{ "title": "Brute-force-aanval", "seo_title": "Brute-force-aanval: definitie en varianten", "h1": "Brute-force-aanval", "description": "Definitie van een brute-force-aanval: automatisch wachtwoorden raden, varianten (woordenboek, gespreid) en doelwitten in WordPress (wp-login.php, XML-RPC).", "lead": "Een brute-force-aanval bestaat uit het automatisch uitproberen van enorm veel wachtwoorden, of combinaties van gebruikersnaam en wachtwoord, tot er een een account opent. Op WordPress voeren bots zulke aanvallen dag en nacht uit op de inlogpagina en op de XML-RPC-interface van de site.", "language": "nl", "locale": "nl-NL", "type": "definition", "url": "https://www.wp-masquerade.com/nl/woordenlijst/brute-force-aanval/", "canonical": "https://www.wp-masquerade.com/nl/woordenlijst/brute-force-aanval/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/brute-force-aanval/index.md", "json": "https://www.wp-masquerade.com/nl/woordenlijst/brute-force-aanval/index.json", "published": "2026-10-28T08:00:00+00:00", "modified": "2026-10-28T20:04:08+00:00", "site": { "name": "WP Masquerade", "url": "https://www.wp-masquerade.com/nl/" }, "translations": [ { "language": "nl", "hreflang": "nl-NL", "title": "Brute-force-aanval", "url": "https://www.wp-masquerade.com/nl/woordenlijst/brute-force-aanval/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/brute-force-aanval/index.md", "json": "https://www.wp-masquerade.com/nl/woordenlijst/brute-force-aanval/index.json" }, { "language": "en", "hreflang": "en-US", "title": "Brute-force attack", "url": "https://www.wp-masquerade.com/glossary/brute-force-attack/", "markdown": "https://www.wp-masquerade.com/glossary/brute-force-attack/index.md", "json": "https://www.wp-masquerade.com/glossary/brute-force-attack/index.json" }, { "language": "fr", "hreflang": "fr-FR", "title": "Attaque par force brute", "url": "https://www.wp-masquerade.com/fr/definitions/force-brute/", "markdown": "https://www.wp-masquerade.com/fr/definitions/force-brute/index.md", "json": "https://www.wp-masquerade.com/fr/definitions/force-brute/index.json" }, { "language": "es", "hreflang": "es-ES", "title": "Ataque de fuerza bruta", "url": "https://www.wp-masquerade.com/es/glosario/ataque-de-fuerza-bruta/", "markdown": "https://www.wp-masquerade.com/es/glosario/ataque-de-fuerza-bruta/index.md", "json": "https://www.wp-masquerade.com/es/glosario/ataque-de-fuerza-bruta/index.json" }, { "language": "de", "hreflang": "de-DE", "title": "Brute-Force-Angriff", "url": "https://www.wp-masquerade.com/de/glossar/brute-force-angriff/", "markdown": "https://www.wp-masquerade.com/de/glossar/brute-force-angriff/index.md", "json": "https://www.wp-masquerade.com/de/glossar/brute-force-angriff/index.json" }, { "language": "it", "hreflang": "it-IT", "title": "Attacco brute force", "url": "https://www.wp-masquerade.com/it/glossario/attacco-brute-force/", "markdown": "https://www.wp-masquerade.com/it/glossario/attacco-brute-force/index.md", "json": "https://www.wp-masquerade.com/it/glossario/attacco-brute-force/index.json" }, { "language": "pt", "hreflang": "pt-BR", "title": "Ataque de força bruta", "url": "https://www.wp-masquerade.com/pt/glossario/ataque-de-forca-bruta/", "markdown": "https://www.wp-masquerade.com/pt/glossario/ataque-de-forca-bruta/index.md", "json": "https://www.wp-masquerade.com/pt/glossario/ataque-de-forca-bruta/index.json" } ], "headings": [ { "level": 1, "text": "Brute-force-aanval" }, { "level": 2, "text": "Hoe een brute-force-aanval werkt" }, { "level": 3, "text": "De varianten" }, { "level": 2, "text": "Hoe je je beschermt" }, { "level": 2, "text": "Voor WordPress" }, { "level": 2, "text": "Veelgemaakte fouten" } ], "body": "Brute force is de eenvoudigste aanval die er bestaat: blijven proberen tot het raak is. MITRE beschrijft hem (CAPEC-112) als een reeks pogingen tegen een geheim van eindige omvang, wat betekent dat hij altijd slaagt als je hem zijn gang laat gaan. Alle verdediging draait er dus om de operatie te lang of te duur te maken om de moeite waard te zijn. Op WordPress begint die achtergrondruis vaak al zodra een site online staat.