WordPress beveiliging: wat echt helpt.
Goede WordPress beveiliging begint bij je plugins: daar zat 91% van de nieuwe lekken in 2025. Wat het meest helpt: minder plugins, updates binnen uren, tweestapsverificatie en een back-up buiten de server. Een beveiligingsplugin of een verborgen inlogpagina vervangt dat niet.
De cijfers waar het om gaat
Alle cijfers komen uit het State of WordPress Security-rapport van Patchstack. Patchstack verkoopt zelf beveiliging voor WordPress, dus lees ze met dat in je achterhoofd. Dit stuk hoort bij onze pagina over het WordPress-alternatief.
| Cijfer | Wat het betekent |
|---|---|
| 11.334 nieuwe lekken in 2025 | 42% meer dan in 2024 |
| 91% in plugins, 9% in thema's | WordPress zelf had er maar 6, allemaal lage prioriteit |
| 46% zonder patch bij publicatie | Updaten helpt dan nog niet |
| 5 uur | Gewogen mediaan tot het eerste misbruik, bij de zwaarst misbruikte lekken |
| 12% tot 26% tegengehouden | Zoveel aanvallen hield de bescherming van hostingpartijen tegen in de tests van Patchstack |
Wat echt helpt
- Haal plugins weg. Elke plugin die je niet gebruikt, is een lek dat je niet hoeft te bewaken. Ook een uitgeschakelde plugin: verwijder hem.
- Update snel, en automatisch waar het kan. Bij 5 uur tot misbruik is wekelijks onderhoud te laat voor de ernstige gevallen.
- Zet tweestapsverificatie op elk beheerdersaccount. En geef niemand meer rechten dan nodig. De handleiding van WordPress legt de basis uit.
- Bewaar een back-up buiten je server, en zet hem een keer terug. Pas dan weet je dat hij werkt. Zie ook wat er bij website onderhoud hoort.
- Controleer je PHP-versie. PHP2Shell zat in PHP zelf. Bijwerken was de enige echte oplossing.
Wat schijnveiligheid is
Dit is ons oordeel, geen onderzoek. Deze maatregelen zijn niet verkeerd, maar ze geven meer gevoel van veiligheid dan veiligheid.
- De inlogpagina verbergen. Dat scheelt ruis in je logboek, maar de meeste lekken uit de cijfers hierboven zitten in plugins en hebben je inlogpagina niet nodig.
- Alleen een beveiligingsplugin. Dat is een plugin erbij. Hij kan helpen bij het signaleren, maar een lek in een andere plugin is daarmee niet weg.
- Vertrouwen op je hosting of firewall. Hoe nuttig ook: in de tests van Patchstack ging 74% tot 88% van de aanvallen erlangs. Bij WordPress-specifieke lekken was dat het hoogst.
- Een slotje in de browser. HTTPS beschermt het verkeer. Het zegt niets over wat er op je server draait.
Wat je van buitenaf kunt zien
Onze gratis scan kijkt alleen naar wat elke bezoeker ook ziet: beveiligingsheaders, HTTPS en zichtbare PHP-, server- en WordPress-versies. Hij doet geen aanvalstests, dus hij zegt niets over een lek in een plugin. Wel laat hij zien of de basis op orde is.
Dat de basis veel uitmaakt, zagen we bij XINNO: op securityheaders.com ging de score van F naar A met de nieuwe site, gemeten op 17 augustus 2026. Dat gaat over headers, niet over alles. Het is een goede eerste meting, en er staat een onafhankelijke partij achter.
Of je haalt de plugins helemaal weg
De andere weg is de post schrappen. Op een site zonder WordPress, PHP, database of plugins valt er bij zo'n lek niets te patchen. Dat past niet bij elke site: met een webshop of koppelingen blijf je beter waar je zit, zie wanneer overstappen loont. Is het al misgegaan, lees dan WordPress gehackt: wat nu?. Wil je weten hoe verhuizen zonder schade gaat, lees dan website migratie.
Past het wel, dan kun je eerst je eigen homepage aanvragen en pas daarna beslissen.
Alle bronnen. Lees het zelf na.
- Patchstack State of WordPress Security 2026 patchstack.com
- WordPress Hardening WordPress developer.wordpress.org
- php.net beveiligingsbericht over PHP2Shell, 21-10-2026 php.net
- securityheaders.com XINNO, gemeten, 17-08-2026