Bij bedrijven gaat websitebeheer mis door tijdgebrek. Bij verenigingen gaat het mis door verloop. Website onderhoud voor een vereniging is daarom eerst een organisatievraagstuk en pas daarna een technisch verhaal: wie doet het, wat gebeurt er als die persoon stopt, en waar staan de sleutels?

Wij komen bij clubs en stichtingen structureel hetzelfde patroon tegen. De site is ooit gebouwd door een lid dat er verstand van had. Dat lid is gestopt. Niemand weet het wachtwoord van de hosting, de factuur gaat naar een oud mailadres, en de site draait al drie jaar zonder updates. Dat is te voorkomen, en het kost geen geld.

Het echte risico: de sleutels raken kwijt

Er zijn vijf zaken die op naam van de vereniging horen te staan en niet op naam van een persoon.

  1. De domeinnaam. Dit is de belangrijkste. Staat het domein op naam van een oud-bestuurslid en is dat contact verwaterd, dan kunt u er in de praktijk niets mee als de verlenging misgaat.
  2. Het hostingaccount, met een factuuradres dat blijft bestaan en een betaalwijze die niet aan één privérekening hangt.
  3. Het beheerdersaccount van WordPress, met een wachtwoord dat in de bestuursadministratie staat en niet in iemands hoofd.
  4. De mailadressen op het domein, en dan vooral het adres waarop alle systeemmeldingen binnenkomen.
  5. De licenties van eventuele betaalde thema’s of plugins.

Praktisch: gebruik een gedeelde wachtwoordkluis waar minstens twee bestuursleden toegang toe hebben, en gebruik als hoofdcontact een functieadres zoals penningmeester of secretariaat in plaats van een persoonlijk adres. Meer daarover in het stuk over accounts op naam van de organisatie.

Wie mag wat wijzigen?

Bij een vereniging werken vaak meerdere mensen in de site: iemand voor de wedstrijduitslagen, iemand voor de nieuwsbrief, iemand voor de agenda. Geef die mensen geen beheerdersrechten. WordPress kent lagere rollen waarmee iemand wel berichten kan plaatsen maar geen plugins kan installeren of gebruikers kan wijzigen.

Dat is geen kwestie van wantrouwen. Het beperkt de schade als een van die accounts wordt gekraakt, en het voorkomt dat iemand met goede bedoelingen een plugin installeert die de site sloopt. Loop de gebruikerslijst minstens één keer per jaar na, bij voorkeur direct na de algemene ledenvergadering, en verwijder de accounts van mensen die geen functie meer hebben.

Foto’s van leden, en zeker van jeugd

Verenigingen zetten graag foto’s van activiteiten online. Daar zitten regels aan vast. Voor herkenbare foto’s van personen heeft u toestemming nodig, en bij kinderen onder de zestien is dat toestemming van de ouders. Leg vast hoe u die toestemming vraagt en hoe iemand een foto kan laten verwijderen.

Praktisch werkt het goed om bij inschrijving één keer per seizoen te vragen of iemand bezwaar heeft, en die bezwaren op een lijst te zetten waar de fotobeheerder bij kan. Zet daarnaast een duidelijk adres op de site waar mensen een verzoek kunnen indienen. Wij zijn geen juristen, dus laat de tekst van uw privacyverklaring nakijken als u met ledenadministratie en jeugd werkt.

Technisch punt dat hierbij hoort: verwijder foto’s echt, niet alleen van de pagina. Een afbeelding die uit een bericht is gehaald maar in de mediabibliotheek blijft staan, is nog steeds via een rechtstreeks adres op te vragen.

Het technische minimum

Een verenigingssite hoeft niet ingewikkeld te zijn. Dit is wat er echt moet gebeuren, en meer niet:

  • Updates, maandelijks. WordPress zelf, de plugins en het thema. Zet automatische updates aan voor beveiligingsversies.
  • Back-ups die buiten de server staan, wekelijks, met een keer per jaar een test of terugzetten ook echt lukt.
  • Een beveiligingsplugin met blokkade op herhaalde inlogpogingen, plus tweestapsverificatie voor beheerders.
  • Een geldig beveiligingscertificaat dat automatisch verlengt.
  • Een melding als de site offline gaat, naar een adres dat door twee mensen wordt gelezen.
  • Opruimen wat niet gebruikt wordt. Elke plugin die er staat “omdat het ooit ergens voor was” is een risico.

Dat is bij elkaar ongeveer een uur per maand als iemand het routineus doet. Zonder die routine is het nul uur per maand en een dure verrassing per drie jaar.

Zelf doen of uitbesteden?

Heeft u een vrijwilliger die dit leuk vindt en betrouwbaar is: prima, doen. Zorg dan wel dat het overdrachtsdossier klopt, want juist bij die situatie is de afhankelijkheid van één persoon het grootst. Spreek af dat er twee mensen toegang hebben en dat er een keer per jaar wordt gecontroleerd of de back-up terug te zetten is.

Heeft u die vrijwilliger niet, dan is uitbesteden voor een vereniging vaak goedkoper dan het lijkt. Een eenvoudige site kost tientjes per maand aan beheer, en dat is minder dan één herstelklus na een hack. Bovendien lost het de overdrachtsvraag op: er is altijd een partij die weet hoe het in elkaar zit, ook als het hele bestuur wisselt. Dat is bij WebMaintor de reden dat wij bij clubs een vast maandelijks beheerpakket met rapportage adviseren, met de toegangsgegevens vastgelegd op naam van de vereniging.

Een voorbeeld uit de praktijk

Een muziekvereniging in Overijssel kwam bij ons omdat de site opeens onbereikbaar was. Het domein bleek te zijn verlopen en stond op naam van een oud-secretaris die was verhuisd. De verlengmails gingen naar een adres dat niet meer bestond. Het domein zat in quarantaine en kon nog net worden teruggehaald, tegen een bedrag dat een veelvoud was van de normale verlenging.

Daarna is alles overgezet naar een functieadres van het bestuur, met automatische verlenging en twee bestuursleden in de wachtwoordkluis. Die hele actie kostte een middag. Het was het soort probleem dat volledig te vermijden was.

Concrete volgende stap: vraag op de eerstvolgende bestuursvergadering wie het wachtwoord van de hosting heeft. Kan niemand die vraag beantwoorden, dan weet u wat uw eerste agendapunt is.