Het scenario komt vaker voor dan u denkt. Een ondernemer laat een website bouwen door een kennis of een goedkoop bureau. Het thema oogt professioneel, de plugins doen wat ze moeten doen. Pas jaren later, als een nieuw bureau de site overneemt, blijkt dat het thema nooit is gekocht. Het komt van een website die premium thema’s “gratis” aanbiedt. En in dat thema zit code die er niet hoort.

Zo’n gekraakte versie heet in het jargon een nulled thema of een nulled plugin: een betaald product waaruit de licentiecontrole is gesloopt, zodat het gratis te gebruiken is. Het lijkt een onschuldige besparing. In de praktijk is het een van de meest betrouwbare manieren om een website in handen van anderen te geven. In dit artikel leggen wij uit hoe dat werkt, hoe u herkent of u er een gebruikt, en wat u dan doet.

Waarom iemand een thema gratis zou weggeven

Begin bij de simpele vraag: wat heeft de aanbieder eraan? Een site die honderden premium thema’s en plugins gratis aanbiedt, heeft bandbreedte, opslag en onderhoud te betalen. Ze doen dat niet uit goedheid. Het verdienmodel is bijna altijd hetzelfde: de bestanden bevatten toegevoegde code die de aanbieder geld oplevert zodra het thema op uw site draait.

Wat die code doet, verschilt per geval. Wij zijn in de praktijk de volgende varianten tegengekomen:

  • Verborgen links. Het thema plaatst links naar goksites, leningen of medicijnen in uw voettekst, onzichtbaar voor bezoekers maar zichtbaar voor Google. Uw site wordt gebruikt om andermans vindbaarheid te kopen, en betaalt daarvoor met zijn eigen reputatie.
  • Een achterdeur. Een klein stukje code dat de aanbieder op elk moment toegang geeft tot uw website, zonder wachtwoord. Die toegang wordt verkocht of gebruikt zodra het uitkomt: voor spam, voor phishingpagina’s of om andere sites aan te vallen.
  • Omleidingen. Bezoekers die via Google of via een telefoon binnenkomen, worden doorgestuurd naar een andere site. U ziet het zelf niet, want u typt het adres rechtstreeks in.
  • Cryptominers en spamscripts. Uw server rekent voor de aanvaller of verstuurt e-mails uit uw naam, tot uw hostingpartij de site afsluit.

Die code is met opzet goed verstopt: gecodeerd, verspreid over meerdere bestanden, en soms pas actief na een paar weken, zodat niemand het in verband brengt met de installatie.

De risico’s van een nulled thema op een rij

Zelfs als u toevallig een schone versie te pakken heeft, wat zeldzaam is, blijven er nadelen die u pas later merkt.

Geen updates. Een gekraakt thema kan zich niet melden bij de maker en ontvangt dus geen updates. Wordt er een kwetsbaarheid gevonden, en dat gebeurt bij vrijwel elk populair thema, dan blijft die bij u open staan. Een thema dat drie jaar niet is bijgewerkt, is op zichzelf al een reden om binnen te komen.

Geen ondersteuning. Bij een conflict met een nieuwe WordPress-versie kunt u nergens terecht. Niemand kan u helpen zonder dat u bekent waar het thema vandaan komt.

Onduidelijke rechten. De code van WordPress-thema’s valt meestal onder een licentie die verspreiding toestaat, waardoor aanbieders beweren dat het “legaal” is. Voor de afbeeldingen, lettertypen en meegeleverde premium plugins geldt dat vaak niet. Het belangrijkste punt is echter niet juridisch: het is dat u niet weet wat u installeert.

Reputatieschade. Zodra Google verborgen links of omleidingen ontdekt, krijgt uw site een waarschuwing in de zoekresultaten of in de browser. Die waarschuwing verdwijnt pas na een schoonmaak en een herbeoordeling, en dat kost weken.

Hoe u herkent of u er een gebruikt

U hoeft geen code te kunnen lezen om verdachte signalen te zien. Loop dit lijstje na:

  1. Ga in het beheer naar Weergave en dan Thema’s. Staat er bij uw thema een melding dat een licentie geactiveerd moet worden, of ontbreekt elke mogelijkheid tot activeren terwijl het een betaald thema is? Vraag dan aan uw bouwer waar de licentie is gekocht en op welk account.
  2. Controleer of het thema ooit een update heeft gehad. Blijft de versie al jaren gelijk terwijl de maker regelmatig nieuwe versies uitbrengt, dan is dat verdacht.
  3. Zoek de naam van uw site op in Google met de opdracht site:uwdomein.nl en bekijk of er pagina’s of teksten tussen staan die u niet kent.
  4. Bekijk uw site op een telefoon via een Google-zoekopdracht in plaats van door het adres in te typen. Wordt u omgeleid, dan is er iets mis.
  5. Laat een malwarescan draaien. Die vindt niet alles, maar de bekende varianten van toegevoegde code wel.

Wat u doet als het antwoord ja is

Verwijder het thema niet zomaar; dan heeft u geen website meer. De verstandige route is: koop een legitieme licentie bij de maker, download de originele bestanden en vervang het thema daarmee. Uw instellingen en aanpassingen blijven in de meeste gevallen bewaard, omdat die in de database staan, al kan een child-thema met eigen wijzigingen aandacht vragen.

Vervangen is echter niet genoeg als de achterdeur al is gebruikt. Toegevoegde code nestelt zich vaak ook elders: in de uploads-map, in een andere plugin, in de database. Daarom hoort bij het vervangen altijd een volledige controle van de installatie, en anders komt het probleem terug. Hoe zo’n verborgen toegang werkt en waarom een “schone” site toch opnieuw wordt gehackt, leest u in ons artikel over backdoors in WordPress.

Is de site al zichtbaar besmet, met omleidingen of een waarschuwing van Google, dan is een hackherstel nodig. Dat kunt u laten doen door een gespecialiseerde partij; WebMaintor biedt dit aan als onderdeel van professionele websitebeveiliging, met een verzoek tot herbeoordeling bij Google als het nodig is. Welke partij u ook kiest: vraag om een rapport van wat er is gevonden en waar, zodat u weet wat er is gebeurd.

Conclusie

Een premium thema kost meestal tussen de veertig en tachtig euro, eenmalig of per jaar. Een hackherstel kost een veelvoud daarvan, nog los van de omzet die u misloopt terwijl Google uw site als gevaarlijk bestempelt. Gebruik alleen thema’s en plugins uit de officiële WordPress-bibliotheek of rechtstreeks van de maker, houd de licenties bij, en vraag bij een overname van een site altijd waar de betaalde onderdelen vandaan komen. Hoe u die licenties overzichtelijk beheert, staat in ons artikel over licenties van premium plugins en thema's.