LCMS-release 2.31: Jouw website is veiliger dan ooit

Inloggen zonder wachtwoord

Wachtwoorden vormen nog steeds de zwakste schakel in online beveiliging. Ze worden hergebruikt, raken betrokken bij datalekken of zijn relatief eenvoudig te raden. Daarom hebben we Passkeys geïntroduceerd als inlogmethode voor het CMS. Met Passkeys log je in met je vingerafdruk, Face ID of de pincode van je apparaat. 

Je gebruikt dus geen wachtwoord meer. Deze methode is gebaseerd op de WebAuthn/FIDO2-standaard, dezelfde technologie die wordt gebruikt door partijen als Google, Apple en Microsoft. Passkeys zijn niet te stelen via datalekken. Daarnaast werken ze ook op andere apparaten. 

Aangepast loginscherm

Het loginscherm is ook aangepast. Je voert eerst je gebruikersnaam in, daarna bepaalt het systeem automatisch welke inlogmethode voor jou geldt. Dat maakt het proces eenvoudiger voor jou en tegelijk veiliger voor iedereen. Heb je naast onze standaard service-overeenkomst ook de security uitbreiding, dan kunnen we deze inlogmethode activeren voor jouw CMS.

Single Sign-On: één login voor alles

Werk je met meerdere LCMS-systemen, bijvoorbeeld als partner van Lined? Dan kan inloggen al snel onoverzichtelijk worden. Daarom hebben we Single Sign-On (SSO) toegevoegd via OAuth 2.0 en OpenID Connect. In de praktijk betekent dit dat jij en eventueel jouw medewerkers maar één keer hoeven in te loggen. Daarna heb je automatisch toegang tot alle gekoppelde omgevingen. 

Geen losse wachtwoorden meer, geen extra inlogmomenten. Partners kunnen hun eigen LCMS2-installatie zelfs als SSO-server gebruiken, waardoor nieuwe medewerkers na één keer inloggen direct als gebruiker beschikbaar zijn. Minder wachtwoorden betekent simpelweg minder risico.

Slimmere firewall blokkeert aanvallen automatisch

We hebben een volledig nieuwe firewall toegevoegd die continu meekijkt en automatisch ingrijpt bij verdacht gedrag.

Die firewall herkent onder andere:

• Brute force-aanvallen, waarbij iemand herhaaldelijk wachtwoorden probeert te raden 
• POST flood-aanvallen, geautomatiseerde aanvallen via formulieren 
• Verdachte verzoekpatronen, gedrag dat vaak wijst op bots of scanners 

Ziet het systeem iets verdachts? Dan wordt het bijbehorende IP-adres automatisch geblokkeerd. Bij herhaalde pogingen wordt de blokkade steeds langer. Alles wordt vastgelegd in het actielogboek, zodat jij altijd kunt zien wat er gebeurt op je website.

Heb je naast onze standaard service-overeenkomst ook de security uitbreiding? Dan kunnen we deze firewall activeren voor jouw website.

Strengere beveiligingsheaders, bescherming vanuit de browser

Niet elke aanval richt zich direct op je server. Soms proberen aanvallers juist via de browser van je bezoeker binnen te komen. Denk aan het injecteren van kwaadaardige scripts of technieken als clickjacking. Dit is een aanval waarbij je denkt dat je op iets klikt, maar in werkelijkheid onbewust een andere (vaak verborgen) actie uitvoert.

Daarom hebben we de beveiligingsheaders van LCMS2 flink aangescherpt:

• Content Security Policy (CSP): bepaalt precies welke bronnen scripts, stijlen en afbeeldingen mogen laden. Alles wat niet is toegestaan, wordt door de browser geblokkeerd. 
• HTTP Strict Transport Security (HSTS): zorgt ervoor dat je website altijd via een beveiligde HTTPS-verbinding wordt bezocht, voor een periode van twee jaar, inclusief preload. 
• X-Frame-Options: voorkomt dat jouw website onzichtbaar in een andere website wordt geladen. 
• Referrer-Policy en Cross-Origin headers: beperken welke informatie wordt meegestuurd naar andere websites. 

Deze instellingen worden automatisch gesynchroniseerd tussen de beheeromgeving en het .htaccess-bestand van jouw website.

SQL-injecties gedicht

Tijdens een technische audit hebben we kwetsbaarheden gevonden in de verwerking van filterparameters. SQL-injectie is een techniek waarbij aanvallers proberen om via invoervelden ongewenste database-opdrachten uit te voeren. Deze kwetsbaarheden zijn volledig opgelost. Daarnaast hebben we de validatie van invoer overal verder aangescherpt, zodat dit soort aanvallen nog minder kans krijgen.

Verantwoord melden van kwetsbaarheden via security.txt

Ontdekt een beveiligingsonderzoeker een kwetsbaarheid op een website die op LCMS2 draait? Dan willen we dat dit op een veilige en nette manier gemeld kan worden. Daarom ondersteunen we nu het gestandaardiseerde security.txt-bestand op /.well-known/security.txt. Dit bestand wordt automatisch door het CMS aangeboden en volgt de internationale RFC 9116-standaard voor responsible disclosure.

Wat betekent dit voor jou?

De belangrijkste verbeteringen zitten standaard in LCMS2 versie 2.31. Krijgt jouw website updates via ons service-abonnement, dan profiteer je automatisch van deze verbeteringen. 

Wil je daarnaast gebruikmaken van extra beveiligingsopties zoals Passkeys, SSO of de firewall? Neem dan contact met ons op. We kijken graag wat er mogelijk is in jouw situatie.