# WordPress- of PHP-site beveiligen: 10 dingen om op te letten | Fokuus [Home](https://fokuus.be/) [Blog](https://fokuus.be/blog/) WordPress- of PHP-site beveiligen: 10 dingen om op te letten # WordPress- of PHP-site beveiligen: 10 dingen om op te letten WordPress- of PHP-site beveiligen: tien punten, van een ondersteunde PHP-versie tot een noodplan, en bij elk punt wie het doet: jij, je webbouwer of je host. [Anton Pycarelle](https://fokuus.be/about/) 22 oktober 20267 min leestijd ## In dit artikel - [Eerst de afspraak](https://fokuus.be/#eerst-de-afspraak) - [Wat je webbouwer doet](https://fokuus.be/#wat-je-webbouwer-doet) - [Wat je host doet](https://fokuus.be/#wat-je-host-doet) - [Wat bij jou ligt](https://fokuus.be/#wat-bij-jou-ligt) - [Heb je maar een uur?](https://fokuus.be/#heb-je-maar-een-uur) Wie drukt bij jou op de updateknop als er morgen een lek opduikt in PHP, WordPress of een van je plugins? Het antwoord verschilt per laag, en daarom ordent deze lijst tien punten naar wie ze doet: je webbouwer, je host of jij. Los van het lek van oktober 2026: [wat er toen gebeurde](https://fokuus.be/blog/php2shell-php-lek/) en [hoe je nagaat of jouw site geraakt is](https://fokuus.be/blog/website-getroffen-php-lek/) staan in aparte stukken. Hier gaat het over wat je blijvend regelt. Wie wat doet, verschilt per contract. Daarom staat punt 1 bovenaan. Bij een statische site, zonder PHP op de server, vallen punten 2, 3, 4 en 6 grotendeels weg. Voor welke sites dat de betere keuze is, legde ik uit in [hoeveel onderhoud je website echt nodig heeft](https://fokuus.be/blog/website-onderhoud-hoeveel-nodig/) . ## Eerst de afspraak ### 1. Wie drukt op de updateknop? Een WordPress-site heeft drie lagen die updates krijgen: PHP op de server, de WordPress-kern, en de plugins en thema's. Bij gewone gedeelde hosting installeert de host de PHP-patches, maar je plugins werkt hij meestal niet bij. Stuur daarom één mail naar je webbouwer en je host: Wie installeert de updates van PHP, WordPress en de plugins op onze site? Hoe snel gebeurt dat bij een kritiek lek? En hoe kan ik zien dat het gebeurd is? Bij de sites die wij onderhouden, beantwoordt onze tijdsregistratie die laatste vraag voor het werk dat wij doen: de klant kan erin zien welk werk er gebeurde en hoeveel tijd het vroeg ([hosting en onderhoud](https://fokuus.be/hosting-onderhoud/) ). ## Wat je webbouwer doet ### 2. Een PHP-versie die nog beveiligingsupdates krijgt Elke PHP-versie krijgt twee jaar volledige ondersteuning en daarna twee jaar alleen kritieke beveiligingsupdates ([php.net](https://www.php.net/supported-versions.php) , geraadpleegd op 22 oktober 2026): PHP-versie Beveiligingsupdates tot 8.5 31 december 2029 8.4 31 december 2028 8.3 31 december 2027 8.2 31 december 2026 8.1 en ouder geen meer Draai je een versie zonder updates, dan hangt elke fix af van je leverancier, je host of Linux-distributie; daarnaar verwijst ook [php.net](https://www.php.net/archive/2026.php#2026-10-21-5) . Vraag je host of en wanneer hij bijwerkte, en hoelang hij dat voor jouw versie nog doet. WordPress raadt zelf [PHP 8.3 of hoger](https://wordpress.org/about/requirements/) aan. De patches binnen je versie installeert je host. De overstap naar een nieuwere versie kies je bij gedeelde hosting meestal zelf in het controlepaneel; het testen is werk voor je webbouwer. Een oud thema of een verouderde plugin kan dan stukgaan, dus eerst die bijwerken, dan wisselen, dan je formulieren nalopen. Bij ons loopt zo'n overstap zoals elke aanpassing: werk en prijs vooraf afspreken, uitvoeren, en nakijken of alles werkt zoals afgesproken. ### 3. De WordPress-kern mag zichzelf bijwerken Open Dashboard > Updates in WordPress. Staat daar "... zal geen automatische updates ontvangen voor nieuwe versies van WordPress", vraag dan wie dat werk in de plaats doet. Staat er "... automatisch up-to-date gehouden met ...", dan staan minstens de automatische beveiligingsupdates aan. Automatische updates bestaan sinds WordPress 3.7; sinds 5.6 krijgen nieuwe installaties standaard ook de grote versies. De automatische onderhouds- en beveiligingsupdates uitschakelen kan, maar volgens [de