WordPress beveiligen: de complete gids tegen hackers

WordPress is verreweg het populairste systeem ter wereld; meer dan 43% van alle websites draait erop. Dat is geweldig voor het gebruiksgemak, maar het heeft een keerzijde: het is het favoriete doelwit van hackers.

Veel ondernemers denken: “Waarom zouden ze mij hacken? Ik ben maar een kleine bakker/coach/adviseur.”

Fout. Hackers zijn zelden mensen die specifiek op jou mikken. Het zijn geautomatiseerde bots die 24/7 het internet afspeuren naar open deuren. Heb jij een verouderde plugin? Dan stappen ze naar binnen. In deze gids leg ik je uit hoe je je WordPress kunt beveiligen en die deur dichtgooit.

De Basis: Sluit de ramen en deuren

Voordat we technische trucjes gaan uithalen, moeten de basics kloppen. Hier gaan de meeste hacks (meer dan 70%) al mis.

1. Updates, Updates, Updates

Ik kan het niet vaak genoeg zeggen: verouderde software is doodsoorzaak nummer 1.
Ontwikkelaars brengen updates uit om beveiligingslekken te dichten. Als jij die update niet installeert, weten hackers precies waar het lek zit. Zorg dat WordPress, je thema én al je plugins altijd up-to-date zijn. (Lees hier meer over automatische updates).

2. Gebruik NOOIT ‘admin’

Is jouw inlognaam ‘admin’? Maak dan nu direct een nieuwe gebruiker aan met beheerdersrechten en verwijder het oude ‘admin’ account.
Waarom? Bots proberen bij elke site in te loggen met de naam ‘admin’. Als jij die gebruikt, heb je ze al 50% van de inloggegevens cadeau gegeven.

3. Sterke wachtwoorden

Nee, Welkom123! of Bedrijfsnaam2025 zijn geen sterke wachtwoorden. Gebruik een lange zin of een willekeurige reeks tekens. Gebruik een Password Manager (zoals 1Password) zodat je ze niet hoeft te onthouden.

Het slot verzwaren: Login Beveiliging

Hackers proberen vaak ‘Brute Force’ aanvallen: ze proberen duizenden wachtwoorden per minuut. Zo stop je dat:

4. Beperk inlogpogingen

Installeer een plugin zoals Limit Login Attempts Reloaded (of gebruik Wordfence). Hiermee zeg je: “Na 3 foute pogingen wordt je IP-adres voor 24 uur geblokkeerd.” Dit maakt Brute Force aanvallen zinloos.

5. Twee-Factor Authenticatie (2FA)

Dit is de heilige graal van beveiliging. Zelfs als een hacker je wachtwoord raadt, komen ze niet binnen zonder de code op jouw telefoon.
Installeer een plugin zoals Wordfence of WP 2FA en koppel deze aan de Google Authenticator app op je mobiel.

De Bewaker: Beveiligingsplugins

Je hebt een digitale waakhond nodig die 24/7 oplet.

6. Installeer Wordfence Security

Dit is mijn favoriete beveiligingsplugin.
De Firewall: Blokkeert kwaadaardig verkeer voordat het je site raakt.
De Scanner: Checkt je bestanden op wijzigingen of malware.
De gratis versie is voor de meeste sites uitstekend. Zorg wel dat je hem goed configureert (zet de firewall in ‘Enabled and Protecting’ modus).

Server & Hosting

Je kunt je WordPress dichttimmeren, maar als de server lek is, ben je alsnog de pineut.

7. Kies goede hosting

Bij shared budget-hosting (€2/mnd) zit je met duizenden op een server. Als de buurman gehackt wordt, loopt jouw site ook risico (‘cross-contamination’). Kies voor Managed WordPress Hosting waarbij jouw site in een geïsoleerde container (kooi) zit.

8. SSL-Certificaat

Zorg dat het slotje in de adresbalk groen is (HTTPS). Dit versleutelt de verbinding tussen jouw computer en de server, zodat wachtwoorden niet onderschept kunnen worden.

9. Verberg je bestanden

Voeg de volgende regels toe aan je .htaccess bestand om te voorkomen dat mensen door je mappenstructuur kunnen bladeren:

Options -Indexes

Het Vangnet: Back-ups

Stel, ondanks alles, gaat het toch mis. Of je klikt zelf per ongeluk op ‘Delete’.
Dan is een recente back-up je enige redding. Zorg dat je back-ups maakt op een externe locatie (cloud), en niet alleen op de server zelf. Als de server crasht, ben je anders alsnog alles kwijt.

Te veel gedoe?

Beveiliging is geen eenmalige actie, het is continu onderhoud. Heb je geen zin om firewalls te configureren en logs te checken?

In mijn Website Onderhoudspakketten neem ik de volledige beveiliging uit handen. Ik update, monitor en bescherm je site proactief. En mocht er ooit iets gebeuren, dan fix ik het kosteloos. Dat slaapt wel zo lekker.