Het korte antwoord
WordPress beveilig je met zeven maatregelen, in volgorde van effect: werk WordPress, plugins en thema's wekelijks bij en houd de PHP-versie van je server actueel, gebruik unieke wachtwoorden met tweestapsverificatie, bescherm je inlogpagina tegen brute force, installeer een security-plugin zoals Wordfence, zet dagelijkse back-ups buiten je hosting, beperk gebruikersrechten en laat een specialist een firewall, monitoring en staging inrichten. Updates hebben het meeste effect: 91 procent van de nieuwe WordPress-lekken in 2025 zat in plugins, niet in WordPress zelf.
Waarom juist WordPress het doelwit is
WordPress draait op ruim veertig procent van alle websites wereldwijd, en dat marktaandeel maakt het vanzelf het grootste doelwit: een werkende aanval is meteen op miljoenen sites te proberen. De cijfers over 2025 laten precies zien waar het misgaat. Securitybedrijf Patchstack telde 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem, 42 procent meer dan het jaar ervoor. Daarvan zat 91 procent in plugins en 9 procent in thema's. In de kern van WordPress zelf: welgeteld zes lekken, allemaal met laag risico. De software is dus niet het probleem. Het probleem is alles wat je erop installeert en daarna vergeet bij te werken.
Die aanvallen zijn vrijwel nooit persoonlijk. Bots scannen dag en nacht miljoenen sites af op een specifiek lek in een specifieke plugin, en zodra een lek publiek wordt, volgen de eerste aanvalspogingen vaak binnen een dag. Voor zo'n bot maakt het formaat van je site niets uit: een verouderde formulierenplugin op een kleine bedrijfssite is een even bruikbare ingang als een lek bij een grote webshop. Wil je weten hoe je site er nu voor staat, lees dan is mijn website veilig of doe de gratis website-veiligheidscheck. Dit artikel gaat een stap verder: de zeven maatregelen waarmee je een WordPress-site echt dichtzet, in volgorde van effect.
Maatregel 1: updates, en een beleid dat je volhoudt
Updates zijn de maatregel met verreweg het meeste effect, omdat ze de hoofdoorzaak wegnemen: vrijwel elke gehackte WordPress-site is binnengekomen via een bekend lek waarvoor de update al bestond. Zet automatische updates aan voor de kleine WordPress-versies en werk plugins en thema's wekelijks handmatig bij. Even belangrijk is opruimen: elke plugin is code van een externe partij op jouw server, en ook gedeactiveerd kan hij een lek bevatten. Verwijder wat je niet gebruikt, en wees kritisch bij wat je installeert: kijk of hij recent is bijgewerkt, hoeveel actieve installaties hij heeft en of de maker supportvragen beantwoordt.
Wat losse updates tot beleid maakt, is een vast ritme. Kies een vast moment in de week, maak eerst een back-up, draai alle updates en klik daarna je belangrijkste pagina's na: homepage, contactformulier, afrekenproces. Vervang plugins die meer dan een jaar geen update kregen, want een verlaten plugin krijgt ook geen beveiligingsfix als er een lek opduikt. Heb je premium plugins, houd de licenties actief, want verlopen betekent stilletjes ook geen updates meer. Heb je je site gebouwd via het stappenplan in zelf een WordPress website maken, dan is dit ritme het onderhoud dat erbij hoort.
Vergeet daarbij de laag onder WordPress niet: PHP, de software op de server die WordPress laat draaien. In oktober 2026 bleek hoe belangrijk die is, toen twee kritieke lekken in PHP zelf uitlekten, samen bekend als PHP2Shell. Daartegen helpt geen enkele WordPress- of plugin-update; alleen een nieuwere PHP-versie op de server dicht het gat. Kijk in WordPress onder Gereedschap, Sitediagnose, tabblad Info welke PHP-versie je site gebruikt, en vraag je host of die nog beveiligingsupdates krijgt. Wat er precies speelde en welke versies veilig zijn, lees je in PHP2Shell: is jouw website kwetsbaar.
- Zet automatische updates aan voor kleine WordPress-versies
- Werk plugins en thema's wekelijks bij op een vast moment
- Maak voor elke updateronde eerst een back-up
- Verwijder ongebruikte plugins en thema's, ook gedeactiveerde
- Vervang plugins die langer dan een jaar geen update kregen
- Controleer of je PHP-versie nog beveiligingsupdates krijgt
Maatregelen 2 en 3: sterke logins en een beschermde inlogpagina
Na verouderde plugins is de inlogpagina de populairste ingang. Elke WordPress-site heeft standaard dezelfde inlogpagina, wp-login.php, en bots proberen daar de hele dag wachtwoorden uit datalekken van andere diensten. De verdediging begint bij de wachtwoorden zelf: uniek per dienst, gegenereerd door een wachtwoordmanager en nergens anders in gebruik. Zet daarnaast tweestapsverificatie aan voor alle beheerders, via een gratis plugin of de security-plugin uit de volgende maatregel. Daarmee is een gelekt wachtwoord alleen niet meer genoeg om binnen te komen. Hernoem tot slot het account admin als dat nog bestaat, want dat is de gebruikersnaam die bots als eerste proberen.