documentatie](https://developer.wordpress.org/advanced-administration/upgrade/upgrading/) raden de ontwikkelaars dat sterk af. ### 4. Plugins bijwerken, en weg met wat je niet gebruikt Over plugins is de [beveiligingsgids van WordPress](https://developer.wordpress.org/advanced-administration/security/hardening/) kort: hou ze bijgewerkt, en een plugin die je niet gebruikt, verwijder je. Alleen uitschakelen volstaat niet, want dan blijft de code op je server staan. Een gratis plugin zoek je op wordpress.org op: bij "Laatst bijgewerkt" zie je wanneer de maker er nog aan werkte, bij "Getest t/m" met welke WordPress-versie. Een plugin die al jaren stilligt, vervang je best. Automatisch bijwerken kan per plugin sinds WordPress 5.5; WordPress doet dat standaard twee keer per dag en mailt wat er bijgewerkt werd ([documentatie](https://wordpress.org/documentation/article/plugins-themes-auto-updates/) ). Mijn raad: kies per plugin bewust, en leg vast wie de andere met de hand bijwerkt. ## Wat je host doet ### 5. Back-ups die al eens teruggezet zijn Stel wie je back-ups maakt drie vragen. Zitten de database én de bestanden erin? Je hebt ze allebei nodig om een WordPress-site volledig terug te zetten. Staan er kopieën op meer dan één plek? De [WordPress-documentatie](https://developer.wordpress.org/advanced-administration/security/backup/) raadt drie tot vijf recente back-ups op verschillende plaatsen aan; een kopie in hetzelfde hostingaccount ligt binnen bereik van wie dat account kraakt. En wanneer werd er voor het laatst een teruggezet? Ook volgens die documentatie controleer je automatische back-ups af en toe met een manuele. ### 6. Een firewall vóór je site, als extra laag Een webapplicatiefirewall houdt verdachte verzoeken naar je site tegen. Ze bestaat als plugin, op de webserver, of als dienst die je via je DNS vóór je hosting zet ([WordPress](https://developer.wordpress.org/advanced-administration/security/hardening/) ). Welke vorm je hebt, maakt verschil. Een firewallplugin die binnen WordPress filtert, draait zelf in PHP en begint pas terwijl WordPress laadt. Bij het PHP-lek van oktober 2026 kon een aanval bij mod_php volgens php.net al starten voor er applicatiecode draaide; daar helpt zo'n plugin niet. Een firewall bij je host of vóór je site kan bekende aanvalspatronen onderscheppen voor ze bij PHP komen, maar vervangt de update niet: volgens php.net is bijwerken de enige veilige keuze. Vraag je host wat er bij jouw pakket al actief is. ## Wat bij jou ligt ### 7. Eén account per persoon, met een tweede slot Vertrekt een medewerker die het wachtwoord van een gedeeld beheerdersaccount kende, dan krijgt iedereen een nieuw wachtwoord. Met een eigen account per persoon verwijder je gewoon dat ene. Geef niemand meer rechten dan nodig, en kies geen "admin" of "webmaster" als gebruikersnaam; ook WordPress raadt dat af. Voor tweestapsverificatie verwijst WordPress naar plugins uit de officiële pluginmap, zoals Two-Factor. Kies als tweede stap een authenticatie-app. Sms is volgens [de WordPress-documentatie](https://developer.wordpress.org/advanced-administration/security/mfa/) geen veilig kanaal, en [Safeonweb@work](https://atwork.safeonweb.be/nl/news/bescherm-accounts-met-multifactorauthenticatie) , van het Centrum voor Cybersecurity België, noemt het de minst veilige optie. ### 8. Domein, DNS en mail op naam van je bedrijf Wie in je mailbox zit, kan van bijna elk ander account het wachtwoord resetten. Wie bij je registrar binnenraakt, kan je domeinnaam naar een andere server laten wijzen, met je mail erbij. Safeonweb@work noemt naast je mail ook het beheer van je DNS en van je hostingprovider als voorbeelden van toegang waarvoor je tweestapsverificatie verplicht maakt. Zet die accounts op naam van je bedrijf, met een e-mailadres dat jij leest. Wie nu de houder van je domeinnaam is, zoek je op zoals in [ons stuk over hosting](https://fokuus.be/blog/wat-is-hosting/) . Voor .be-domeinen bestaat ook Domain Guard: je registrar kan dan niets aan je domeinnaam wijzigen, verhuizen of verwijderen zonder dat DNS Belgium eerst belt naar iemand die jij aanduidde. Niet elke registrar biedt het aan; de prijs vraag je bij hem op ([DNS Belgium](https://www.dnsbelgium.be/nl/beveiligen/domain-guard) ). ### 