\n\n## Hoe een brute-force-aanval werkt\n\nEen programma stuurt combinaties van gebruikersnaam en wachtwoord naar het inlogformulier en kijkt naar het antwoord. Op WordPress zijn de gebruikelijke doelwitten `wp-login.php` en `xmlrpc.php`. De gebruikersnaam is vaak vooraf geraden: `admin`, de naam van de site, of een auteursnaam die via [gebruikersenumeratie](https://www.wp-masquerade.com/nl/woordenlijst/gebruikersenumeratie/) is achterhaald.\n\n### De varianten\n\n- **Uitputtend**: alle mogelijke combinaties, alleen realistisch tegen heel korte geheimen.\n- **Met een woordenboek**: lijsten met veelgebruikte wachtwoorden, met varianten (hoofdletter, jaartal, cijfer aan het eind). Dit is de meest voorkomende vorm tegen websites.\n- **Gespreid**: het werk wordt verdeeld over duizenden gekaapte machines (een botnet), die elk maar een paar pogingen doen.\n- **Met gestolen inloggegevens**: er wordt niet meer geraden, maar combinaties uit datalekken worden opnieuw geprobeerd. Dat is [credential stuffing](https://www.wp-masquerade.com/nl/woordenlijst/credential-stuffing/), een directe verwant van brute force.\n\nDe WordPress-documentatie wijst op een effect dat vaak wordt onderschat: ook als ze mislukken, verbruiken deze pogingen middelen en kunnen ze een server vertragen of zelfs overbelasten. Ons artikel over [brute force op WordPress](https://www.wp-masquerade.com/nl/brute-force-aanval-wordpress-uitgelegd/) laat zien hoe je ze in je logbestanden herkent.\n\n![Vergelijking in drie kolommen: zonder beperking probeert een bot duizenden keren en valt een zwak wachtwoord uiteindelijk; met beperking wordt het IP-adres na een paar mislukte pogingen geblokkeerd; een gespreide aanval over duizenden adressen blijft onder de drempel, vandaar de noodzaak van een uniek wachtwoord en tweefactorauthenticatie](https://www.wp-masquerade.com/media/2026/10/force-brute-limitation-nl.webp)\n\n*Het beperken van pogingen stopt losse bots, niet een aanval die over duizenden adressen is verspreid.*\n\n*Video: “How Hackers Steal Passwords: 5 Attack Methods Explained” (IBM Technology, in het Engels)*\n\n## Hoe je je beschermt\n\nDoeltreffende bescherming werkt op meerdere niveaus. Het NIST vraagt in zijn richtlijn SP 800-63B om het aantal opeenvolgende mislukte pogingen op een account te beperken tot hooguit 100, en staat lagere drempels toe. Het vraagt ook om veelgebruikte of al gelekte wachtwoorden te weigeren wanneer ze worden ingesteld.\n\n1. **Lange en unieke wachtwoorden**, gemaakt door een wachtwoordmanager: daarmee wordt het woordenboek nutteloos.\n2. **[Tweefactorauthenticatie](https://www.wp-masquerade.com/nl/woordenlijst/tweefactorauthenticatie/)** voor alle accounts met veel rechten: een gevonden wachtwoord is dan niet meer genoeg.\n3. **Het beperken van inlogpogingen**, op serverniveau of met een plugin. Onze gids over [drempels en blokkeerduur](https://www.wp-masquerade.com/nl/inlogpogingen-beperken-wordpress/) beschrijft de instellingen en de valkuilen (proxy, gedeeld netwerk).\n4. **Minder open deuren**: schakel [XML-RPC](https://www.wp-masquerade.com/nl/woordenlijst/xml-rpc/) uit als je het niet gebruikt, en scherm `wp-login.php` af op IP-adres of met een serverwachtwoord waar dat kan.\n5. **Filteren vooraf**: een [web application firewall](https://www.wp-masquerade.com/nl/woordenlijst/waf/) of een CDN houdt een deel van het verkeer tegen voordat het PHP bereikt, wat de server ontlast.\n\n## Voor WordPress\n\nWordPress heeft zelf geen beperking van inlogpogingen en geen tweefactorauthenticatie: daarvoor heb je een plugin of een serverregel nodig. Vermijd een account met de naam `admin`, geef de rol Beheerder alleen aan mensen die hem echt nodig hebben en bekijk regelmatig de lijst met accounts via `wp user list --role=administrator`. Gebruik voor externe toepassingen liever applicatiewachtwoorden, die je een voor een kunt intrekken, dan het hoofdwachtwoord.