Hoe controleer je de beveiliging van een WordPress-website?

WordPress drijft meer dan 43% van alle websites wereldwijd aan. Dat maakt het platform populair, maar ook een geliefd doelwit voor geautomatiseerde aanvallen. De meeste website-eigenaren ontdekken een beveiligingsprobleem pas wanneer het te laat is: de site is offline, bezoekers krijgen een malwarewaarschuwing, of erger nog, klantgegevens zijn gelekt.

In deze gids loop je stap voor stap door een volledige beveiligingscheck van je WordPress-website. Na het doorlopen van deze stappen weet je precies waar je kwetsbaar bent en wat je direct kunt verbeteren. Je hebt geen technische achtergrond nodig, maar wel een half uur de tijd en toegang tot je WordPress-dashboard.

Wat je nodig hebt voor een beveiligingscheck

Voordat je begint, is het handig om een aantal zaken bij de hand te hebben. Zo werk je efficiënt door de controles heen zonder halverwege te moeten stoppen.

• Toegang tot je WordPress-dashboard als beheerder (Administrator-rol)
• Toegang tot je hostingpaneel (zoals cPanel, Plesk of een vergelijkbare omgeving)
• FTP-toegang of een bestandsbeheerder voor het controleren van bestandspermissies
• De URL van je website voor externe scantools
• Een notitieblok of checklist om bevindingen bij te houden

Bedenk waarom deze check de moeite waard is. De schade van een gehackte website loopt uiteen van reputatieverlies tot juridische gevolgen onder de AVG. Een beveiligingscheck kost je een uur. Herstel na een hack kost je dagen, soms weken. Dat scheelt je een belletje naar de IT-afdeling achteraf.

Controleer WordPress-versie, plugins en thema’s op updates

Verouderde software is de belangrijkste oorzaak van gehackte WordPress-websites. Beveiligingsupdates dichten bekende lekken. Wie die updates negeert, laat de deur wagenwijd openstaan. Toch draait een aanzienlijk deel van alle WordPress-sites nog op verouderde versies, wat ze onnodig kwetsbaar maakt.

1. Controleer de WordPress-versie: Log in op je dashboard en ga naar Dashboard → Updates. Staat er een update klaar voor de WordPress-kern? Installeer die dan direct. Kleine versie-updates worden automatisch doorgevoerd, maar grote versie-upgrades vereisen handmatige actie.
2. Update alle plugins: Ga naar Plugins → Geïnstalleerde plugins en check welke updates beschikbaar zijn. Plugins zijn de nummer één ingang voor hackers. Let op: vergeet niet ook inactieve plugins te verwijderen. Als je ze niet gebruikt, vormen ze een onnodige risicofactor.
3. Update je actieve thema en verwijder inactieve thema’s: Ga naar Weergave → Thema’s. Update het actieve thema en gooi thema’s die je niet gebruikt weg. Ze kunnen kwetsbaarheden bevatten zonder dat je het merkt.
4. Controleer de PHP-versie: Log in op je hostingpaneel en zoek naar de PHP-versie-instelling. Gebruik bij voorkeur PHP 8 of hoger Deze link opent in een nieuw tabblad. Oudere versies ontvangen geen beveiligingsupdates meer.
5. Doorzoek een kwetsbaarheidsdatabase: Controleer bij twijfel over een specifieke plugin de Wordfence-kwetsbaarhedendatabase op de naam van de plugin. Je ziet dan direct of er bekende lekken zijn en of er al een fix beschikbaar is.

Na deze stap zou je dashboard geen uitroeptekens meer moeten tonen bij updates. Staat alles op groen? Dan is de basis op orde. Zie je dat een plugin al weken geen update heeft ontvangen terwijl er wel een kwetsbaarheid bekend is, overweeg dan een alternatief.

Scan op malware en bekende kwetsbaarheden

Updates zijn de basis, maar ze vertellen je niet of je website al gecompromitteerd is. Een malwarescan kijkt verder dan de oppervlakte en controleert of er kwaadaardige code actief is in je bestanden of database.

