melding "Er heeft zich een kritieke fout voorgedaan op deze site." Het is een foutmelding van je site, geen teken van een hack.

1. Open je site en de pagina die in de mail staat. Werkt alles, dan ging het op één moment mis, bijvoorbeeld tijdens een update. Kijk in het foutlogboek in Plesk of de fout terugkomt.
2. Werkt een pagina of je dashboard niet, klik dan op de link in de mail en log in. In de herstelmodus zet WordPress de plugin of het thema met de fout alleen voor jou uit, zodat je in je dashboard kunt werken.
3. Ga naar Plugins (of Weergave > Thema's) en werk het onderdeel bij, of zet het uit met Deactiveren.
4. Klik bovenin op Herstelmodus verlaten en open je site opnieuw.

De link in de mail werkt standaard een dag. Komt de fout daarna terug, dan stuurt WordPress een nieuwe mail, hoogstens één per dag. Kom je ook met de link niet in je dashboard, zet de plugin dan uit in Plesk, zoals beschreven in foutlogboek bekijken in Plesk, of laat een back-up terugzetten (zie back-ups bij LJPc hosting).

Mails van Wordfence en Limit Login Attempts Reloaded

Heb je een beveiligingsplugin, dan stuurt die ook mails. Meestal vertellen ze dat de plugin iemand heeft tegengehouden. De onderwerpen hieronder zijn de Nederlandse, met het Engelse onderwerp tussen haakjes.

Limit Login Attempts Reloaded blokkeert een IP-adres standaard 20 minuten na 4 mislukte pogingen, en 24 uur na 4 van die blokkades. Beide plugins mailen naar het adres in hun eigen instellingen; bij Wordfence heet die instelling Waar je waarschuwingen kunt e-mailen (Where to email alerts).

Op onze servers houdt fail2ban daarnaast de inlog van WordPress in de gaten. Na een paar mislukte pogingen blokkeert fail2ban het IP-adres voor alle websites op die server. Hoe dat werkt, lees je in wat is fail2ban.

Je kunt ineens niet meer inloggen in WordPress

Het wachtwoord van WordPress wijzigen in Plesk

Kom je niet meer in WordPress, of komt de resetmail niet aan, dan wijzig je het wachtwoord van een beheerder in Plesk met WP Toolkit. Je oude wachtwoord en je mailbox heb je daarvoor niet nodig.

1. Open Plesk vanuit het klantenportaal. Hoe dat werkt, lees je in Plesk openen vanuit het klantenportaal.
2. Ga naar Websites & Domains en klik in de kaart van je domein op het tabblad WordPress. Zie je daar geen gegevens van WordPress, klik dan in het menu links op WordPress en daarna op Scan, zodat WP Toolkit je site vindt.
3. Klik links in de kaart, onder Log in to WordPress, op Setup naast de knop Log in.
4. Kies bij Administrator de gebruiker; heeft je site één beheerder, dan staat de naam er al. Vul bij New password een nieuw wachtwoord in, of klik op Generate en kopieer het wachtwoord met het knopje ernaast naar je wachtwoordbeheerder. Laat de andere velden staan zoals ze staan en klik op Change.

Log daarna in op jouwdomein.nl/wp-admin met het nieuwe wachtwoord, of klik in dezelfde kaart op Log in. WordPress mailt de gebruiker dat het wachtwoord is gewijzigd. Krijg je zo'n mail terwijl jij niets deed, vraag dan eerst na of een collega of je webbouwer het wachtwoord in Plesk heeft gewijzigd.

Een nieuw wachtwoord logt ook iedereen uit die nog met het oude wachtwoord was ingelogd. Kun je wel in WordPress, dan wijzig je het daar: ga naar Gebruikers > Profiel, klik bij Accountbeheer op Nieuw wachtwoord instellen en daarna onderaan op Profiel updaten.

Was jij het niet? Zo handel je een mogelijke inbraak af

Een resetmail alleen is geen inbraak. Kom wel direct in actie als je een van deze dingen ziet:

• een mail dat je wachtwoord of je e-mailadres is gewijzigd, terwijl jij en je collega's dat niet deden;
• een melding van een beheerderslogin die niet van jou of een collega kwam;
• een beheerder bij Gebruikers die je niet kent;
• je wachtwoord werkt niet meer, terwijl je zeker weet dat het klopte.

1. Wijzig het wachtwoord van je beheerdersaccount in Plesk, zoals hierboven staat. Dat lukt ook als iemand het e-mailadres van je account heeft veranderd.
2. Ga in WordPress naar Gebruikers > Alle gebruikers. Verwijder accounts die je niet kent, of geef ze een lagere rol, en controleer het e-mailadres van je eigen account.
3. Verwijder in je profiel onder Applicatie wachtwoorden alles wat je niet kent. Zo'n wachtwoord blijft werken nadat je je gewone wachtwoord hebt gewijzigd.
4. Kijk bij Instellingen > Algemeen of het Administratie e-mailadres klopt. Laat Iedereen kan registreren uit staan, tenzij bezoekers zelf een account maken, en kies bij Standaard rol voor nieuwe gebruikers nooit Beheerder.
5. Werk WordPress, je plugins en je thema bij en verwijder plugins die je niet gebruikt. Hoe je dat veilig doet, lees je in WordPress updaten.
6. Kijk of er bestanden op je site staan die er niet horen, met de stappen in malwaremelding ontvangen.
7. Wijzig andere wachtwoorden die hetzelfde waren, kijk bij Have I Been Pwned of je e-mailadres in een datalek staat en zet tweestapsverificatie aan.

Wil je dat we meekijken, of wil je een back-up van vóór de inbraak terug? Maak een supportticket aan. Welke back-ups er zijn en hoe terugzetten werkt, lees je in back-ups bij LJPc hosting.

Wat LJPc hosting hierin voor je regelt

• Op onze servers blokkeert fail2ban IP-adressen die wachtwoorden van WordPress proberen te raden (zie wat is fail2ban).
• In Plesk heb je WP Toolkit, waarmee je wachtwoorden wijzigt en WordPress, plugins en thema's bijwerkt.
• Onze nachtelijke malwarescan mailt je als er schadelijke bestanden op je website staan (zie malwaremelding ontvangen).
• Elke nacht maken we een back-up van je website, je databases en je e-mail (zie back-ups bij LJPc hosting).