Je WordPress-website is waarschijnlijk gehackt als je onverwachte omleidingen ziet naar vreemde sites, vreemde beheerders in je dashboard aantreft, of een waarschuwing krijgt van je hostingprovider of Google. Veel hacks zijn bewust onzichtbaar: de aanvaller wil zo lang mogelijk onopgemerkt blijven. In dit artikel beantwoorden we de meest gestelde vragen over gehackte WordPress-sites, van herkenning tot herstel en preventie.
Wat zijn de meest voorkomende signalen van een gehackte WordPress-website?
De meest voorkomende signalen van een gehackte WordPress-website zijn onbekende omleidingen naar verdachte sites, vreemde beheerders in je dashboard, waarschuwingen van je hostingprovider, een plotselinge daling in websiteverkeer en onlogische links die in je footer of paginateksten zijn ingevoegd. Soms is er aan de voorkant helemaal niets te zien, terwijl er achter de schermen van alles mis is.
Hackers doen er alles aan om onzichtbaar te blijven. Een slimme hack herkent wanneer jij als beheerder inlogt en toont de gehackte inhoud alleen aan gewone bezoekers. Daardoor zie je als eigenaar soms niets bijzonders, terwijl jouw bezoekers worden doorgestuurd naar nep-antiviruspagina’s, gokcasino’s of phishingformulieren.
Herken je een van de volgende signalen? Neem ze serieus:
- Omleidingen naar vreemde domeinen: bezoekers belanden op sites met spam, gokken of nep-browserupdates.
- Onbekende beheerders: namen als wpadmin2 of willekeurige lettercombinaties in je gebruikerslijst.
- Inlogproblemen: je kunt niet meer inloggen, terwijl je zeker weet dat je wachtwoord klopt.
- Vreemde links in de footer: spamlinks naar externe sites, vaak in een klein lettertype of dezelfde kleur als de achtergrond.
- E-mail van je hostingprovider: een melding dat je account is geschorst of dat er malware is gevonden.
- Verkeersdaling zonder duidelijke reden: een abrupte daling in organisch verkeer kan erop wijzen dat Google je site heeft gemarkeerd.
- Vreemde Google-zoekresultaten: typ site:jouwdomeinnaam.nl in Google en kijk of er pagina’s verschijnen die je zelf nooit hebt aangemaakt.
Een bijzonder verraderlijk geval is wanneer je server wordt misbruikt om spam-e-mails te versturen. Daar merk je als bezoeker niets van, maar je reputatie en IP-adres worden er wel door beschadigd.
Hoe kun je controleren of je WordPress-website is gehackt?
Je kunt controleren of je WordPress-website is gehackt door een gratis externe scanner zoals Sucuri SiteCheck te gebruiken, je Google Search Console te raadplegen op beveiligingswaarschuwingen en een beveiligingsplugin als Wordfence te draaien die bestanden vergelijkt met de originele versie. Samen geven deze drie stappen een compleet beeld van de situatie.
Begin met de makkelijkste controle: open Google Search Console Deze link opent in een nieuw tabblad en kijk bij “Beveiligingsproblemen”. Als Google malware, gehackte content of social engineering heeft gevonden, staat het daar vermeld. Pagina’s met een probleem krijgen een waarschuwingslabel in de zoekresultaten, wat directe schade oplevert voor je klikratio.
Wil je een snelle externe check zonder iets te installeren? Gebruik Sucuri SiteCheck. Deze gratis tool analyseert je site van buitenaf op malware, blacklist-status en verdachte code. Dat is handig als je twijfelt, maar nog geen toegang hebt tot je dashboard.
Voor een diepgaandere analyse installeer je Wordfence. Deze plugin vergelijkt al je WordPress-bestanden, inclusief plugins en thema’s, met de originele versies van WordPress.org. Afwijkingen worden direct getoond. Let daarbij extra op recent gewijzigde bestanden en controleer handmatig de bestanden wp-config.php en .htaccess op vreemde code. Vraag ook je hostingprovider om toegangslogs als je vermoedt dat er iets mis is op serverniveau.
Waarom worden WordPress-websites zo vaak gehackt?
WordPress-websites worden zo vaak gehackt omdat het platform het populairste CMS ter wereld is en daarmee een aantrekkelijk doelwit vormt voor geautomatiseerde aanvallen. Hackers zoeken niet specifiek naar jouw site, maar scannen het internet continu op bekende kwetsbaarheden in verouderde plugins, thema’s en zwakke wachtwoorden.
Het marktaandeel van WordPress ligt rond de 42 procent van alle websites wereldwijd. Dat betekent dat een kwetsbaarheid in een populaire plugin potentieel miljoenen sites tegelijk treft. Volgens Patchstack-onderzoek Deze link opent in een nieuw tabblad zijn verreweg de meeste WordPress-kwetsbaarheden terug te voeren op plugins en thema’s, niet op WordPress zelf. In 2025 werden er meer dan 11.000 nieuwe kwetsbaarheden ontdekt in het WordPress-ecosysteem.
Daar komt bij dat veel site-eigenaren updates uitstellen. Elke dag dat een bekende kwetsbaarheid niet is gepatcht, is een dag dat geautomatiseerde bots er misbruik van kunnen maken. Zwakke wachtwoorden vergroten het risico verder. En op gedeelde hosting kan een gehackte buursite jouw site besmetten, zelfs als jij alles goed op orde hebt.
Kortom: WordPress is niet inherent onveilig, maar de combinatie van populariteit, een groot plugin-ecosysteem en uitgesteld onderhoud maakt het platform tot een geliefd doelwit.
