Wat zijn de beste beveiligingsmaatregelen voor WordPress?

De beste beveiligingsmaatregelen voor WordPress zijn een combinatie van regelmatige updates, sterke wachtwoorden met tweestapsverificatie, een betrouwbare beveiligingsplugin of Web Application Firewall, en externe back-ups. Geen enkele maatregel werkt waterdicht op zichzelf. Beveiliging werkt in lagen: server, transport en WordPress zelf moeten alle drie op orde zijn. In dit artikel beantwoorden we de meest gestelde vragen over WordPress-beveiliging, van aanvalsrisico’s tot herstelstappen na een hack.

Hoe vaak worden WordPress-websites gehackt?

WordPress-websites worden dagelijks op grote schaal aangevallen. Schattingen lopen op tot zo’n 13.000 gehackte sites per dag wereldwijd. Dat klinkt abstract, maar de oorzaak is concreet: WordPress heeft een marktaandeel van meer dan 43%, wat het platform tot een aantrekkelijk doelwit voor geautomatiseerde aanvallen maakt. Hoe groter het platform, hoe interessanter het is om aanvalssoftware erop te richten.

De meeste hacks ontstaan niet doordat WordPress zelf onveilig is. De WordPress-kern had in 2024 slechts een handvol beveiligingslekken. Het probleem zit in de randapparatuur: verouderde plugins, zwakke wachtwoorden en onveilige hostingomgevingen. Ruim 60% van de gehackte sites miste op het moment van de aanval de nodige updates. Dat is geen technisch falen, dat is uitstelgedrag.

De gevolgen zijn niet alleen technisch. Een gehackte website kan door Google als onveilig worden gemarkeerd, wat direct bezoekersverlies en reputatieschade oplevert. Bovendien ontvangt de Autoriteit Persoonsgegevens Deze link opent in een nieuw tabblad veel meldingen van datalekken als gevolg van gehackte WordPress-sites. Herstel kost al snel honderden tot duizenden euro’s, los van de omzetderving die ermee gepaard gaat.

Welke WordPress-beveiligingsmaatregelen zijn het meest effectief?

De meest effectieve aanpak voor het beveiligen van een WordPress-website is een gelaagde strategie: serverbeveiliging als fundament, veilig transport via HTTPS, en WordPress-hardening als bovenste laag. Wie alleen een beveiligingsplugin installeert en het daarbij laat, dekt slechts een deel van het risico af.

De volgende maatregelen bieden samen de sterkste bescherming:

• Updates doorvoeren voor WordPress, alle plugins en thema’s. Verouderde software is de meest voorkomende ingang voor hackers.
• Sterke wachtwoorden gebruiken en de standaardgebruikersnaam “admin” vervangen door iets unieks.
• Tweestapsverificatie (2FA) inschakelen op alle beheerdersaccounts. Zelfs als een wachtwoord uitlekt, heeft een aanvaller dan nog een tweede factor nodig.
• SSL-certificaat activeren zodat al het verkeer versleuteld verloopt. Zonder SSL kunnen inloggegevens worden onderschept op een gedeeld netwerk.
• Externe back-ups instellen. Een back-up op dezelfde server als de website biedt geen echte bescherming: als de server gecompromitteerd is, is de back-up dat ook.
• PHP up-to-date houden. Versies ouder dan 8.2 ontvangen geen beveiligingspatches meer, en bij vrijwel elke gehackte site die wordt opgeschoond blijkt de PHP-versie verouderd.
• Betrouwbare hosting kiezen met ingebouwde serverbeveiliging zoals een Web Application Firewall op serverniveau.

Geen van deze maatregelen is op zichzelf voldoende. Ze versterken elkaar. Een sterk wachtwoord helpt niet als de plugin die je gebruikt een bekende kwetsbaarheid heeft. Updates helpen niet als je hosting geen basisbescherming biedt.

Hoe bescherm je de WordPress-loginpagina tegen aanvallen?

De WordPress-loginpagina is een standaardaanvalsdoel omdat het adres voor elke WordPress-installatie hetzelfde is: /wp-login.php of /wp-admin. Geautomatiseerde tools kunnen duizenden sites tegelijk bestoken met inlogpogingen, ook wel brute-force-aanvallen genoemd. De beste bescherming is een combinatie van drie maatregelen: de standaard-login-URL wijzigen, tweestapsverificatie inschakelen en het aantal inlogpogingen beperken.

WordPress heeft standaard geen limiet op het aantal inlogpogingen. Dat betekent dat een aanvaller eindeloos kan blijven proberen totdat de juiste combinatie is gevonden. Via een beveiligingsplugin stel je eenvoudig een maximum in, waarna een IP-adres tijdelijk of permanent wordt geblokkeerd na een X-aantal mislukte pogingen.

Aanvullende maatregelen die het aanvallers extra moeilijk maken:

• Gebruikersnaam aanpassen van “admin” of “administrator” naar iets unieks. Veel brute-force-aanvallen proberen standaard deze namen.
• XML-RPC uitschakelen als je geen externe apps of Jetpack gebruikt. Via XML-RPC kunnen meerdere inlogpogingen tegelijk worden gedaan.
• Een cloudgebaseerde firewall zoals Cloudflare inzetten. Die filtert kwaadaardig verkeer al voordat het jouw server bereikt, alsof je een slagboom voor de oprit plaatst.

Voor wie een beveiligingsplugin wil installeren: kies er één en configureer die goed. Bekende opties zijn Wordfence Security en All-In-One Security. Installeer ze niet allebei tegelijk, want dat leidt tot conflicten en vertraagt je site.

Wat is het verschil tussen een WordPress-beveiligingsplugin en een WAF?

