WordPress beveiliging is vandaag geen optie meer, maar een noodzaak voor elke website. Je WordPress website is een doelwit. Niet omdat hackers het persoonlijk op jou gemunt hebben, maar omdat geautomatiseerde scripts 24 uur per dag, 7 dagen per week het internet afschuimen op zoek naar kwetsbare websites. En WordPress — als meest gebruikte CMS ter wereld — staat bovenaan hun zoeklijst.
De goede nieuws: de meeste hacks zijn volledig vermijdbaar. Niet met dure software of geavanceerde kennis, maar met een combinatie van basismaatregelen die elke WordPress-eigenaar kan (of moet) implementeren.
In deze gids lees je welke bedreigingen echt gevaarlijk zijn, welke beveiligingsmaatregelen het meeste effect hebben, en hoe je je website structureel beschermt — ook als je geen technische achtergrond hebt.
1. Waarom WordPress zo vaak aangevallen wordt
WordPress draait op meer dan 43% van alle websites ter wereld. Die populariteit is tegelijk zijn grootste zwakte vanuit beveiligingsperspectief: hackers ontwikkelen aanvalstools die specifiek gericht zijn op WordPress, plugins en thema’s.
De meeste aanvallen zijn niet gericht op jouw website specifiek. Het zijn geautomatiseerde bots die:
- Bekende kwetsbaarheden in populaire plugins scannen
- Brute-force aanvallen uitvoeren op wp-admin en xmlrpc.php
- Zwakke wachtwoorden proberen via woordenlijst-aanvallen
- Verouderde WordPress-installaties zoeken via publieke databases
Wat maakt jouw website kwetsbaar?
- Verouderde plugins, thema’s of WordPress core
- Zwakke of hergebruikte wachtwoorden
- Geen tweefactorauthenticatie
- Onbeperkte inlogpogingen toegelaten
- Geen firewall of beveiligingsmonitoring
- Ongebruikte plugins en thema’s die niet verwijderd zijn
- Standaard gebruikersnaam “admin”
2. De meest voorkomende WordPress-aanvallen
Brute-force aanvallen
Een bot probeert automatisch duizenden gebruikersnaam/wachtwoord-combinaties op je inlogpagina. Zonder bescherming heeft een aanvaller theoretisch onbeperkt pogingen.
Fix: IP-blokkering na X mislukte pogingen + sterke wachtwoorden + 2FA
Plugin- en thema-kwetsbaarheden
Verouderde plugins zijn de nummer één oorzaak van gehackte WordPress-sites. Elke plugin die je installeert is een potentiële ingang als de ontwikkelaar een kwetsbaarheid niet snel patcht — of stopt met onderhouden.
Fix: Wekelijkse updates + audit van geïnstalleerde plugins + verwijder wat je niet gebruikt
SQL-injectie
Een aanvaller injecteert kwaadaardige code via formulieren of URL-parameters om toegang te krijgen tot je database.
Fix: Web Application Firewall (WAF) + goed geconfigureerde beveiligingsplugin
Cross-Site Scripting (XSS)
Kwaadaardige scripts worden ingespoten via reactievelden, contactformulieren of kwetsbare plugins, en uitgevoerd in de browser van je bezoekers.
Fix: WAF + invoervalidatie + Content Security Policy headers
Malware-injectie na een hack
Na een succesvolle inbraak plaatsen hackers verborgen code in je themabestanden of database. Die code verspreidt malware naar bezoekers, stuurt spam of gebruikt jouw server voor cryptomining — vaak zonder dat je het merkt.
Fix: Dagelijkse malwarescans + bestandsintegriteitscontrole
3. De 8 belangrijkste maatregelen voor WordPress beveiliging
3.1 Houd alles up-to-date
De eenvoudigste maar meest effectieve maatregel. 90% van alle gehackte WordPress-sites draaide met verouderde software op het moment van de aanval.
- WordPress core: update zo snel mogelijk na elke release
- Plugins: controleer wekelijks en update onmiddellijk bij beveiligingsupdates
- Thema: ook je thema ontvangt beveiligingsupdates — vergeet het niet
- PHP-versie: zorg dat je hostingprovider een actuele PHP-versie gebruikt
Meer over hoe WordPress omgaat met beveiliging: WordPress Security
💡 Verwijder plugins en thema’s die je niet (meer) gebruikt. Ook inactieve plugins kunnen kwetsbaarheden bevatten.
3.2 Gebruik sterke, unieke wachtwoorden
Een wachtwoord als “welkom123” of de naam van je hond is in seconden gekraakt. Gebruik:
- Minimum 16 tekens
- Combinatie van letters, cijfers en symbolen
- Nooit hetzelfde wachtwoord op meerdere platforms
- Een wachtwoordmanager (Bitwarden, 1Password) om alles bij te houden
Verander ook direct de standaard gebruikersnaam “admin” — dit is het eerste wat bots proberen.
3.3 Tweefactorauthenticatie (2FA) activeren
Zelfs met het juiste wachtwoord kan een aanvaller niet inloggen zonder de tweede factor — een code via een authenticator-app of SMS.
Aanbevolen plugins: WP 2FA, Google Authenticator, Wordfence Login Security
Activeer 2FA voor alle beheerdersaccounts — niet alleen het jouwe.
3.4 Beperk inlogpogingen
Standaard laat WordPress onbeperkt inlogpogingen toe. Dat maakt brute-force aanvallen triviaal eenvoudig.