1. Voer een externe scan uit: Ga naar Sucuri SiteCheck Deze link opent in een nieuw tabblad en vul de URL van je website in. De tool controleert op bekende malware, verdachte code en zwarte lijsten. Let op: deze scan kijkt alleen naar wat publiek zichtbaar is. Hij detecteert problemen, maar verwijdert niets.
2. Installeer een beveiligingsplugin voor een diepere scan: Tools zoals Wordfence Security of MalCare scannen ook de interne bestanden en de hostingomgeving. MalCare staat bekend om zijn diepgaande scans die de website niet vertragen, met dagelijkse automatische controles op nieuwe bedreigingen.
3. Bekijk de scanresultaten kritisch: Let op meldingen over SQL-injecties, cross-site scripting (XSS) of onbekende bestanden in je WordPress-installatie. Dit zijn aanvalstypes die vaak automatisch worden misbruikt zonder dat de website-eigenaar het merkt.

Na de scan heb je een helder beeld van de actuele status. Zijn er geen meldingen? Goed. Zijn er wel bevindingen? Prioriteer dan eerst het verwijderen van malware en het dichten van de gevonden kwetsbaarheden voordat je verdergaat met de volgende stappen.

Beoordeel gebruikersbeheer en inlogbeveiliging

Een sterke voordeur helpt niet als de sleutel onder de deurmat ligt. Veel aanvallen richten zich op de inlogpagina van WordPress, omdat die standaard voor iedereen toegankelijk is. Met een paar gerichte maatregelen maak je het aanvallers een stuk lastiger.

1. Controleer de gebruikerslijst: Ga naar Gebruikers → Alle gebruikers. Verwijder inactieve accounts en controleer of er gebruikers met de Administrator-rol zijn die dat niet zouden moeten zijn. Beperk het aantal beheerders tot het absolute minimum.
2. Verander de gebruikersnaam “admin”: Gebruik nooit “admin” als gebruikersnaam. Dit is het eerste wat hackers proberen. Maak een nieuw beheerdersaccount aan met een unieke naam en verwijder het oude “admin”-account.
3. Activeer tweefactorauthenticatie (2FA): Installeer een plugin zoals WP 2FA of gebruik de 2FA-functie in Wordfence. Met 2FA wordt een gestolen wachtwoord vrijwel waardeloos, omdat een aanvaller ook de tweede verificatiestap moet doorlopen. Dat blokkeert brute-forceaanvallen, credential stuffing en phishing in één klap.
4. Beperk het aantal inlogpogingen: Gebruik een plugin zoals Limit Login Attempts Reloaded om IP-adressen tijdelijk te blokkeren na drie tot vijf mislukte pogingen.
5. Wijzig de standaard login-URL: De standaard-URL wp-admin of wp-login.php is bij elke hacker bekend. Verander deze naar een unieke URL om geautomatiseerde aanvallen te bemoeilijken.

Controleer na deze stap of je zelf nog gewoon kunt inloggen met 2FA actief. Test dit ook voor andere gebruikers in je team. Werkt alles? Dan is de inlogbeveiliging aanzienlijk versterkt.

Controleer SSL, bestandspermissies en databaseconfiguratie

Deze stap gaat wat dieper in de techniek, maar is cruciaal. Hier controleer je of de infrastructuur rond je website correct is ingesteld. Denk aan het slot op de achterdeur en de kluis in de kelder.

SSL-certificaat

Controleer of je website via HTTPS bereikbaar is. HTTPS versleutelt het verkeer tussen de browser van je bezoeker en de server, waardoor inloggegevens en formulierdata minder eenvoudig kunnen worden onderschept. Kijk in de adresbalk van je browser: zie je een slotje? Dan is SSL actief. Controleer ook of HTTPS op de hele website wordt geforceerd, inclusief het admin-paneel. Los eventuele mixed-contentmeldingen op, want die kunnen het slotje laten verdwijnen.

Bestandspermissies

Log in via FTP of je hostingpaneel en controleer de bestandspermissies van je WordPress-installatie. De aanbevolen instelling is: mappen op 755 en bestanden op 644. Staat een map op 777? Dan is die volledig open en vormt dat een beveiligingsrisico. Het bestand wp-config.php verdient extra aandacht: stel de permissies in op 400 of 440, want dit bestand bevat je database-inloggegevens en beveiligingssleutels.

