Hoe beveilig ik mijn WordPress-website?

Houd WordPress, plugins en thema’s bijgewerkt, gebruik sterke wachtwoorden en tweestapsverificatie, verwijder plugins die je niet gebruikt, maak back-ups op meerdere plekken en beperk wie beheerder is. Volledige zekerheid bestaat niet, maar dit verkleint de kans op een hack aanzienlijk.

Hoe vaak moet ik een WordPress-back-up maken?

De WordPress-documentatie noemt voor kleinere sites met weinig nieuwe berichten een back-up per week, en voor drukke sites dagelijks. Maak ook altijd een back-up vóór een update. Bewaar minimaal drie tot vijf recente back-ups op verschillende plekken.

Heb ik een beveiligingsplugin nodig?

Niet per se. Een plugin kan helpen bij het signaleren van wijzigingen of inlogpogingen, maar vervangt geen updates, goede wachtwoorden en back-ups. Elke extra plugin is bovendien extra code die zelf bijgehouden moet worden.

Wat is een back-up waard als die op dezelfde server staat?

Weinig. Gaat de server of je hostingaccount verloren, of wordt je site gehackt, dan zijn die back-ups mogelijk ook weg of aangetast. WordPress adviseert kopieën op de hostingserver, in de cloud en op je eigen computer.

Mijn site is al gehackt. Wat nu?

Zet niet blindelings een back-up terug. Wijzig eerst alle wachtwoorden en zoek de oorzaak. Ons stappenplan website gehackt, wat nu? loopt het door.

Techniek 2 oktober 2026 4 min lezen Ferhat Kalkan

WordPress beveiligen: checklist met wat echt helpt

WordPress beveiligen in 8 stappen: updates, wachtwoorden en 2FA, minder plugins, back-ups buiten de server, rechten en wat je doet na een hack.

WordPress is een populair doelwit voor geautomatiseerde aanvallen. De meeste maatregelen vragen vooral gewoonte: bijwerken, opruimen en controleren. Dure trucs zijn niet nodig. Deze checklist is gebaseerd op de WordPress-documentatie over beveiliging (hardening).

Werk alles bij, gebruik sterke wachtwoorden met tweestapsverificatie, verwijder wat je niet gebruikt, bewaar back-ups buiten je server en geef niemand meer rechten dan nodig. Dat voorkomt niet elke hack, maar maakt een aanval lastiger.

Hoe beveilig je WordPress?

1. Werk WordPress, plugins en thema’s bij

De WordPress-documentatie zegt het kort: houd WordPress up-to-date. Dat geldt ook voor plugins en thema’s. Verouderde onderdelen zijn een veelvoorkomende ingang voor hacks, omdat bekende kwetsbaarheden publiek bekend zijn. Download WordPress alleen van wordpress.org. Sinds versie 3.7 zijn er automatische updates; bij grotere sites loont het om updates eerst op een testversie te proberen.

2. Gebruik sterke wachtwoorden en tweestapsverificatie

Een sterk wachtwoord is lang en willekeurig: geen namen, geen woorden uit het woordenboek. Gebruik een wachtwoordmanager, die maakt ze voor je. WordPress adviseert daarnaast tweestapsverificatie (2FA) als extra laag. Gebruik ook niet de gebruikersnaam “admin” of “webmaster”; die worden het eerst geprobeerd.

3. Verwijder plugins die je niet gebruikt

Elke plugin is extra code die kwetsbaar kan zijn. WordPress adviseert plugins bij te houden en ongebruikte plugins te verwijderen. Installeer alleen uit bronnen die je vertrouwt, zoals de plugin-directory op wordpress.org. Uitgeschakeld is niet hetzelfde als verwijderd: de bestanden staan er dan nog.

4. Maak back-ups, en bewaar ze buiten de server

Een WordPress-back-up bestaat uit twee delen: de database en de bestanden (kern, thema’s, plugins, uploads, wp-config.php en .htaccess). Een van de twee is niet genoeg.

De documentatie adviseert drie kopieën op drie plekken: op de hostingserver, in de cloud en op je eigen computer. Voor kleine sites noemt ze een back-up per week, voor drukke sites dagelijks, en altijd vóór een upgrade. Bewaar minimaal drie tot vijf recente back-ups. Test ook eens of je ze kunt terugzetten; een back-up die niet werkt is geen back-up.

5. Stel bestandsrechten goed in

De documentatie noemt voor mappen 755 en voor bestanden 644, en voor wp-config.php 400 of 440. Dat bepaalt wie een bestand mag lezen of schrijven op de server. Pas dit alleen aan als je weet wat je doet, of laat je hostingpartij het doen.

6. Zet het bewerken van bestanden uit het dashboard uit

Met de regel define( 'DISALLOW_FILE_EDIT', true ); in wp-config.php verdwijnt de thema- en pluginbewerker uit WordPress. Komt een aanvaller toch in je dashboard, dan kan hij daar niet zomaar code toevoegen.

7. Beperk beheerdersrechten

Niet iedereen die een pagina bijwerkt hoeft beheerder te zijn. Geef redacteurs de rol redacteur, en verwijder accounts van mensen die niet meer meewerken.

8. Overweeg een beveiligingsplugin of monitoring

Een beveiligingsplugin kan helpen bij het signaleren van wijzigingen en verdachte inlogpogingen. De WordPress-documentatie noemt logging en monitoring van bestandswijzigingen als onderdeel van een goede beveiliging. Een plugin vervangt de stappen hierboven niet.

En als het toch misgaat?

Wijzig eerst alle wachtwoorden, maak een kopie van de site zoals die nu is, en zoek de oorzaak voordat je een back-up terugzet. Anders staat de deur nog open. Het hele stappenplan staat in website gehackt: wat nu.

Zelf doen of uit handen geven?

Bovenstaande kost doorlopend tijd: updates draaien, back-ups controleren en logs bekijken. Wil je dat niet zelf doen, dan neemt ons WordPress-onderhoud het over: updates, back-ups, beveiliging en monitoring, vanaf €39 per maand (excl. btw). Bij een storing pakken we het direct op, meestal binnen 1 uur en uiterlijk 4 uur op werkdagen. Alle pakketten staan op de prijzenpagina. Meer over hoe we back-ups inrichten staat bij website back-up beheer.

Wil je eerst weten waar je site staat? Doe de gratis website-check of neem contact op; je hoort binnen één werkdag van ons.

Bronnen: WordPress-documentatie Hardening WordPress en WordPress Backups.