De meeste misbruikte WordPress-lekken zitten in plugins, en tussen de publicatie van een lek en jouw update zit altijd tijd. Patchstack heeft zich op die tussentijd gespecialiseerd: het spoort kwetsbare onderdelen op en blokkeert in de betaalde abonnementen het misbruik ervan met virtuele patches. WP Masquerade grijpt eerder in, door je site moeilijker te herkennen en te inventariseren te maken. Hier lees je hoe Patchstack werkt, wat het duo dekt en hoe je de paar dubbele functies verdeelt.
Transparantie: dit artikel is gepubliceerd door het team van WP Masquerade. Patchstack betaalt ons niet en we gebruiken geen affiliatelinks. De informatie over Patchstack komt van de wordpress.org-pagina, de website, de documentatie en de code van plugin 2.3.7.
Patchstack in detail
Patchstack is in de eerste plaats een kwetsbaarheidsdatabase, gevoed door een community van onderzoekers en door samenwerkingen met ontwikkelaars van plugins. De plugin (meer dan 100.000 actieve installaties, versie 2.3.7 van 28 juli 2026) verbindt je site met die database en met de webapplicatie van Patchstack, waar het grootste deel van de instellingen gebeurt. Je moet een account aanmaken en een API-sleutel in de plugin plakken.
De gratis versie: het eerder weten
- Opsporen van bekende lekken in de core, de plugins en de thema's, door de geïnstalleerde versies met de database te vergelijken; er wordt geen externe scan uitgevoerd.
- Meldingen per e-mail, volgens de uitgever tot 48 uur vóór de publicatie van nieuwe lekken.
- Updates op afstand en, optioneel, automatische update van alleen de kwetsbare plugins.
- PDF-rapporten over de staat van de site, dashboard voor 3 sites.
De FAQ is duidelijk: de gratis versie bevat geen firewall. Ze waarschuwt je, maar blokkeert niets.
Virtuele patches: een specifiek lek blokkeren
Een virtuele patch ("vPatch") is een regel die het misbruik van een bepaald lek, in een bepaalde versie, blokkeert zonder de code van de plugin te wijzigen. Patchstack meldt er meer dan 12.000 en zet op een site alleen de regels in die overeenkomen met de kwetsbare onderdelen die daar echt zijn geïnstalleerd: de andere regels draaien niet, wat valse positieven en belasting beperkt. De regels worden in de site uitgevoerd, bij elke paginalading. Dat is het grote verschil met een algemene firewall, die naar aanvalspatronen zoekt zonder te weten welke plugin is geïnstalleerd; onze vergelijking van firewalls beschrijft die benaderingen.
De betaalde abonnementen voegen ook een hardeningmodule toe die vanuit de applicatie wordt ingesteld, tweestapsverificatie, een communitylijst van kwaadaardige IP-adressen en eigen regels.
| Abonnement | Vermelde prijs | Inhoud |
|---|---|---|
| Gratis | $ 0 | Opsporing en meldingen, updates op afstand, rapporten, 3 sites |
| Bescherming van een site | $ 5 per site per maand, als optie bij het gratis abonnement | Virtuele patches en beschermingsmodules voor die site |
| Developer | $ 69 per maand, jaarlijks gefactureerd ($ 828) | Virtuele patches, eigen regels, geplande rapporten, 3 gebruikers; extra sites $ 12,50 per maand per pakket van 5; eerste maand gratis |
| Enterprise, hostingproviders | Op offerte | Uitgebreide API, serviceniveauovereenkomst |
Waarom Patchstack en WP Masquerade elkaar aanvullen
Een openbaar gemaakt lek in een plugin zet bijna altijd dezelfde keten in gang: bots zoeken WordPress-sites, sporen de sites op die de getroffen plugin gebruiken (bestand readme.txt, adressen /wp-content/plugins/naam-van-de-plugin/) en sturen daarna het verzoek om het lek te misbruiken. Patchstack blokkeert de laatste stap met een virtuele patch. WP Masquerade bemoeilijkt de eerste twee:
- de imitatie van een ander CMS verwijdert de signaturen van WordPress, waardoor gangbare geautomatiseerde detectietools worden misleid, zonder absolute garantie;
- de pluginbestanden (readme, vertalingen) worden op Apache en LiteSpeed onzichtbaar voor scanners, al in de gratis versie;
- met Pro vervangen de aliassen voor bestandsadressen
/wp-content/plugins/in de pagina's, en kunnen de oude adressen worden geblokkeerd; - de botvallen tellen wie toch blijft zoeken, en Pro verbant ze.
Laten we precies zijn: een plugin verbergen dicht het lek niet. Een bot die het verzoek om het lek te misbruiken naar alle adressen stuurt, zonder te controleren wat er is geïnstalleerd, bereikt de kwetsbare code toch. Daar is de virtuele patch onmisbaar, en bijwerken blijft de echte oplossing. Verbergen vermindert het aantal gerichte aanvallen dat jou weet te vinden; de virtuele patch houdt de aanvallen tegen die toch binnenkomen.