\n\nWP Masquerade verplaatst de inlogpagina en blokkeert XML-RPC, al in de gratis versie. De Pro-versie voegt [het beperken van inlogpogingen](https://www.wp-masquerade.com/nl/functies/inlogpogingen-beperken/) toe (3 tot 30 mislukte pogingen, blokkade van 1 tot 60 minuten) met neutrale foutmeldingen. Het is geen netwerkfirewall: tegen een sterk gespreide aanval blijven een uniek wachtwoord en een tweede factor het echte verweer.\n\n## Veelgemaakte fouten\n\n- Alleen vertrouwen op een ander inlogadres: dat vermindert de ruis, maar beschermt geen zwak wachtwoord.\n- Twee plugins naast elkaar gebruiken die dezelfde mislukte pogingen tellen: deblokkeren wordt dan een puzzel.\n- De proxy of het CDN vergeten: zonder herstel van het echte IP-adres delen alle bezoekers dezelfde teller.\n- Periodiek nieuwe wachtwoorden afdwingen: het NIST vraagt juist om dat niet meer te eisen, behalve bij een vermoeden van misbruik.\n\n## Gerelateerde termen\n\n- [Credential stuffing](https://www.wp-masquerade.com/nl/woordenlijst/credential-stuffing/)\n- [Tweefactorauthenticatie (2FA)](https://www.wp-masquerade.com/nl/woordenlijst/tweefactorauthenticatie/)\n- [XML-RPC](https://www.wp-masquerade.com/nl/woordenlijst/xml-rpc/)\n- [Gebruikersenumeratie](https://www.wp-masquerade.com/nl/woordenlijst/gebruikersenumeratie/)\n- [bcrypt](https://www.wp-masquerade.com/nl/woordenlijst/bcrypt/)\n- [WAF (web application firewall)](https://www.wp-masquerade.com/nl/woordenlijst/waf/)\n\n\n## Bronnen\n\n- [OWASP : Brute Force Attack](https://owasp.org/www-community/attacks/Brute_force_attack)\n- [MITRE CAPEC-112 : Brute Force](https://capec.mitre.org/data/definitions/112.html)\n- [WordPress Advanced Administration : Brute Force Attacks](https://developer.wordpress.org/advanced-administration/security/brute-force/)\n- [NIST SP 800-63B : Authentication and Authenticator Management](https://pages.nist.gov/800-63-4/sp800-63b.html)", "definition": "Een brute-force-aanval bestaat uit het automatisch uitproberen van enorm veel wachtwoorden, of combinaties van gebruikersnaam en wachtwoord, tot er een een account opent. Op WordPress voeren bots zulke aanvallen dag en nacht uit op de inlogpagina en op de XML-RPC-interface van de site.", "group": "Webbeveiliging", "aka": [ "brute force", "bruteforce", "woordenboekaanval", "dictionary attack", "wachtwoord raden" ], "related": [ { "title": "Credential stuffing", "url": "https://www.wp-masquerade.com/nl/woordenlijst/credential-stuffing/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/credential-stuffing/index.md" }, { "title": "Tweefactorauthenticatie (2FA)", "url": "https://www.wp-masquerade.com/nl/woordenlijst/tweefactorauthenticatie/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/tweefactorauthenticatie/index.md" }, { "title": "XML-RPC", "url": "https://www.wp-masquerade.com/nl/woordenlijst/xml-rpc/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/xml-rpc/index.md" }, { "title": "Gebruikersenumeratie", "url": "https://www.wp-masquerade.com/nl/woordenlijst/gebruikersenumeratie/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/gebruikersenumeratie/index.md" }, { "title": "bcrypt", "url": "https://www.wp-masquerade.com/nl/woordenlijst/bcrypt/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/bcrypt/index.md" }, { "title": "WAF (web application firewall)", "url": "https://www.wp-masquerade.com/nl/woordenlijst/waf/", "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/waf/index.md" } ], "sources": [ { "title": "OWASP : Brute Force Attack", "url": "https://owasp.org/www-community/attacks/Brute_force_attack" }, { "title": "MITRE CAPEC-112 : Brute Force", "url": "https://capec.mitre.org/data/definitions/112.html" }, { "title": "WordPress Advanced Administration : Brute Force Attacks", "url": "https://developer.wordpress.org/advanced-administration/security/brute-force/" }, { "title": "NIST SP 800-63B : Authentication and Authenticator Management", "url": "https://pages.nist.gov/800-63-4/sp800-63b.html" } ], "format": "application/json" }