Documentatie van WP Masquerade

Installatie

1. Maak een back-up van je bestanden, database en serverconfiguratie.
2. Installeer de plugin eerst op een kopie van de site.
3. Ga naar Plugins → Nieuwe plugin → Plugin uploaden, upload de ZIP en activeer. WP Masquerade Pro werkt als enige plugin; staat de gratis versie er al, dan kun je die houden of verwijderen, je instellingen blijven bewaard.
4. Open WP Masquerade (het maskerpictogram in het beheermenu; ‘Masquerade Security’ als je alleen de gratis versie gebruikt) en lees de diagnose. Er wordt niets aangepast zolang de schakelaar ‘Camouflage aan’ niet is ingeschakeld.
5. Kies het profiel en de niveaus, sla op en volg daarna de stappen om het inloggen en de paden te valideren.
6. Controleer de pagina's in een privévenster en met een ingelogd account.

Modi en niveaus

De tab Aan de slag biedt drie modi die alle modules met één klik instellen. Daarna kun je elke instelling verfijnen en opslaan.

Modus	Identiteit	Technische links	Beveiliging	Bestandsadressen	Inlogpagina
Essentieel	2	2	1	Uit	Uit
Aanbevolen	3	3	3	3	2
Maximaal	4	4	4	4	4

Module	Gratis niveaus	Pro-niveaus
Identiteit	1 en 2 (5 profielen of een vrije naam)	3 en 4 (41 profielen, Wappalyzer-kenmerken, dekmantelcommentaar)
Technische links	1 en 2 (RSD, WLW, korte links)	3 en 4 (REST- en oEmbed-verwijzingen)
Beveiliging	1 en 2 (pingbacks, XML-RPC)	3 en 4 (auteurslijst, beperking van inlogpogingen)
Bestandsadressen	Uit	1 tot 4 (alle aliassen, blokkeren van de oude adressen)
Inlogpagina	1 en 2 (eigen adres, wp-login.php en wp-admin verborgen)	3 en 4 (onbekende AJAX-verzoeken beantwoord met 404, beperking van inlogpogingen)

Wat elk niveau precies doet, lees je op de pagina van de betreffende functie: identiteit, technische links, bestandsadressen, eigen inlogpagina, hardening.

Vanaf niveau 1 van de module Identiteit worden generator-tags en HTML-opmerkingen van bekende plugins (Yoast SEO, Rank Math, Site Kit, Elementor, caches...) uit openbare pagina’s verwijderd. Het tabblad Identiteit biedt ook de optie ‘Alle HTML-opmerkingen uit openbare pagina’s verwijderen’, standaard uit, die daarnaast neutrale opmerkingen verwijdert; voorwaardelijke opmerkingen en cachemarkeringen blijven altijd staan. Leeg de caches na de activering. Lijst van plugins.

Aanbevolen configuratiestappen

Voor een eenvoudige contentsite werk je in kleine stappen en controleer je de site na elke stap:

1. Identiteit 2 en Technische links 1; overige modules uit.
2. Controleer de weergave, de feeds en de integraties.
3. Bereid Inlogpagina 1 voor, sluit het nieuwe adres uit van de cache en gebruik daarna ‘De nieuwe inlogpagina testen en inschakelen’. Probeer de formulieren vanuit een privévenster.
4. Zet Inlogpagina op 2 (of 3 met Pro) en test opnieuw.
5. Met Pro: bereid Bestandsadressen 1 voor, installeer de serverregels, verifieer en activeer, en ga pas naar niveau 2 en 3 nadat je elke groep bestanden hebt gecontroleerd.
6. Schakel Beveiliging 1 in; ga alleen naar 2 (of 3 met Pro) als je de geblokkeerde functies niet gebruikt. Stel met Pro de beperking van inlogpogingen af op je gebruikers.
7. Met Pro: controleer de beveiligingsheaders, start een eerste integriteitsscan en stuur jezelf het testrapport van de waarschuwingen.
8. Gebruik het blokkeren van de oude adressen (niveau 4) alleen op sites waarvan de hardcoded URL's en de cache-optimalisaties zijn doorgelicht.

Serverregels en verificatie (Pro)

De bestandsaliassen van WP Masquerade Pro hebben rewrite-regels nodig; de gratis versie niet. De plugin toont het blok dat hoort bij de opgeslagen instellingen; dat moet geïnstalleerd zijn vóór de verificatie. Op Apache, LiteSpeed en o2switch plak je het helemaal bovenaan het .htaccess-bestand in de hoofdmap van het domein, vóór "# BEGIN LSCACHE" en "# BEGIN WordPress". Staat er al een WP Masquerade-blok, vervang dan dat blok, niet het hele bestand.

Met de knop Verifiëren en activeren laat je browser per alias een testbestand downloaden en vergelijkt de SHA-256-hash met het origineel. Een redirect of een vervangende HTML-pagina wordt afgewezen. Mislukt de verificatie, dan blijft het vorige plan actief en zie je de oorzaak. Andere servers worden besproken op de pagina compatibiliteit.

Caches

• Gebruik één primaire paginacache.
• Sluit het nieuwe inlogadres uit van de cache voordat je het test.
• Gebruik na elke wijziging Caches legen (tab Diagnose) en leeg daarna zo nodig de cache van je hostingprovider en je CDN.
• Test eerst met de CSS/JS-optimalisaties uitgeschakeld en zet ze daarna een voor een weer aan.

