WordPress Gehackt: 13 Stappen Om Je Site Te Herstellen

Stap 1: Blijf kalm en handel methodisch

Paniek leidt tot fouten. Volg de stappen in volgorde — sla er geen over.

Stap 2: Haal je website tijdelijk offline

Activeer de onderhoudsmodus of blokkeer toegang tot je site. Dit voorkomt dat bezoekers malware oplopen en dat Google je site verder afstraft. Gebruik een plugin als “WP Maintenance Mode” of vraag je hostingprovider om hulp.

Stap 3: Contacteer je hostingprovider

Je hostingprovider heeft toegang tot serverlogs en kan helpen bij het identificeren van de aanvalsvector. Veel providers hebben ook een eigen beveiligingsteam dat kan assisteren bij herstel.

Stap 4: Maak een back-up van de besmette site

Dit klinkt contra-intuïtief, maar je hebt een kopie nodig van de gehackte versie voor forensisch onderzoek — om te achterhalen hoe de aanvaller binnenkwam. Bewaar deze back-up apart van je schone back-ups.

Stap 5: Zet een schone back-up terug

Heb je recente back-ups? Dat is het snelste herstelpad. Zet de meest recente schone back-up terug — van vóór de hack. Daarna nog stap 6-10 uitvoeren om herhaling te voorkomen.

💡 Geen recente back-up? Dan volg je stap 6 tot 9 om de site handmatig te reinigen.

Stap 6: Scan alle bestanden op malware

Gebruik een beveiligingsplugin om een volledige malwarescan uit te voeren:

• Wordfence — grondige bestandsscan met vergelijking tegen bekende WordPress-kernbestanden
• MalCare — cloudgebaseerde scan die ook verborgen malware detecteert
• Sucuri SiteCheck — gratis online scanner voor een eerste diagnose

Stap 7: Reinig geïnfecteerde bestanden

Verwijder alle kwaadaardige code uit je bestanden. Controleer zeker:

• wp-config.php — bevat databasegegevens, een geliefd doelwit
• functions.php van je actieve thema
• .htaccess — kan worden gebruikt voor onzichtbare redirects
• Alle PHP-bestanden in wp-content/uploads/ (hier horen geen PHP-bestanden)

Herinstalleer de WordPress core: ga in je dashboard naar Dashboard → Updates → “Opnieuw installeren”. Dit overschrijft alle kernbestanden met een frisse kopie van WordPress.org.

Stap 8: Verwijder onbekende gebruikersaccounts

Ga naar Gebruikers → Alle gebruikers en verwijder elk account dat je niet herkent. Hackers maken beheerdersaccounts aan als achterdeur — ook als je de malware hebt verwijderd.

Stap 9: Wijzig alle wachtwoorden

Wijzig onmiddellijk de wachtwoorden van:

• Alle WordPress-gebruikers (ook redacteuren en abonnees)
• Je hostingpaneel (cPanel, Plesk)
• FTP/SFTP-toegang
• Je database (en pas wp-config.php aan)
• Je e-mailadressen die gekoppeld zijn aan het domein

Gebruik een wachtwoordmanager (Bitwarden, 1Password) en stel voor elk account een uniek wachtwoord in van minimaal 16 tekens.

Stap 10: Update alles naar de laatste versie

Update WordPress core, alle plugins en je thema naar de nieuwste versie. Verwijder plugins en thema’s die je niet (meer) gebruikt — ook inactieve plugins kunnen kwetsbaarheden bevatten.

Stap 11: Controleer of je domein op een blacklist staat

Een gehackte site belandt snel op blacklists van Google, McAfee of andere organisaties. Controleer dit via:

• Google Search Console → Beveiligingsproblemen
• Sucuri SiteCheck (gratis)
• Google Safe Browsing Statuscheck

Stap 12: Dien een herziening in bij Google

Als je site op een Google-blacklist staat, dien dan via Google Search Console een herziening in. Leg uit welke stappen je hebt gezet en dat de malware volledig verwijderd is. Google behandelt verzoeken doorgaans binnen enkele dagen.

Stap 13: Installeer structurele beveiligingsmaatregelen

Nu de site hersteld is, zorg je dat het niet opnieuw kan gebeuren:

• Installeer een beveiligingsplugin (Wordfence of Sucuri)
• Activeer tweefactorauthenticatie (2FA) voor alle beheerders
• Beperk inlogpogingen (5 pogingen → tijdelijke blokkering)
• Stel automatische dagelijkse malwarescans in
• Activeer een Web Application Firewall (WAF)

📌 Volledig overzicht: WordPress beveiliging: complete gids