De dubbele functies, en één voorzorg
Met de gratis versie van Patchstack is de enige overlap de kwetsbaarheidsmelding, als je WP Masquerade Pro hebt. Met een betaald abonnement overlapt de hardeningmodule van Patchstack met verschillende functies van WP Masquerade. Volgens de code van de plugin staan in die module verschillende opties standaard aan: blokkeren van XML-RPC-authenticatie, blokkeren van de enumeratie van auteurs, verbergen van de versie, beveiligingsheaders en uitschakelen van applicatiewachtwoorden.
| Functie | Inschakelen in Patchstack | Inschakelen in WP Masquerade | Uitschakelen |
|---|---|---|---|
| Virtuele patches | Ja (betaald abonnement) | Niet van toepassing | Niets |
| Meldingen over bekende lekken | Ja (gratis, met aangekondigde voorsprong) | Optioneel Pro: handig om meerdere sites te volgen in de ledenomgeving | Slechts één ontvanger van e-mails om dubbele te vermijden |
| Inlogadres | Nee (optie om te hernoemen standaard uit) | Ja gratis | Het hernoemen van Patchstack niet inschakelen |
| XML-RPC en pingbacks | Nee | Ja: "XML-RPC blokkeren" geeft een 404 en schakelt pingbacks uit | XML-RPC-optie van Patchstack, die alleen de authenticatie blokkeert |
| Enumeratie van auteurs | Nee | Ja Pro: dekt ook de auteurssitemap en oEmbed | Optie van Patchstack (die stuurt door voordat de vallen van WP Masquerade de bot tellen) |
| WordPress-versie | Nee | Ja: imitatie | Versie verbergen van Patchstack: die verwijdert ook de geïmiteerde generator uit de RSS- en Atom-feeds |
| Beveiligingsheaders | Naar keuze | Naar keuze Pro | Die van de andere; zie de opmerking over HSTS |
| Beperking van inlogpogingen | Nee (blokkeren per IP-adres standaard uit) | Ja Pro | Brute-forceblokkering van Patchstack |
| Tweestapsverificatie | Als je geen WP Masquerade Pro hebt | Ja als je Pro hebt | Die je niet gebruikt |
| Echt IP-adres achter Cloudflare | Ja: IP-header van de firewall | Ja: ondersteuning voor Cloudflare Pro | Niets: beide moeten worden ingesteld |
De opmerking over HSTS: volgens de code van versie 2.3.7 stuurt de optie voor beveiligingsheaders van Patchstack ook Strict-Transport-Security mee, met een duur van een jaar. Browsers die de header hebben ontvangen, weigeren de site daarna gedurende die periode zonder HTTPS te openen. Draait je site, of een van de subdomeinen, niet blijvend op HTTPS, schakel die headers dan uit in Patchstack en gebruik die van WP Masquerade Pro, waar HSTS een optie blijft die je aanvinkt. WP Masquerade overschrijft nooit een header die al door een andere plugin is ingesteld: als beide actief zijn, worden de waarden van Patchstack verstuurd.
Stap voor stap instellen
- Maak een back-up van de site, installeer Patchstack, maak het account aan, voeg de site toe in de applicatie en plak de API-sleutel.
- Handel de eerste lijst met lekken af: eerst updates, daarna verwijderen van ongebruikte plugins.
- Neem je de betaalde bescherming, open dan de hardening in de applicatie en schakel de opties uit die in de kolom "Uitschakelen" staan; stel achter Cloudflare de IP-header in.
- Installeer WP Masquerade, doorloop het tabblad Aan de slag, kies het inlogadres en schakel het in met "De nieuwe inlogpagina testen en inschakelen".
- Schakel met Pro de bestandsaliassen in en controleer daarna in de applicatie van Patchstack of de site verbonden blijft en of de lijst met onderdelen volledig is: de aliassen veranderen de openbare adressen, niet de plaats van de bestanden op de server.
- Test het inloggen, wachtwoord vergeten en de ontvangen headers met de knop "De homepage controleren" van WP Masquerade Pro.
Wat het duo niet dekt
- Malwarescan: noch Patchstack noch WP Masquerade zoekt naar kwaadaardige code in je bestanden of je database. Patchstack zegt het zelf: het wil infectie voorkomen, niet opschonen. De integriteitscontrole van WP Masquerade Pro dekt alleen de core. Kan een site vóór hun installatie zijn geïnfecteerd, laat dan een scanner lopen of volg onze gids om een gehackte WordPress-site op te schonen.
- Onbekende lekken: een virtuele patch veronderstelt een geïdentificeerd lek. Tegen een lek dat nog onbekend is, verkleinen alleen verbergen, minimale rechten en weinig, goed onderhouden plugins het risico.
- Denial of service en het algemeen filteren van verkeer zijn een taak voor de hostingprovider of een firewall vóór de server.
- Reactiespam: zie wat WP Masquerade blokkeert en wat het aan een antispamplugin overlaat.
Verder lezen: ons artikel over het bewaken van kwetsbaarheden in plugins, de pagina kwetsbaarheidsmeldingen van WP Masquerade Pro en de vergelijking van de beste WordPress-beveiligingsplugins.
Om te onthouden
- Gratis Patchstack waarschuwt; alleen de betaalde abonnementen blokkeren, met gerichte virtuele patches.
- WP Masquerade verkleint de kans dat bots je WordPress en de plugins herkennen; Patchstack houdt het misbruik tegen dat toch binnenkomt.
- Laat het inlogadres, XML-RPC, de enumeratie van auteurs en de versietag over aan WP Masquerade; kies één beheerder voor de headers, in de wetenschap dat Patchstack HSTS meestuurt.
- Geen van beide scant op malware, en bijwerken blijft de oplossing.
Bronnen
- WordPress.org: Patchstack, beschrijving, FAQ en actieve installaties (externe link, opent in een nieuw tabblad)
- Broncode van Patchstack 2.3.7 (standaardopties van de hardening, headers) (externe link, opent in een nieuw tabblad)
- WordPress Developer Resources: filter xmlrpc_enabled (externe link, opent in een nieuw tabblad)
- MDN: Strict-Transport-Security (externe link, opent in een nieuw tabblad)
Andere geraadpleegde bronnen: officiële pagina's van de leveranciers.
