WordPress beveiligen begint niet met het installeren van nóg een beveiligingsplug-in, maar met een back-up waarvan je zeker weet dat je die kunt terugzetten. Wil je je WordPress website beveiligen? Met deze praktische WordPress-beveiligingschecklist controleer je daarna updates, gebruikersrechten, tweestapsverificatie, HTTPS en de werking van je site.
Wie WordPress beveiligen wil zonder onnodige risico’s, begint met een plan. Goede WordPress beveiliging vraagt om herstelbare back-ups, actuele software en passende toegangsrechten. Deze gids is bedoeld voor een zelfgehoste WordPress-website die je zelf beheert of waarvoor je uitdrukkelijk toestemming hebt. Je hebt toegang tot het WordPress-dashboard nodig. Voor een back-up en HTTPS zijn mogelijk ook de instellingen van je hostingprovider nodig.
Belangrijkste punten
- Controleer vóór elke wijziging of je zowel de database als de websitebestanden kunt herstellen.
- Geef beveiligingsupdates voorrang, maar test na iedere update de functie die ermee samenhangt.
- Gebruik voor iedere beheerder een afzonderlijk account en zet waar mogelijk tweestapsverificatie (2FA) aan.
- Controleer of zowel de openbare site als de inlogpagina veilig via HTTPS openen.
- Bekijk de website ook als gewone bezoeker, op je telefoon en in een privévenster.
1. WordPress beveiligen begint met een herstelbare back-up
Open het dashboard van je hostingprovider of je back-upplug-in en zoek de meest recente geslaagde back-up. Controleer of die zowel de bestanden als de database omvat. In de database staan onder andere berichten, pagina’s, gebruikersgegevens en instellingen.
WordPress beveiligen vraagt om herstel dat ook echt werkt. Een back-upbestand hebben is niet hetzelfde als kunnen herstellen. Noteer daarom de datum, de opslaglocatie en de herstelprocedure. De officiële WordPress-handleiding voor back-ups legt uit welke onderdelen belangrijk zijn.
Biedt je host een afgeschermde stagingomgeving aan, probeer de back-up daar dan eens terug te zetten. Open daarna meerdere pagina’s en controleer of formulieren en afbeeldingen werken. Kun je geen volledige back-up vinden of weet je niet hoe je moet herstellen? Los dat dan eerst op voordat je grote wijzigingen op de livewebsite uitvoert.
2. Werk WordPress, plug-ins en thema’s veilig bij
WordPress beveiligen betekent ook updates zorgvuldig uitvoeren. Ga in WordPress naar Dashboard → Updates. Controleer welke updates er klaarstaan voor de WordPress-kern, de plug-ins en het actieve thema. Met een werkende back-up achter de hand kun je updates installeren. Beveiligingspatches verdienen daarbij voorrang. Voor terugkerende controles kun je daarnaast onze WordPress-onderhoudschecklist gebruiken.
Wil je WordPress beveiligen zonder bestellingen te verstoren? Heeft je website een webshop, boekingssysteem of maatwerkplug-in? Test ingrijpende updates dan bij voorkeur eerst op een afgeschermde stagingkopie. Voer updates gecontroleerd uit en kijk telkens of de relevante functies nog werken.
- Werk bijvoorbeeld de formulierplug-in bij en verstuur daarna een testbericht.
- Controleer de homepage en een belangrijke dienstenpagina na een thema-update.
- Bekijk bij een webshop niet alleen de voorkant, maar ook de winkelmand en het afrekenen.
- Noteer welke update je hebt uitgevoerd en wat je hebt getest.
Gaat er iets mis, stop dan tijdelijk met nieuwe updates en onderzoek de laatste wijziging. Zet een live-back-up niet blind terug wanneer er sinds de back-up nieuwe bestellingen of formulierinzendingen zijn binnengekomen: je kunt daardoor gegevens verliezen.
3. Verwijder plug-ins en thema’s die je niet meer gebruikt
WordPress beveiligen wordt overzichtelijker als je onnodige plug-ins opspoort. Open Plug-ins → Geïnstalleerde plug-ins en noteer waarvoor iedere plug-in dient. Kijk of ze nog worden onderhouden, welke functies ze leveren en of andere onderdelen ervan afhankelijk zijn. Ongebruikte of niet-ondersteunde extensies kunnen onnodige risico’s opleveren.
Verwijder niet zomaar een onbekende plug-in op je livewebsite. Een contactformulier, paginabouwer of betaalfunctie kan er volledig van afhangen. Schakel een twijfelachtig onderdeel eerst op een stagingkopie uit en test wat er verandert.
Controleer ook Weergave → Thema’s. Houd je actieve thema en, wanneer je een child theme gebruikt, het bijbehorende hoofdthema. Een actueel reservethema kan handig zijn voor probleemoplossing. Oude, overbodige thema’s hoeven doorgaans niet allemaal te blijven staan.
4. Kijk wie beheerdersrechten heeft
Bij WordPress beveiliging is het essentieel om te controleren wie toegang heeft. Ga naar Gebruikers → Alle gebruikers en controleer welke accounts de rol Beheerder hebben. Elk beheerdersaccount moet bij iemand horen die je herkent en die deze rechten echt nodig heeft.
Wie een WordPress website beveiligen wil, begint ook bij passende gebruikersrechten. Iemand die alleen teksten en pagina’s beheert, kan op een gewone WordPress-installatie vaak met de rol Redacteur werken. Zo beperk je de gevolgen wanneer een account ooit wordt misbruikt.