Wat moet je doen als je WordPress-website is gehackt?
Als je WordPress-website is gehackt, zijn de eerste stappen: zet de site offline, wijzig alle wachtwoorden, maak een back-up van de besmette versie en voer een volledige beveiligingsscan uit. Daarna ruim je de malware op, herstel je de toegangsrechten en installeer je alle openstaande updates. Handel snel, want elke minuut dat de site online blijft, schaadt bezoekers en reputatie.
Doorloop dit stappenplan in volgorde:
- Zet de site offline: activeer de onderhoudsmodus via je hostingpaneel zodat bezoekers niet worden blootgesteld aan malware.
- Wijzig alle wachtwoorden: WordPress-beheerders, FTP/SFTP, het hostingcontrolepaneel, de database en de security keys in wp-config.php.
- Maak een back-up: ook van de besmette versie, opgeslagen buiten de webserver. Als er iets misgaat tijdens het opschonen, kun je terugvallen.
- Scan op malware: gebruik Wordfence of MalCare en let op vreemde code in wp-config.php, .htaccess en themabestanden.
- Verwijder schadelijke inhoud: onbekende scripts, spamlinks, verdachte bestanden en onbekende beheerders.
- Installeer alle updates: WordPress core, plugins en thema’s, direct na het opschonen.
- Dien een beoordelingsverzoek in: via het rapport “Beveiligingsproblemen” in Google Search Console, zodat Google de waarschuwing verwijdert.
Schakel een specialist in als de infectie terugkomt na het opschonen, als er geen bruikbare back-up is van voor de hack, of als er mogelijk persoonsgegevens zijn buitgemaakt. In dat laatste geval speelt ook een meldplicht bij de Autoriteit Persoonsgegevens. De kosten voor professioneel herstel lopen uiteen van een paar honderd euro tot meer dan tweeduizend euro, afhankelijk van de ernst van de besmetting.
Kan een gehackte WordPress-website je Google-ranking schaden?
Ja, een gehackte WordPress-website kan je Google-ranking ernstig schaden. Malafide scripts, geïnjecteerde spamlinks en omleidingen zorgen ervoor dat Google je site markeert als onveilig, wat leidt tot dalende rankings, waarschuwingsschermen in de browser en in het ergste geval een volledige verwijdering uit de zoekresultaten.
De schade treedt snel op. Google Safe Browsing detecteert malware en phishing en toont bezoekers een grote rode waarschuwingspagina voordat ze je site bereiken. Dat brengt je klikratio in één nacht richting nul. Tegelijkertijd injecteren hackers vaak spamlinks die naar hun eigen sites verwijzen, waardoor Google jouw domein associeert met laagwaardige of schadelijke content.
Na het opschonen verdwijnt de schade niet automatisch. Gehackte URL’s die al door Google zijn geïndexeerd, moeten worden aangepakt. Pagina’s zonder legitieme functie geef je een 410-statuscode mee; pagina’s die lijken op echte pagina’s stuur je door met een 301-redirect. Vervolgens dien je via Google Search Console Deze link opent in een nieuw tabblad een beoordelingsverzoek in. Volledig herstel van rankings duurt daarna doorgaans nog één tot vier weken, afhankelijk van de omvang van de besmetting.
Hoe voorkom je dat je WordPress-website opnieuw wordt gehackt?
Je voorkomt dat je WordPress-website opnieuw wordt gehackt door updates consequent bij te houden, sterke unieke wachtwoorden te gebruiken, tweefactorauthenticatie in te schakelen en een betrouwbare beveiligingsplugin met firewall te activeren. WordPress-beveiliging is geen eenmalige actie, maar een doorlopend proces van kleine, beheersbare stappen.
De belangrijkste maatregelen op een rij:
- Updates installeren: houd WordPress core, plugins en thema’s altijd actueel. Elke dag wachten is een dag dat een bekende kwetsbaarheid openstaat.
- Verwijder ongebruikte plugins en thema’s: ook gedeactiveerde plugins blijven kwetsbaar. Minder plugins betekent een kleiner aanvalsoppervlak.
- Sterke wachtwoorden: gebruik minimaal zestien tekens met een combinatie van letters, cijfers en symbolen. Een wachtwoordmanager helpt je dit vol te houden.
- Tweefactorauthenticatie (2FA): activeer dit voor elk account met dashboardtoegang. Zelfs als een wachtwoord uitlekt, blijft de deur op slot.
- Beveiligingsplugin met firewall: tools zoals Wordfence blokkeren verdachte inlogpogingen en scannen op malware.
- Automatische back-ups: dagelijks, met minimaal dertig dagen bewaring, opgeslagen op een andere locatie dan je webserver.
- Betrouwbare hosting: op gedeelde hosting kan een buursite jouw site besmetten. Een schone WordPress-installatie op een slecht beveiligde server wordt opnieuw gehackt.
- HTTPS via SSL: een basisvereiste in 2026, zowel voor beveiliging als voor je positie in Google.
Wil je dit structureel goed regelen zonder er zelf constant mee bezig te zijn? Bij Stuurlui bouwen we WordPress-websites waarbij veilig coderen vanaf dag één in het proces is ingebouwd, van een strenge pluginselectie tot code reviews en pentests. Zo hoef jij je niet elke week zorgen te maken over de veiligheid van je site.
Een gehackte website is herstelbaar, maar preventie is altijd goedkoper en minder stressvol. Begin met de basismaatregelen, houd ze bij en schakel een partner in die meedenkt over de lange termijn.