Van Der Linde Media

Op enkele servers van mij beheer ik verschillende wordpress websites voor klanten. Sommige draaien een webshop, sommige draaien een generieke informatie website, sommige een kleinschalige zoals een erotische website. Wat me altijd opvalt is dat wordpress veel meer resources nodig heeft dan een gebruikelijke website om puur een pagina te openen. Resources zijn dingen zoals CPU, geheugen gebruik en hoeveel tijd het nodig heeft. Mijn streven per server is maximaal 2% load.

Toch komt het voor dat wordpress vaak aangevallen wordt. Met zo'n aanval wordt systematisch gezocht naar exploits, lekken of andere gaten om de beveiliging o.a mee te doorbreken. In de regel als je een website goed beveiligd met sterke wachtwoorden, 2FA en dergelijk je weinig zorgen hoeft te maken. Maar als je oude plugins hebt, of out of data javascript libraries die bekend staan om lekken, dan is het soms dweilen met de kraan open. Recent hadden we ook ontdekt dat je een server vol kunt laten lopen door 404's te genereren.

Een 404 is eigenlijk een antwoord van een server dat hetgeen wat je opvraagt niet bestaat. Een normale webite heeft hiervoor een dedicated 404 pagina in waarin doorverwezen kan worden naar de index van een website bijv. Echter bij wordpress zit er zo'n gigantische overhead, dat eerst via PHP opgevraagd wordt naar de database of iets bestaat, vervolgens antwoord met nee dit bestaat niet, en dan een standaard 404 pagina naar voren tovert wat soms tot wel 2 seconden kan duren.

Wat is nu 2 seconden? Weinig inderdaad. Echter op veel websites van mij zal je zien dat de responstijd nihil is wanneer je een 404 pagina voorgeschoteld krijgt. Bij wordpress is het probleem dat wanneer bots zoeken naar lekken, en dat kan echt met honderden tegelijk gaan, de load aardig omhoog kan schieten. Wordpress is constant bezig om queries van en naar PHP/database te maken en dat vergt CPU power en geheugen gebruik. 1 website op 1 server, kan prima, tientallen wordt een probleem.

Dan heb je ook de sitebuilders, zoals Avada, Fusion, Divi, noem maar op. Harstikke fantastisch dat je je website in en uit kunt slepen, maar als je een debug log eens bekijkt van wordpress met hoeveel geheugengebruik het nodig heeft om alleen de frontpage te kunnen bewerken, schrik je je rot. Ik ben persoonlijk geen voorstander van het gebruik van wordpress voor grote websites. Dit gaat prestatieproblemen leveren en zeker als je flinke javascript libraries naar je gebruikers moet sturen. Enorm veel overhead dus.

Wordpress was initieel ook niet bedoeld als website platform. Het was oorspronkelijk als blog systeem opgezet waar een complete community zich omheen ging wenden. Reeds 40% van het internet is beslagen met wordpress websites. Harstikke leuk, maar als je miljoenen websites met potentieel een lek hebt dan is het struinen naar lekke websites natuurlijk lonend. Je kunt vanalles met zo'n website doen. Spammen, backlinks plaatsen, defacen (het offline halen van de website) noem maar op.

De schade bij webshops en andere websites kan enorm zijn. Uiteindelijk draai je wel je hele klantenbestand mee in de backend. Of mischien heb je een enorme userbase opgebouwd dat kan worden misbruikt bij phishing campagne's. Hoe dan ook is het belangrijk dat je niet alleen beveiligd maar ook optimaliseert. PHP 7.4, Opcache en een minimaal aantal plugins en builders is een goede start. Maar linksom rechtsom is het euvel gewoon wordpress zelf. Dat is en blijft loch, kent vele beveiligingslekken, spam en moet vaak worden bijgewerkt.

Het resultaat is dat bij belangrijke websites vaak constant backups moeten worden gemaakt, alles moet worden gevalideerd zodra het updaten gelukt is, en als iets niet klopt in diepte er weer in duiken waarom het niet werkt. Dit maakt wordpress in de breedste zin ook zo tijdrovend. Natuurlijk zijn er tientallen manieren om dit te ondervangen, maar ideaal is anders en vergt veel werk. Zoek je ook hulp bij optimalisatie wordpress? Neem dan contact met mij op.