Gebruikersactiviteit in WordPress volg je met een activity log plugin. Standaard slaat WordPress namelijk niets op van wat gebruikers doen in het dashboard. Door een plugin als WP Activity Log of Stream te installeren, registreer je automatisch wie wat doet, wanneer en vanaf welk IP-adres. Dit artikel beantwoordt de meest gestelde vragen over WordPress-activiteitsregistratie, van toolkeuze tot wettelijke verplichtingen.
Welke tools gebruik je om activiteit in WordPress bij te houden?
De meest gebruikte tool voor gebruikersactiviteit in WordPress is WP Activity Log van Melapress. Deze plugin heeft honderdduizenden actieve installaties en registreert vrijwel elke actie binnen je WordPress-omgeving. Een goed alternatief is de Stream plugin, die elke actie van een ingelogde gebruiker organiseert op gebruiker, rol, context, actie of IP-adres en gratis beschikbaar is.
Naast deze twee zijn er ook lichtere opties. De plugin Activity Log – Monitor User and Agent Changes werkt direct na installatie zonder configuratie en slaat logs op in een eigen databasetabel, zodat de siteprestaties minimaal worden beïnvloed. Wil je een bredere blik, dan kun je serverlogboeken of Google Analytics inzetten, maar die zijn minder geschikt voor WordPress-specifieke gebruikersacties.
Kort samengevat zijn de meest gebruikte opties:
- WP Activity Log voor uitgebreide logging, inclusief premiumfuncties zoals e-mailmeldingen en externe logopslag
- Stream voor een overzichtelijke, filterbare loginterface zonder betaalmuur
- Activity Log – Monitor User and Agent Changes voor een eenvoudige, configuratievrije oplossing
- Serverlogboeken als aanvulling voor technische analyse op serverniveau
Wat wordt er precies geregistreerd in een WordPress activity log?
Een WordPress activity log registreert chronologisch alle acties van gebruikers: wie iets deed, wat er werd gedaan, wanneer en vanaf welk IP-adres. Denk aan inlogpogingen, contentwijzigingen, plugin-installaties en gebruikersbeheer. Bij elke gebeurtenis worden ook metadata opgeslagen zoals de gebruikers-ID, datum en tijd, en de aard van de wijziging.
Typisch registreert een WordPress-activiteitenlog Deze link opent in een nieuw tabblad de volgende categorieën:
- Inlogactiviteit zoals geslaagde en mislukte inlogpogingen
- Contentwijzigingen aan berichten, pagina’s en aangepaste berichttypen
- Plugin- en themabeheer zoals installatie, activering en verwijdering
- WordPress-instellingen die zijn aangepast in het dashboard
- Gebruikersbeheer zoals het aanmaken, bewerken of verwijderen van accounts
- WooCommerce-acties zoals orderverwerking, productwijzigingen en voorraadaanpassingen
Sommige plugins gaan nog verder. Ze registreren ook via welk kanaal een wijziging plaatsvond, of dat nu via het WP Admin-dashboard was, de REST API, WP-CLI of WP-Cron. Dat is handig als je ook geautomatiseerde of API-gestuurde wijzigingen wilt traceren. Zelfs e-mailactiviteit en forumacties in bbPress worden door bepaalde plugins bijgehouden.
Hoe stel je een WordPress audit log correct in?
Na installatie van WP Activity Log start automatisch een configuratiewizard. Daarin kies je tussen een basisinstelling en een uitgebreide modus, en geef je aan hoe gebruikers inloggen. Dat is alles wat je nodig hebt om direct te beginnen. Plugins zoals Activity Log – Monitor User and Agent Changes vereisen zelfs helemaal geen configuratie en werken direct na activering.
Een paar instellingen verdienen wel extra aandacht:
- Retentieperiode bepaal je op basis van je doel. Voor kleine sites volstaan één tot drie maanden. Voor beveiligingsaudits of compliance is zes tot twaalf maanden aan te bevelen.
- Gebeurtenisfilters stel je in om het logboek te verfijnen. Zo schakel je irrelevante acties uit en houd je het overzicht.
- Externe logopslag is beschikbaar in de premiumversie. Daarmee spiegel je logdata naar systemen zoals Slack, AWS CloudWatch of een externe database.
Wil je de instellingen stap voor stap doorlopen? De officiële Getting Started-documentatie van Melapress helpt je op weg zonder dat je technische kennis nodig hebt.
Wat is het verschil tussen een activity log en serverlogboeken?
Een WordPress activity log registreert acties binnen WordPress zelf, zoals wie een pagina aanpaste of een plugin installeerde. Serverlogboeken registreren elk verzoek dat de webserver ontvangt, ongeacht of het van een ingelogde gebruiker komt. Ze opereren op een lager, technischer niveau en zijn onafhankelijk van WordPress.
Serverlogboeken bestaan uit twee primaire bestanden: access.log (alle verzoeken aan de server, inclusief IP-adressen en timestamps) en error.log (serverproblemen en PHP-fouten). Je vindt ze via het controlepaneel van je hostingprovider, zoals cPanel of Plesk. Ze zijn waardevol voor het detecteren van botactiviteit, brute-forceaanvallen en HTTP-fouten.