Installeer een plugin die IP-adressen blokkeert na een X aantal mislukte pogingen (bv. 5 pogingen → 30 minuten geblokkeerd).
Aanbevolen plugins: Limit Login Attempts Reloaded, Wordfence
3.5 Web Application Firewall (WAF) installeren
Een WAF filtert kwaadaardig verkeer vóór het je website bereikt. Het herkent bekende aanvalspatronen (SQL-injectie, XSS, brute-force) en blokkeert ze automatisch.
Er zijn twee soorten:
- Plugin-gebaseerde WAF (Wordfence, Sucuri): eenvoudig te installeren, werkt op serverniveau
- DNS-gebaseerde WAF (Cloudflare): verkeer wordt omgeleid via een extern netwerk vóór het je server bereikt — krachtiger maar vereist DNS-aanpassingen
3.6 Dagelijkse malwarescans
Malware wordt soms pas weken of maanden na een aanval ontdekt. Dagelijkse automatische scans controleren je bestanden op bekende malware-handtekeningen en waarschuwen je onmiddellijk bij verdachte bevindingen.
Aanbevolen plugins: Wordfence, MalCare, Sucuri Security
3.7 SSL-certificaat (HTTPS)
Een SSL-certificaat versleutelt de verbinding tussen je website en je bezoekers. Zonder SSL:
- Worden gegevens (wachtwoorden, formulieren) onversleuteld verstuurd
- Toont Google “Niet beveiligd” in de adresbalk — vertrouwen daalt
- Scoort je website lager in Google (SSL is een rankingfactor)
Goede hostingproviders leveren gratis SSL via Let’s Encrypt. Bij PP Digital is SSL standaard inbegrepen.
3.8 WordPress beveiliging en betrouwbare back-ups
Geen enkele beveiligingsmaatregel biedt 100% garantie. Back-ups zijn je laatste vangnet.
- Dagelijkse automatische back-ups van database én bestanden
- Opgeslagen op een externe locatie (niet op dezelfde server)
- Regelmatig testen of de back-up herstelbaar is
4. WordPress beveiligingsplugins: welke kiezen?
Er zijn tientallen beveiligingsplugins voor WordPress. De drie meest gebruikte en betrouwbare:
| Plugin | Sterktes | Nadelen |
|---|---|---|
| Wordfence | Complete suite: WAF + scanner + 2FA + blokkering | Zwaar op resources bij grote sites |
| Sucuri Security | Uitstekende scanner + DNS-WAF optie | DNS-WAF is betalend |
| Solid Security | Gebruiksvriendelijk + veel hardening-opties | Minder krachtige WAF |
💡 Installeer niet meerdere beveiligingsplugins tegelijk — ze conflicteren met elkaar en vertragen je website.
5. WordPress hardening: extra maatregelen
Naast de basismaatregelen zijn er een aantal “hardening” technieken die je beveiliging verder versterken:
Verberg je WordPress-versie Hackers gebruiken versie-informatie om gerichte aanvallen te plannen. Verberg de versie in je broncode via een beveiligingsplugin of handmatig in functions.php.
Bescherm wp-config.php en .htaccess Deze bestanden bevatten kritieke instellingen. Zorg dat ze niet direct toegankelijk zijn via de browser.
Schakel XML-RPC uit (tenzij je het nodig hebt) XML-RPC is een verouderd protocol dat regelmatig misbruikt wordt voor brute-force aanvallen. Tenzij je het actief gebruikt (bv. voor Jetpack), schakel het uit.
Beperk het aantal gebruikersaccounts Geef geen beheerdersrechten aan mensen die die rechten niet nodig hebben. Gebruik de laagst mogelijke rol (Redacteur, Auteur, Abonnee) voor elke gebruiker.
Beveilig de wp-admin map Je kunt je WordPress-dashboard extra beveiligen met een .htaccess-wachtwoord bovenop het normale inlogscherm, of de toegang beperken tot specifieke IP-adressen.
6. Wat doe je als je WordPress website gehackt is?
Ondanks alle maatregelen kan het misgaan. Als dat gebeurt:
- Haal je website offline (voorkom verdere schade en malwareverspreiding)
- Zet een recente schone back-up terug
- Wijzig alle wachtwoorden (WordPress, hosting, FTP, database)
- Scan alle bestanden op malware
- Identificeer hoe de aanvaller binnengekomen is
- Dicht de kwetsbaarheid vóór je de site terug online zet
- Vraag Google om een herziening als je website op een blacklist staat
⚠️ Herstel zonder recente back-up is tijdrovend en kostbaar. Dit is de sterkste motivatie voor dagelijkse back-ups.
Conclusie: WordPress beveiliging is een doorlopend proces
WordPress beveiliging is geen eenmalige actie. Het is een doorlopend proces van updates, monitoring en preventief onderhoud. De combinatie van sterke wachtwoorden, tweefactorauthenticatie, een firewall en dagelijkse scans pakt de meeste risico’s aan.
Heb je geen tijd of technische kennis om dit zelf bij te houden? PP Digital beheert de beveiliging van jouw WordPress website — proactief, volledig en zonder dat jij er omkijken naar hebt.
📌 Dit artikel maakt deel uit van onze complete gids over WordPress onderhoud.
👉 Neem contact op voor een beveiligingsscan van jouw website