Bescherm daarna de inlogpagina zelf tegen brute force, het geautomatiseerd proberen van duizenden wachtwoorden. Beperk het aantal inlogpogingen, bijvoorbeeld vijf pogingen en daarna een kwartier blokkade, iets wat elke security-plugin gratis kan. Schakel ook xmlrpc.php uit als je het niet gebruikt; via die verouderde koppeling kunnen bots honderden wachtwoorden per verzoek testen, buiten je loginlimiet om. Een andere inlog-URL instellen kan ook, maar zie dat als ruisonderdrukking, niet als beveiliging: het houdt domme bots buiten, gerichte aanvallen niet. De combinatie van unieke wachtwoorden, tweestapsverificatie en een loginlimiet stopt in de praktijk vrijwel elke geautomatiseerde inbraakpoging.
Tip: Kijk na het instellen van een loginlimiet eens in het logboek van je security-plugin. De honderden geblokkeerde pogingen per week die je daar ziet, bestonden daarvoor ook al. Je zag ze alleen niet.
Maatregelen 4 en 5: een security-plugin en back-ups buiten je hosting
Een security-plugin bundelt de bescherming hierboven en voegt er twee dingen aan toe: een malwarescanner die je bestanden vergelijkt met de originele versies, en een firewall die bekende aanvalspatronen blokkeert voordat ze je site raken. Eén goede plugin is genoeg, twee tegelijk zitten elkaar in de weg. Wordfence is de bekendste: de gratis versie scant en blokkeert prima, maar ontvangt nieuwe firewallregels 30 dagen later dan de betaalde versie van zo'n 140 euro per jaar. Solid Security blinkt uit in inlogbeveiliging en tweestapsverificatie. Sucuri levert naast een gratis plugin een extern firewallplatform, interessant zodra je site omzet draait.
De vijfde maatregel is je vangnet: back-ups die los van je hosting staan. Een back-up op dezelfde server verdwijnt mee bij een hack of servercrash, dus je wilt dagelijks een automatische kopie naar externe opslag zoals Google Drive. Houd minstens twee weken aan herstelpunten aan: een besmetting valt zelden meteen op, en je moet terug kunnen naar een kopie van voor het moment dat het misging. Goede hosting regelt dit voor je; waar je op let staat in beste WordPress hosting. Regel je het zelf, dan is UpdraftPlus de standaard, gratis voor dagelijkse back-ups naar je eigen cloudopslag.
| Plugin | Gratis versie | Betaald | Sterkste punt |
|---|---|---|---|
| Wordfence | Scanner en firewall, regels 30 dagen vertraagd | ca. €140 p/j | Malwarescanner |
| Solid Security | Loginbescherming en tweestapsverificatie | v.a. ca. €95 p/j | Inlogbeveiliging |
| Sucuri | Scanner en basisbescherming | platform v.a. ca. €190 p/j | Externe firewall |
| UpdraftPlus | Dagelijkse back-ups naar eigen cloudopslag | v.a. ca. €65 p/j | Back-ups |
Maatregelen 6 en 7: minimale rechten en wat een specialist toevoegt
De zesde maatregel kost niets en wordt het vaakst overgeslagen: geef elk account precies de rechten die het werk vraagt. Iemand die alleen blogartikelen plaatst, hoort de rol redacteur te hebben, geen beheerder, want elk beheerdersaccount dat lekt geeft een aanvaller de hele site. Loop je gebruikerslijst na en gooi de inlogs weg van vertrokken collega's en van bureaus waarmee de samenwerking is gestopt. Zet daarnaast de bestandsbewerker in het dashboard uit met één regel in wp-config.php, DISALLOW_FILE_EDIT, zodat een gekaapt account niet meteen code kan aanpassen. Kleine ingrepen, maar samen bepalen ze hoeveel schade één gestolen wachtwoord kan aanrichten.
Boven deze zes maatregelen zit het niveau waarop een specialist het verschil maakt. Een firewall op serverniveau, zoals Cloudflare, filtert aanvallen weg voordat ze WordPress bereiken. Monitoring waarschuwt binnen minuten bij malware, een verdachte bestandswijziging of downtime, in plaats van dat een klant je erop wijst. En een stagingomgeving zorgt dat updates eerst op een kopie van je site draaien, zodat een mislukte update nooit je livesite raakt. Wil je dit geregeld hebben zonder er zelf naar om te kijken, dan neemt een WordPress specialist het uit handen. Bij Volstoom begint website-onderhoud met wekelijkse updates, back-ups en monitoring bij 20 euro per maand.
Geschreven door
Ruben van Dijk
Lead developer bij Volstoom