WordPress beveiliging bij een websiteoverdracht
Controleer bij een overdracht of de nieuwe eigenaar toegang heeft tot zowel WordPress als de hostingomgeving. Wachtwoordherstel en beveiligingsmeldingen moeten binnenkomen op een e-mailadres dat die eigenaar beheert. Spreek af wie back-ups kan herstellen vóór je oude beheerdersaccounts verwijdert.
Zie je een onbekend beheerdersaccount en vermoed je een inbraak? Bewaar je bevindingen en vraag je hostingprovider om hulp bij het onderzoeken van het incident, in plaats van bewijs overhaast te wissen.
5. Je WordPress website beveiligen met tweestapsverificatie
Wie WordPress beveiligen wil tegen accountmisbruik, geeft iedere beheerder een eigen account met een uniek, sterk wachtwoord. Schakel waar mogelijk tweestapsverificatie (2FA) in via een betrouwbare WordPress-plug-in of je aanmeldprovider. Dat voegt een tweede controle toe, bijvoorbeeld een code uit een authenticator-app.
De Australische overheid heeft een praktische handleiding voor multifactorauthenticatie met algemene aandachtspunten.
WordPress beveiligen betekent ook voorkomen dat je jezelf buitensluit. Houd je huidige dashboardsessie open en test een nieuwe aanmelding in een tweede browser of privévenster. Bewaar herstelcodes veilig, buiten WordPress zelf. Werkt de tweede factor niet, dan kun je vanuit de oorspronkelijke sessie de instellingen nog corrigeren.
Leg ook vast hoe andere beheerders toegang kunnen herstellen als ze hun tweede factor verliezen. Een wachtwoordmanager zoals Proton Pass kan helpen om voor elk account unieke wachtwoorden te maken en veilig te bewaren. De gratis versie ondersteunt die basisfunctie.
Bekijk Proton Unlimited als je naast een wachtwoordmanager ook andere Proton-diensten gebruikt. Vergelijk de actuele prijs en voorwaarden op de aanbiedingspagina.
6. WordPress beveiligen met een correcte HTTPS-verbinding
Je WordPress-website beveiligen houdt ook in dat de verbinding klopt. Open je homepage en inlogpagina met https://. Controleer of het juiste domein in de adresbalk staat en of de browser geen certificaatwaarschuwing geeft. Zie je toch een waarschuwing, vul dan geen wachtwoord in maar laat eerst het certificaat controleren.
Bij WordPress beveiligen hoort ook controleren of oude HTTP-adressen correct doorverwijzen naar HTTPS. Een redirectlus, gemengde inhoud of een fout certificaat kan ertoe leiden dat bezoekers de website niet veilig kunnen gebruiken.
Verander de WordPress-adresinstellingen niet op goed geluk om een HTTPS-probleem op te lossen. Vraag je hostingprovider om de oorzaak te controleren, zodat je de website niet per ongeluk onbereikbaar maakt.
7. Test de website zoals een bezoeker dat zou doen
WordPress beveiligen houdt niet op in het dashboard. Open je website op je telefoon in een privévenster. Doorloop de route die een gewone bezoeker zou volgen: de homepage openen, via het menu doorklikken, een dienstenpagina lezen en een contactbericht versturen.
- Controleer of navigatie en knoppen op mobiel werken.
- Verstuur een testbericht via het formulier en controleer de ontvangende mailbox, ook als de website een succesmelding geeft.
- Ga in WordPress naar Gereedschap → Sitediagnose en bekijk kritieke beveiligingsmeldingen.
- Noteer de datum, het testresultaat en eventuele vervolgstappen.
Voelen pagina’s traag aan, lees dan mijn gids over WordPress sneller maken. Daarin bespreek ik zeven praktische manieren om de prestaties veilig te verbeteren.
WordPress beveiligen is geen eenmalige ingreep. Werk je WordPress-beveiligingschecklist na elke wijziging bij. Werkt een belangrijke functie niet meer, los dat probleem dan op voordat je verdergaat. Zo blijft WordPress-beveiliging een beheersbaar proces.
Veelgestelde vragen
Heb ik een beveiligingsplug-in nodig?
Een beveiligingsplug-in kan nuttige functies toevoegen, zoals 2FA, loginbeveiliging of waarschuwingen. Controleer eerst wat je host of aanmeldprovider al aanbiedt en kies een plug-in die een echte leemte opvult. Updates en herstelbare back-ups blijven noodzakelijk.
Hoe vaak moet ik een back-up maken?
Dat hangt af van hoe vaak de inhoud verandert en hoeveel gegevens je kunt missen. Een webshop met dagelijkse bestellingen heeft vaker back-ups nodig dan een kleine portfoliosite die nauwelijks verandert. Maak vóór grote wijzigingen een extra back-up en test wanneer mogelijk een herstel op staging.
Hoe vaak moet ik WordPress bijwerken?
Controleer regelmatig of er updates beschikbaar zijn en geef beveiligingsupdates voorrang. Test na elke update de functie die daardoor geraakt kan worden, bijvoorbeeld je contactformulier.
Is HTTPS voldoende om WordPress veilig te houden?
Nee. WordPress beveiligen vraagt om meer dan HTTPS. HTTPS versleutelt de verbinding tussen browser en website, maar beschermt niet automatisch tegen kwetsbare plug-ins, gestolen beheerdersaccounts of slecht ingestelde gebruikersrechten.
Vraag een gratis WordPress-beveiligingscheck aan
Wil je WordPress beveiligen, maar weet je niet wat eerst komt? Twijfel je over de veiligheid van je WordPress-installatie? Vraag een gratis, vrijblijvende eerste beveiligingscheck aan. Stuur je websiteadres en vertel wat je wilt laten controleren. Deel geen wachtwoorden of verificatiecodes via het formulier.
