WordPress of statische site? Kies WordPress als je team zelf dagelijks publiceert in een CMS, of als je een webshop met veel plugins draait. Kies een statische site voor een zakelijke website die snel is en weinig onderhoud vraagt: er draait geen PHP, database of plugin die je moet patchen.
| Onderwerp | WordPress | Statische site |
|---|---|---|
| Hoe het werkt | Bouwt een pagina op de server, met PHP en een database | De pagina's staan al klaar en worden direct verstuurd |
| Lekken | 11.334 nieuwe lekken in 2025, 91% in plugins ¹ | Geen PHP of plugins op de server, dus een lek als PHP2Shell raakt hem niet ² |
| Tijd tot misbruik | Mediaan 5 uur bij zwaar misbruikte lekken ¹ | Geen eigen servercode om te misbruiken; de hosting moet wel veilig zijn |
| Wat je bijwerkt | WordPress, thema, plugins en PHP | Je inhoud; geen plugins of PHP |
| Zelf publiceren | Het sterke punt: een editor in de browser, met rollen | Met een CMS erachter of via je bouwer; bij Xwise met één WhatsApp |
| Webshop en plugins | Groot aanbod voor webshop, leden en boekingen | Beperkt; je koppelt diensten van buiten |
| Snelheid | Hangt af van hosting, thema, plugins en caching | Geen database per bezoek. XINNO: 90 mobiel, 98 desktop ³ |
¹ Patchstack, State of WordPress Security 2026
² php.net, beveiligingsbericht over PHP2Shell, 21-10-2026
³ Google Lighthouse, XINNO, gemeten, 17-08-2026
11.334
nieuwe lekken in WordPress in 2025, 42% meer dan in 2024.
Bron: Patchstack, State of WordPress Security 2026
91%
van die lekken zat in plugins, niet in WordPress zelf.
Bron: Patchstack, State of WordPress Security 2026
5 uur
mediaan tussen publicatie en eerste misbruik, bij zwaar misbruikte lekken.
Bron: Patchstack, State of WordPress Security 2026
Het meeste risico zit in plugins. In 2025 kwamen er 11.334 nieuwe lekken in WordPress bij, 42% meer dan in 2024. Daarvan zat 91% in plugins.
Bij zwaar misbruikte WordPress-lekken lag de mediaan tussen publicatie en het eerste misbruik op 5 uur. Wie niet snel bijwerkt, loopt dus achter.
Bron: Patchstack, State of WordPress Security 2026
Op 21 oktober 2026 meldde php.net twee kritieke lekken in PHP zelf, de taal waar WordPress op draait. Elke PHP-installatie die webverzoeken afhandelt liep risico, en alleen bijwerken hielp.
Dezelfde dag haalde de overheid uit voorzorg onder meer Overheid.nl, MijnOverheid.nl en DigiD offline. Rijksoverheid.nl draait niet op PHP en had er geen last van.
Bron: php.net, beveiligingsbericht over PHP2Shell, 21-10-2026
Bron: Rijksoverheid, websites preventief offline na kwetsbaarheden in PHP, 21-10-2026
Nee. Er draait geen PHP of database, dus een PHP-lek raakt hem niet. Maar ook een statische site heeft beveiligingskoppen, een veilig formulier en goede hosting nodig.
Die koppen zie je niet op het scherm, wel in een meting op securityheaders.com. De site van XINNO ging bij Xwise van F naar A.
Bron: securityheaders.com, XINNO, gemeten, 17-08-2026
WordPress vraagt updates van de kern, het thema, de plugins en PHP. Bij een bureau kost onderhoud volgens een bureau zelf €50 tot €200 per maand, nog zonder wijzigingen.
Een statische site heeft die updates niet. Wel moet iemand je inhoud wijzigen. Bij Xwise zit dat in de €100 per maand: je stuurt een WhatsApp en de wijziging staat binnen 24 uur live.
Bron: Searchlab, wat kost een website in 2026, een indicatie van een bureau zelf
Niets om te patchen.
Xwise bouwt op Cloudflare, zonder WordPress, PHP, database of plugins. Koen draait na elke wijziging 15 controles op je live site.
Koen ControleAI agent
Niet vanzelf, maar het vraagt snel bijwerken. In 2025 kwamen er 11.334 nieuwe lekken in WordPress bij, waarvan 91% in plugins. Bij zwaar misbruikte lekken lag de mediaan tussen publicatie en het eerste misbruik op 5 uur. Bron: Patchstack, 2026.
Een site waarvan de pagina's al klaarstaan als bestanden. De server bouwt per bezoek niets op, dus er draait geen PHP en geen database die je moet bijwerken.
Nee. PHP2Shell zat in PHP zelf en raakte installaties die met PHP webverzoeken afhandelen. Een statische site zonder PHP op de server heeft daar geen last van. Bron: php.net, 21-10-2026.
Als je team zelf dagelijks publiceert in een CMS met eigen rollen, of als je een webshop, ledenomgeving of boekingen op plugins laat draaien. Zorg dan dat iemand elke week de updates bijhoudt.
Dat hangt af van hoe hij gebouwd is: met een CMS erachter kan het in de browser, anders via je bouwer. Bij Xwise stuur je een WhatsApp met je wijziging, en staat die binnen 24 uur live.
Er wordt per bezoek geen database gevraagd, en dat scheelt. Gemeten: de site van XINNO scoort 90 op mobiel en 98 op desktop in Google Lighthouse (17-08-2026).
Stuur je website-adres. Je krijgt je eigen nieuwe homepage te zien, op jouw teksten en in jouw merk. Vind je hem goed, dan betaal je €1.250 en staat je site binnen 48 uur live.
