Elke managed hoster monitort. Dat hoort erbij, en het werkt: valt een server om, dan gaat er een piepje af en pakt iemand het op.

Alleen zegt monitoring maar één ding, namelijk of iets nog draait. Er is een hele categorie problemen die daar niet onder valt, omdat er niets omvalt. De site is gewoon bereikbaar. Alleen staat die op een PHP-versie die al acht maanden geen beveiligingsupdates meer krijgt.

Het verschil in één zin

Monitoring beantwoordt de vraag draait het nog?. Health-checks beantwoorden de vraag staat het goed ingesteld?.

Dat verschil klinkt klein, maar is het niet:

  • Monitoring vindt een server die niet meer reageert, een schijf die volloopt, een certificaat dat verlopen is, een site die een foutmelding geeft.
  • Health-checks vinden een PHP-versie die geen updates meer krijgt, dat SSH vanaf het hele internet bereikbaar is, een database zonder de indexes die erbij horen, een WooCommerce-shop die nog zonder HPOS draait.

Verder dan monitoring, elke 24 uur

Daarom bouwden we health-checks in Core: voorbij standaard-monitoring.

Op Core worden de instellingen van jullie projecten en servers elke 24 uur ge-health-checkt, in drie categorieën:

  • Hosting security. De laag onder jullie code: staat SSH beperkt tot bekende IP-netwerken, staan automatische OS-upgrades aan, zijn de databases encrypted?
  • Application security. De applicatie zelf: verouderde PHP-versies, verouderde CMS-versies, ontbrekende beveiligingsinstellingen.
  • Performance. Instellingen die de snelheid bepalen: de InnoDB-buffer, gefragmenteerde tabellen, ontbrekende WordPress-indexes, ondersteuning voor QUIC, en of HPOS aanstaat op een WooCommerce-shop.
Zo ziet het eruit in Core: per categorie een tabblad, per bevinding een status en de reden waarom die er staat.

De eerste keer dat je de lijst opent

Bij een omgeving die al jaren draait, staan er bijna altijd een paar bevindingen. Dat is geen slecht nieuws, dat is de achterstand die tot nu toe onzichtbaar was. Een werkwijze die goed bevalt:

  • Begin bij de warnings. Op een verouderde PHP- of CMS-versie moet je echt actie ondernemen: daar komen geen beveiligingsfixes meer voor, ondanks de namespacing in Core.
  • Pak daarna de aanbevelingen die niets kosten. SSH beperken tot bekende netwerken, automatische OS-upgrades aanzetten: dat is een paar kliks, geen heel project.
  • 'Silence' checks die voor deze server niet van toepassing zijn. Zo krijg je geen terugkerende meldingen over bewuste keuzes.

Strict mode: voor SaaS & applicaties met persoonsgegevens

Veiligheidsmaatregelen die voor een brochuresite een aanbeveling zijn, zijn voor een SaaS-applicatie met persoonsgegevens een eis.

Met 'strict' mode worden nog extra controles uitgevoerd op een server: bijvoorbeeld dat je alleen met SSH-keys inloggen op users (dus zonder wachtwoord).

De volledige lijst met checks staat in onze documentatie.