WordPress beveiligen: de 7 maatregelen die er echt toe doen

Waarom juist WordPress het doelwit is

WordPress draait op ruim veertig procent van alle websites wereldwijd, en dat marktaandeel maakt het vanzelf het grootste doelwit: een werkende aanval is meteen op miljoenen sites te proberen. De cijfers over 2025 laten precies zien waar het misgaat. Securitybedrijf Patchstack telde 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem, 42 procent meer dan het jaar ervoor. Daarvan zat 91 procent in plugins en 9 procent in thema's. In de kern van WordPress zelf: welgeteld zes lekken, allemaal met laag risico. De software is dus niet het probleem. Het probleem is alles wat je erop installeert en daarna vergeet bij te werken.

Die aanvallen zijn vrijwel nooit persoonlijk. Bots scannen dag en nacht miljoenen sites af op een specifiek lek in een specifieke plugin, en zodra een lek publiek wordt, volgen de eerste aanvalspogingen vaak binnen een dag. Voor zo'n bot maakt het formaat van je site niets uit: een verouderde formulierenplugin op een kleine bedrijfssite is een even bruikbare ingang als een lek bij een grote webshop. Wil je weten hoe je site er nu voor staat, lees dan is mijn website veilig of doe de gratis website-veiligheidscheck. Dit artikel gaat een stap verder: de zeven maatregelen waarmee je een WordPress-site echt dichtzet, in volgorde van effect.

Maatregel 1: updates, en een beleid dat je volhoudt

Updates zijn de maatregel met verreweg het meeste effect, omdat ze de hoofdoorzaak wegnemen: vrijwel elke gehackte WordPress-site is binnengekomen via een bekend lek waarvoor de update al bestond. Zet automatische updates aan voor de kleine WordPress-versies en werk plugins en thema's wekelijks handmatig bij. Even belangrijk is opruimen: elke plugin is code van een externe partij op jouw server, en ook gedeactiveerd kan hij een lek bevatten. Verwijder wat je niet gebruikt, en wees kritisch bij wat je installeert: kijk of hij recent is bijgewerkt, hoeveel actieve installaties hij heeft en of de maker supportvragen beantwoordt.

Wat losse updates tot beleid maakt, is een vast ritme. Kies een vast moment in de week, maak eerst een back-up, draai alle updates en klik daarna je belangrijkste pagina's na: homepage, contactformulier, afrekenproces. Vervang plugins die meer dan een jaar geen update kregen, want een verlaten plugin krijgt ook geen beveiligingsfix als er een lek opduikt. Heb je premium plugins, houd de licenties actief, want verlopen betekent stilletjes ook geen updates meer. Heb je je site gebouwd via het stappenplan in zelf een WordPress website maken, dan is dit ritme het onderhoud dat erbij hoort.

• Zet automatische updates aan voor kleine WordPress-versies
• Werk plugins en thema's wekelijks bij op een vast moment
• Maak voor elke updateronde eerst een back-up
• Verwijder ongebruikte plugins en thema's, ook gedeactiveerde
• Vervang plugins die langer dan een jaar geen update kregen

Maatregelen 2 en 3: sterke logins en een beschermde inlogpagina

Na verouderde plugins is de inlogpagina de populairste ingang. Elke WordPress-site heeft standaard dezelfde inlogpagina, wp-login.php, en bots proberen daar de hele dag wachtwoorden uit datalekken van andere diensten. De verdediging begint bij de wachtwoorden zelf: uniek per dienst, gegenereerd door een wachtwoordmanager en nergens anders in gebruik. Zet daarnaast tweestapsverificatie aan voor alle beheerders, via een gratis plugin of de security-plugin uit de volgende maatregel. Daarmee is een gelekt wachtwoord alleen niet meer genoeg om binnen te komen. Hernoem tot slot het account admin als dat nog bestaat, want dat is de gebruikersnaam die bots als eerste proberen.

Bescherm daarna de inlogpagina zelf tegen brute force, het geautomatiseerd proberen van duizenden wachtwoorden. Beperk het aantal inlogpogingen, bijvoorbeeld vijf pogingen en daarna een kwartier blokkade, iets wat elke security-plugin gratis kan. Schakel ook xmlrpc.php uit als je het niet gebruikt; via die verouderde koppeling kunnen bots honderden wachtwoorden per verzoek testen, buiten je loginlimiet om. Een andere inlog-URL instellen kan ook, maar zie dat als ruisonderdrukking, niet als beveiliging: het houdt domme bots buiten, gerichte aanvallen niet. De combinatie van unieke wachtwoorden, tweestapsverificatie en een loginlimiet stopt in de praktijk vrijwel elke geautomatiseerde inbraakpoging.

Maatregelen 4 en 5: een security-plugin en back-ups buiten je hosting

Een security-plugin bundelt de bescherming hierboven en voegt er twee dingen aan toe: een malwarescanner die je bestanden vergelijkt met de originele versies, en een firewall die bekende aanvalspatronen blokkeert voordat ze je site raken. Eén goede plugin is genoeg, twee tegelijk zitten elkaar in de weg. Wordfence is de bekendste: de gratis versie scant en blokkeert prima, maar ontvangt nieuwe firewallregels 30 dagen later dan de betaalde versie van zo'n 140 euro per jaar. Solid Security blinkt uit in inlogbeveiliging en tweestapsverificatie. Sucuri levert naast een gratis plugin een extern firewallplatform, interessant zodra je site omzet draait.

De vijfde maatregel is je vangnet: back-ups die los van je hosting staan. Een back-up op dezelfde server verdwijnt mee bij een hack of servercrash, dus je wilt dagelijks een automatische kopie naar externe opslag zoals Google Drive. Houd minstens twee weken aan herstelpunten aan: een besmetting valt zelden meteen op, en je moet terug kunnen naar een kopie van voor het moment dat het misging. Goede hosting regelt dit voor je; waar je op let staat in beste WordPress hosting. Regel je het zelf, dan is UpdraftPlus de standaard, gratis voor dagelijkse back-ups naar je eigen cloudopslag.

Maatregelen 6 en 7: minimale rechten en wat een specialist toevoegt

De zesde maatregel kost niets en wordt het vaakst overgeslagen: geef elk account precies de rechten die het werk vraagt. Iemand die alleen blogartikelen plaatst, hoort de rol redacteur te hebben, geen beheerder, want elk beheerdersaccount dat lekt geeft een aanvaller de hele site. Loop je gebruikerslijst na en gooi de inlogs weg van vertrokken collega's en van bureaus waarmee de samenwerking is gestopt. Zet daarnaast de bestandsbewerker in het dashboard uit met één regel in wp-config.php, DISALLOW_FILE_EDIT, zodat een gekaapt account niet meteen code kan aanpassen. Kleine ingrepen, maar samen bepalen ze hoeveel schade één gestolen wachtwoord kan aanrichten.

Boven deze zes maatregelen zit het niveau waarop een specialist het verschil maakt. Een firewall op serverniveau, zoals Cloudflare, filtert aanvallen weg voordat ze WordPress bereiken. Monitoring waarschuwt binnen minuten bij malware, een verdachte bestandswijziging of downtime, in plaats van dat een klant je erop wijst. En een stagingomgeving zorgt dat updates eerst op een kopie van je site draaien, zodat een mislukte update nooit je livesite raakt. Wil je dit geregeld hebben zonder er zelf naar om te kijken, dan neemt een WordPress specialist het uit handen; bij Volstoom zit dit in onderhoud vanaf 59 euro per maand.