Bewaking en headers (Pro)

• Beveiligingsheaders (tab Bescherming): X-Frame-Options, Referrer-Policy en Permissions-Policy staan standaard aan. Leeg na elke wijziging de cache en klik op ‘De homepage controleren’. Schakel HSTS alleen in als de hele site blijvend via HTTPS werkt. Details.
• Integriteit van de WordPress-kern (tab Bewaking): dagelijkse scan, of ‘Nu scannen’. Bij afwijkingen installeer je de versie opnieuw via Dashboard → Updates en handel je onbekende PHP-bestanden af. Details.
• E-mailwaarschuwingen (tab Bewaking): vul maximaal 5 ontvangers in en gebruik daarna ‘Het rapport nu verzenden’ om de verzending te testen. Details.
• Bekende kwetsbaarheden (tab Bewaking): dagelijkse controle van plugins, thema’s en WordPress, of ‘Nu controleren’. Pak eerst de items met Kritiek en Hoog aan. Details.
• Activiteit van beheerders (tab Bewaking): wie deed wat en wanneer, met filters, CSV-export en een bewaartermijn van 30 tot 365 dagen. Details.
• Hotlinks (tab Hotlinks): begin met de modus Detecteren, bekijk dan het rapport en sta legitieme sites toe voordat je overschakelt op de modus Beschermen. Klik op Apache en LiteSpeed daarna op ‘Regels testen’; kopieer op Nginx eerst het voorgestelde blok naar de serverconfiguratie. Details.
• Cloudflare (tab Bescherming): laat de modus Automatisch staan; controleer achter Cloudflare of ‘Je adres zoals de site het ziet’ echt het jouwe is. Details.
• De instellingen exporteren of importeren (tab Probleemoplossing): download je instellingen voor een grote wijziging; een import toont een voorbeeld per onderdeel en jij kiest welke onderdelen je importeert. Instellingenprofielen laten sitespecifieke waarden weg. Details.
• AI-crawlers (tab AI-crawlers): begin met een van de Snelle keuzes, schakel het toevoegen van de regels aan robots.txt in en alleen als het nodig is de strikte blokkade; klik daarna op ‘robots.txt openen’ om te controleren. Details.
• Beheer door het bureau (tab Pro-licentie): standaard staat alles uit. Beheert een bureau je site, vink dan alleen aan waarmee je akkoord gaat (beveiligingsoverzicht, instellingenprofielen, white label). Details.

Controles vóór livegang

• Homepage, bericht, zoekfunctie, 404-pagina, RSS-feed, sitemap en mobiele weergave.
• Afbeeldingen, lettertypen, CSS/JS-bestanden, pdf's en media.
• Reacties, formulieren en de integraties die je gebruikt.
• Inloggen, uitloggen, registreren, wachtwoord vergeten en wachtwoord opnieuw instellen.
• Beheer, editor, AJAX, REST API en verlopen sessie.
• Geen nieuwe 404's, geen 500-fouten en geen JavaScript-foutmeldingen in de browser.
• Een hersteltoegang buiten WordPress om (FTP of bestandsbeheer).

Herstel bij problemen

Ik kan niet meer inloggen

Voeg deze regel toe aan wp-config.php (via FTP of het bestandsbeheer van je hostingprovider), vóór de regel "That’s all, stop editing!":

define('CMS_MASQUERADE_DISABLE', true);

Alle PHP-aanpassingen stoppen en wp-login.php werkt weer. Verwijder de regel zodra het probleem is opgelost. Serverregels en pagina's die al in de cache staan, blijven actief: herstel of leeg die apart.

Tweestapsverificatie houdt me buiten (Pro)

Log in met een van je back-upcodes. Een andere beheerder kan tweestapsverificatie ook uitschakelen via je gebruikersprofiel. Als laatste redmiddel:

define('CMP_DISABLE_2FA', true);

Deze regel schakelt tweestapsverificatie voor de hele site uit. Verwijder hem zo snel mogelijk.

Een beveiligingsheader verstoort een functie (Pro)

Vink de betreffende header uit in de tab Bescherming, of, als je niet meer in het beheer kunt:

define('CMP_DISABLE_HEADERS', true);

Deze regel zorgt dat de plugin geen beveiligingsheaders meer verstuurt. Browsers die HSTS al hebben ontvangen, onthouden dat tot het verloopt.

Mijn IP-adres is geblokkeerd (Pro)

In de tab Probleemoplossing geeft de knop ‘Mij deblokkeren’ je huidige IP-adres weer vrij, zowel voor de beperking van inlogpogingen als voor de vallen. Kun je niet meer in het beheer, gebruik dan CMS_MASQUERADE_DISABLE.

Afbeeldingen of stijlen worden niet meer weergegeven

Zet de vorige serverregels terug (de tab Probleemoplossing toont ze) en klik daarna op Verifiëren en het vorige plan herstellen. Leeg vervolgens de caches en controleer in een privévenster.

Terugdraaien en verwijderen

• Alle aliassen verwijderen: kies ‘Geen alias’, sla op, herstel de oorspronkelijke toegang op de server en verifieer en pas daarna het lege plan toe. De plugin weigert dit als de testbestanden niet op hun oorspronkelijke adressen reageren.
• Deactiveren: je voorkeuren blijven bewaard en herkende caches krijgen een verzoek om te legen.
• Verwijder de serverregels van de aliassen voordat je WP Masquerade Pro deactiveert: het herschrijven van de adressen zit in Pro, en zonder Pro vallen de pagina's terug op /wp-content/. Is het blokkeren van de oude adressen actief, dan vraagt de pagina Plugins om een bevestiging.
• Verwijderen: de opties van de plugin en de tabel voor de inlogbeperking worden gewist. Herstel eerst de serverregels: de plugin deactiveren verwijdert geen handmatig toegevoegde regels.