Databaseconfiguratie

Open je wp-config.php en controleer drie zaken:

• Tabelprefix: Staat dit nog op het standaard “wp_”? Overweeg dit te wijzigen naar een unieke prefix om automatische SQL-injectieaanvallen te bemoeilijken.
• Debug-modus: Zorg dat WP_DEBUG op false staat. Anders kunnen foutmeldingen met gevoelige informatie zichtbaar zijn voor bezoekers.
• Bestandseditor uitgeschakeld: Voeg DISALLOW_FILE_EDIT toe aan je configuratie. Dit voorkomt dat een aanvaller via het dashboard direct in je thema- of pluginbestanden kan schrijven.

Na deze stap heb je de technische basis van je website gecontroleerd. Zijn alle permissies correct en is SSL actief op de hele site? Dan is de infrastructuur op orde.

Verifieer back-ups en herstelcapaciteit

Een back-up die je nooit hebt getest, is geen back-up maar een hoopvolle gedachte. Veel website-eigenaren denken beschermd te zijn, terwijl ze nooit hebben gecontroleerd of herstel daadwerkelijk werkt. Deze stap gaat over de zekerheid dat je na een incident snel kunt herstellen.

1. Controleer of automatische back-ups actief zijn: Ga naar je back-upplugin (zoals UpdraftPlus) of hostingomgeving en verifieer dat er regelmatig back-ups worden gemaakt. WordPress heeft geen ingebouwd back-upsysteem, dus dit moet altijd apart zijn ingesteld.
2. Controleer de opslaglocatie: Worden back-ups extern opgeslagen? Denk aan Google Drive, Dropbox of een externe server. Een back-up die op dezelfde server staat als je website, is bij een hack ook verloren. De 3-2-1-regel is hierbij een handig uitgangspunt: drie kopieën, op twee verschillende media, waarvan één off-site.
3. Test het herstelproces: Voer een hersteltest uit op een stagingomgeving. Kun je de website volledig terugzetten vanuit de back-up? Doe dit na grote updates en minimaal één keer per kwartaal.

Na deze stap weet je of je back-upstrategie daadwerkelijk werkt. Is het herstelproces succesvol verlopen op de stagingomgeving? Dan ben je voorbereid op het ergste scenario. Werkt het niet? Los dat dan nu op, niet tijdens een crisis.

Stel een terugkerend controleproces in

Beveiliging is geen project dat je één keer afrondt. Het is onderhoud, net als een auto die je regelmatig naar de garage brengt. De grootste winst zit in een combinatie van updates, sterke wachtwoorden, 2FA, loginbescherming en automatische back-ups, die je structureel bijhoudt.

Stel een maandelijks terugkerend moment in je agenda in. Gebruik daarvoor de volgende checklist:

• WordPress-kern, plugins en thema: zijn alle updates doorgevoerd?
• Back-ups: draaien ze automatisch en worden ze extern opgeslagen?
• Beveiligingsscan: geen meldingen van malware of kwetsbaarheden?
• Gebruikersaccounts: geen onbekende of inactieve accounts?
• SSL-certificaat: nog geldig en correct geconfigureerd?
• PHP-versie: nog actueel en ondersteund?
• Error logs: geen verdachte activiteit of herhaalde foutmeldingen?

Test grote updates altijd eerst op een stagingomgeving Deze link opent in een nieuw tabblad voordat je ze doorvoert op de live website. Zo voorkom je dat bezoekers plots een foutmelding zien of dat een functie onbruikbaar wordt. Documenteer wat je doet, zodat het proces herhaalbaar is, ook als een collega de controle overneemt.

Heb je een website met veel verkeer, betalingen of boekingen? Dan is maandelijks niet genoeg. Overweeg wekelijkse controles of real-time monitoring via een beveiligingsplugin.

Een goed beveiligde WordPress-website vraagt om structureel onderhoud, niet om een eenmalige sprint. Wil je dit liever uit handen geven aan een team dat WordPress op het hoogste niveau beheert? Neem dan contact op met Stuurlui. We denken graag met je mee over een aanpak die past bij jouw website en organisatie.