9. Search Console als alarm Google Search Console is gratis en mailt je als geverifieerde eigenaar wanneer Google vermoedt dat je site gehackt is ([Google](https://support.google.com/webmasters/answer/6347750?hl=nl) ). Voegt iemand zichzelf als eigenaar toe, dan krijgen alle bestaande eigenaren bericht ([Google](https://support.google.com/webmasters/answer/7281924?hl=nl) ). Kijk wel naar welk adres die meldingen gaan: volgens Google wijzigen sommige hackers die instelling om te voorkomen dat je berichten krijgt. Zet er een adres dat jij leest, niet alleen dat van je webbouwer. ### 10. Een noodplan op één blad Bij een hack wil je niet eerst zoeken wie je moet bellen. Zet op één blad, bewaard buiten je site en je mailbox: - je webbouwer en je host, met telefoon- en klantnummer; - waar de logins zitten, liefst in een wachtwoordbeheerder waar ook een collega bij kan; - waar de jongste back-up staat en wie ze terugzet; - wie beslist om de site tijdelijk offline te halen. Voor de sites die wij beheren, ligt vooraf vast via welke kanalen we bereikbaar zijn en welke eventuele afspraken er bij een incident gelden. Vraag dat ook aan wie jouw site beheert. Bewaart je site aanvragen uit je contactformulier en lekken die uit, dan meld je dat zonder onredelijke vertraging en indien mogelijk uiterlijk 72 uur nadat je het ontdekte, via het meldportaal van de [Gegevensbeschermingsautoriteit](https://www.gegevensbeschermingsautoriteit.be/professioneel/acties/gegevensinbreuk) . Dat hoeft niet als het lek waarschijnlijk geen risico inhoudt voor de betrokkenen. ## Heb je maar een uur? Doe dan deze drie, zonder webbouwer. Stuur eerst de mail uit punt 1. Zet daarna tweestapsverificatie op je mailbox, je hostingaccount en je registrar, de mailbox eerst, want daarmee reset je de rest. Kijk tot slot wie er in Search Console als eigenaar staat en naar welk adres de meldingen gaan. De andere zeven plan je met wie op die mail antwoordt. Laat je de tien punten liever door ons nalopen, dan is dat ad-hocwerk aan 80 euro per uur exclusief btw. Websitebeveiliging WordPress Website onderhoud Hosting Delen [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Ffokuus.be%2Fblog%2Fphp-wordpress-site-beveiligen%2F) [WhatsApp](https://wa.me/?text=WordPress-%20of%20PHP-site%20beveiligen%3A%2010%20dingen%20om%20op%20te%20letten%20https%3A%2F%2Ffokuus.be%2Fblog%2Fphp-wordpress-site-beveiligen%2F) [E-mail](mailto:?subject=WordPress-%20of%20PHP-site%20beveiligen%3A%2010%20dingen%20om%20op%20te%20letten&body=https%3A%2F%2Ffokuus.be%2Fblog%2Fphp-wordpress-site-beveiligen%2F) ## Schrijf je in voor nieuws. Nieuwe artikelen en updates van Fokuus in je mailbox. Je kunt je op elk moment uitschrijven. ## Anton Pycarelle Oprichter van Fokuus Anton bouwt en optimaliseert websites voor Belgische kmo’s vanuit Kortrijk. Hij schrijft over keuzes en ervaringen uit echte projecten. [Meer over Fokuus](https://fokuus.be/about/) ## Verder lezen. [Alle artikelen](https://fokuus.be/blog/) Onderhoud & Techniek · 6 min leestijd ### PHP2Shell: wat het PHP-lek betekent voor je website PHP2Shell zijn twee kritieke lekken in PHP, de taal onder WordPress. Wat er uur per uur gebeurde, wie wat zag van misbruik en welke versies de fix bevatten. [Onderhoud & Techniek · 6 min leestijdPHP2Shell: wat het PHP-lek betekent voor je websitePHP2Shell zijn twee kritieke lekken in PHP, de taal onder WordPress. Wat er uur per uur gebeurde, wie wat zag van misbruik en welke versies de fix bevatten.](https://fokuus.be/blog/php2shell-php-lek/) Onderhoud & Techniek · 7 min leestijd ### Is mijn website getroffen door het PHP-lek? Zo check je het Raakt het PHP-lek van oktober 2026 jouw website? In vijf stappen check je of je site op PHP draait, welke versie, of je host al patchte en of er sporen zijn. [Onderhoud & Techniek · 7 min leestijdIs mijn website getroffen door het PHP-lek? Zo check je hetRaakt het PHP-lek van oktober 2026 jouw website? In vijf stappen check je of je site op PHP draait, welke versie, of je host al patchte en of er sporen zijn.](https://fokuus.be/blog/website-getroffen-php-lek/) [Bron](https://fokuus.be/blog/php-wordpress-site-beveiligen/) · [Agentdocumentatie](https://fokuus.be/developers/)