Kort gezegd geldt: gebruik een activity log voor alles wat gebruikers doen in het dashboard, en gebruik serverlogboeken voor wat er op serverniveau gebeurt. De twee vullen elkaar aan. WordPress heeft ook een ingebouwde debug-log, maar die is bedoeld voor PHP-fouten en moet handmatig worden ingeschakeld via de wp-config.php. Dat is geen vervanging voor een echte activiteitenregistratie.
Wie heeft toegang tot de activiteitenregistratie in WordPress?
Standaard heeft alleen de beheerder met de rol Administrator volledige toegang tot de activity log plugin en alle bijbehorende instellingen. WordPress kent vijf gebruikersrollen: Beheerder, Redacteur, Auteur, Bijdrager en Abonnee. Elke rol heeft een eigen set rechten, maar alleen de Beheerder kan plugins beheren en de logboeken inzien.
In een WordPress multisite-netwerk kan de Super Admin de logboeken van alle subsites bekijken of filteren per specifieke site. Dat is handig als je meerdere websites vanuit één installatie beheert.
Houd bij het toekennen van toegang rekening met deze valkuilen:
- Te veel beheerders met volledige rechten vergroten het risico op onbedoelde of kwaadwillende wijzigingen
- Oude accounts van vertrokken medewerkers die nog actief zijn, vormen een beveiligingsrisico
- Gedeelde inloggegevens maken het onmogelijk om te achterhalen wie een bepaalde actie heeft uitgevoerd
Geef de beheerdersrol alleen aan mensen die je volledig vertrouwt. Zij kunnen namelijk alles aanpassen, inclusief het verwijderen van andere beheerders. De premiumversie van WP Activity Log biedt daarnaast sessiebeheer waarmee je in real time kunt zien wie op dat moment is ingelogd en wat diegene doet.
Hoe gebruik je WordPress-activiteitsdata om beveiligingsproblemen op te sporen?
Door het activiteitenlog regelmatig te controleren, ontdek je verdachte patronen voordat ze uitgroeien tot een echt probleem. Denk aan herhaalde mislukte inlogpogingen, onverwachte plugin-installaties of wijzigingen aan gebruikersrollen. Hackers laten sporen achter in het auditlogboek, en een activity log maakt die sporen zichtbaar.
WP Activity Log gebruikt een ernstclassificatiesysteem waarbij hoog-risicoactiviteiten, zoals het installeren van een plugin, automatisch worden gemarkeerd. Routineacties krijgen een lagere prioriteit. Zo zie je in één oogopslag waar je aandacht nodig is, zonder het hele logboek handmatig door te spitten.
Een activiteitenlog helpt ook bij interne dreigingen. Denk aan een medewerker of ontwikkelaar die stilletjes links of betaalgegevens aanpast. Met een logboek heb je een tijdlijn van alle acties en weet je precies wie wat heeft gedaan. Dat is ook waarom beveiligingsexperts adviseren Deze link opent in een nieuw tabblad om minimaal één keer per kwartaal een beveiligingsaudit uit te voeren en de logboeken te controleren op afwijkende patronen.
In de premiumversie van WP Activity Log ontvang je directe e-mail- of sms-meldingen bij verdacht gedrag. Dat verkort de reactietijd bij een incident aanzienlijk. Dat scheelt je een belletje naar de IT-afdeling midden in de nacht.
Wanneer is het bijhouden van gebruikersactiviteit wettelijk verplicht?
Onder de AVG (Algemene Verordening Gegevensbescherming) zijn organisaties verplicht te kunnen aantonen dat zij voldoen aan de wet. Logging is een belangrijk middel om die verantwoordingsplicht aan te tonen. Houd er rekening mee dat IP-adressen onder omstandigheden als persoonsgegevens kwalificeren en daarmee ook onder de AVG vallen.
Naast de AVG speelt de Nederlandse Cyberbeveiligingswet een rol. Die is gebaseerd op de Europese NIS2-richtlijn en is gefaseerd in werking getreden in 2025. Organisaties in essentiële en belangrijke sectoren moeten kunnen aantonen dat zij digitale incidenten detecteren, registreren en analyseren. Logging is daarin een centrale verplichting. Omdat de exacte inwerkingtreding per sector nog wordt uitgerold, raden we aan de actuele informatie te raadplegen via het NCSC.
Voor overheidsinstellingen gelden aanvullende eisen vanuit de BIO (Baseline Informatiebeveiliging Overheid). Zij moeten hun logging- en monitoringbeleid aantoonbaar hebben ingericht. WP Activity Log ondersteunt compliance met onder andere de AVG en GDPR via ingebouwde functies en SIEM-exports.
Tot slot: als je gebruikersactiviteit bijhoudt, ben je ook verplicht dit te vermelden in je privacyverklaring. Gebruikers moeten weten welke gegevens worden verzameld en waarom. Dat geldt ook voor de IP-adressen die een activity log registreert.
Een goed ingericht activiteitenlogboek is kortom meer dan een technische maatregel. Het is een bewijs van verantwoord beheer, zowel voor jezelf als voor toezichthouders.
Wil je zeker weten dat de beveiliging van jouw WordPress-website op orde is, inclusief de juiste logging, gebruikersrollen en beveiligingsmaatregelen? Neem contact op met Stuurlui. We denken graag met je mee over een aanpak die past bij jouw organisatie en die voldoet aan de geldende wet- en regelgeving.