Een WordPress-beveiligingsplugin draait binnen WordPress en beschermt tegen aanvallen die via het CMS binnenkomen. Een Web Application Firewall (WAF) werkt op server- of netwerkniveau en filtert kwaadaardig verkeer al voordat het de website raakt. Het verschil is vergelijkbaar met een portier die bezoekers bij de balie controleert versus een hek dat ongewenste bezoekers al bij de ingang tegenhoudt.

Er zijn twee hoofdtypen WAF voor WordPress:

• Cloudgebaseerde WAF (zoals Cloudflare of Sucuri): verkeer wordt via externe servers gefilterd voordat het jouw site bereikt. Effectief tegen DDoS-aanvallen en grootschalige aanvalspatronen.
• Plugingebaseerde WAF (zoals Wordfence of NinjaFirewall): inspecteert verkeer nadat het de server heeft bereikt, maar nog voordat WordPress het verwerkt. Minder breed dan een cloudoplossing, maar eenvoudiger in te stellen.

Een WAF beschermt onder andere tegen SQL-injectie, Cross-Site Scripting (XSS), brute-force-aanvallen en zogenoemde zero-day-exploits via virtueel patchen. Dat laatste is waardevol: als er een kwetsbaarheid bekend is maar de patch nog niet beschikbaar is, kan een WAF die aanvalsroute tijdelijk blokkeren.

Voor de meeste organisaties geldt: serverbeveiliging is het fundament, een beveiligingsplugin is een extra laag erboven. Grotere sites of webshops met gevoelige klantdata profiteren het meest van een cloudgebaseerde WAF als aanvulling. Meer weten over hoe veilig gebouwde WordPress-sites eruitzien? Bekijk dan WordPress-website laten maken.

Hoe vaak moet je WordPress updaten voor optimale beveiliging?

Voor optimale WordPress-beveiliging moeten beveiligingsupdates bij voorkeur binnen 24 tot 48 uur worden doorgevoerd. Zodra een update openbaar is, weten kwaadwillenden precies wat er kwetsbaar was in de oude versie en richten ze geautomatiseerde tools op sites die nog niet hebben bijgewerkt. Wekelijks updaten is inmiddels te traag: de gemiddelde tijd tot massale exploitatie Deze link opent in een nieuw tabblad van een bekende kwetsbaarheid bedroeg in 2025 slechts vijf uur.

Het praktische advies is dan ook om automatische updates in te schakelen, maar selectief:

• WordPress-kern en beveiligingspatches: altijd automatisch updaten.
• Beveiligingsplugins, formulierplugins en e-commerceplugins: op automatisch zetten vanwege het directe beveiligingsbelang.
• Maatwerkplugins en thema’s die sterk met het ontwerp samenhangen: liever handmatig updaten, na een test op een stagingomgeving. Zo voorkom je dat een update de opmaak of functionaliteit van je site breekt.

Hoe langer je updates uitstelt, hoe groter de kloof tussen jouw versie en de actuele. Een sprong van vijf versies tegelijk vergroot de kans op conflicten aanzienlijk. Dagelijkse monitoring is geen luxe meer, het is een basisvereiste.

Wat moet je doen als je WordPress-website gehackt is?

Als je WordPress-website gehackt is, handel dan snel en gestructureerd. Zet de site eerst offline, wijzig alle wachtwoorden, scan op malware, herstel een schone back-up en sluit daarna de kwetsbaarheid die de aanval mogelijk maakte. Elke stap telt: hackers installeren vaak meerdere achterdeuren op verschillende plekken, zodat ze terugkomen als je er maar één verwijdert.

Doorloop het volgende stappenplan:

1. Website offline halen. Schakel een onderhoudsmodus in of zet de site tijdelijk uit via je hostingprovider. Zo voorkom je dat bezoekers schadelijke inhoud te zien krijgen en dat Google de site als onveilig markeert.
2. Alle wachtwoorden wijzigen. Denk aan het WordPress-beheerderwachtwoord, FTP-toegang, het hostingpanel en het databasewachtwoord. Gebruik voor elk account een uniek, sterk wachtwoord.
3. Scannen op malware. Gebruik een tool als Wordfence of Sucuri SiteCheck om te achterhalen waar de hack zich bevindt, bijvoorbeeld in plugins, thema’s of het configuratiebestand.
4. Schone back-up terugzetten. Controleer meerdere back-ups, want infecties blijven soms weken onopgemerkt. De gemiddelde tijd tussen een initiële hack en ontdekking is drie tot zes maanden.
5. Verdachte gebruikers en bestanden verwijderen. Loop de gebruikerslijst na op onbekende accounts met beheerdersrechten en controleer bestanden in de root en wp-content-map op vreemde code.
6. Alles updaten en beveiliging versterken. Breng WordPress, plugins en thema’s naar de laatste versie. Schakel 2FA in en beperk inlogpogingen.

Let ook op de juridische kant. Als er mogelijk toegang is geweest tot persoonsgegevens, is er sprake van een datalek en geldt een meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur. Twijfel je of er persoonsgegevens zijn blootgesteld? Meld dan altijd. De AP heeft liever een melding te veel dan te weinig.

Een schoonmaakoperatie na een hack kost al snel een paar honderd euro, los van omzetderving en reputatieschade. Structureel onderhoud kost een fractie daarvan. Voorkomen blijft verreweg de goedkoopste optie.

Goede WordPress-beveiliging begint bij een solide fundament. Wil je een website die van de grond af aan veilig is gebouwd, met veilige code, een strenge pluginselectie en regelmatige pentests? Neem dan een kijkje bij onze aanpak voor WordPress-website laten maken.