Websiteonderhoud voor WordPress dat u nooit meer wakker houdt

Een WordPress-website bestaat uit drie lagen die los van elkaar worden ontwikkeld: de WordPress-kern, het thema en de plugins. Elk van die lagen krijgt met regelmaat nieuwe versies. Soms gaat het om nieuwe functies, maar in de meeste gevallen gaat het om het dichten van beveiligingslekken en het oplossen van fouten. Wie updates uitstelt, laat die lekken openstaan. Dat is precies de reden dat verreweg de meeste gehackte WordPress-sites niet slachtoffer zijn van een geraffineerde aanval, maar van een bekende kwetsbaarheid in een verouderde plugin die al maanden geleden gerepareerd was.

Het misverstand dat wij het vaakst horen: "Mijn site werkt toch gewoon, waarom zou ik iets veranderen?" Dat klopt, totdat het niet meer klopt. Een verouderde plugin blijft werken tot een aanvaller de kwetsbaarheid vindt, of tot uw hostingpartij de PHP-versie verhoogt en de oude code niet meer draait. Beide momenten kiest u niet zelf. Met tijdig onderhoud kiest u wél het moment, en doet u het onder gecontroleerde omstandigheden met een back-up achter de hand.

Updates zijn tegelijk ook het grootste risico van onderhoud. Een nieuwe versie van een plugin kan conflicteren met uw thema of met een andere plugin. Daarom is "alles automatisch updaten" geen onderhoud, maar een gok. Goed onderhoud betekent: eerst een back-up maken, dan updaten, dan controleren of de belangrijkste pagina's en formulieren nog werken, en bij een probleem direct terugzetten. Die volgorde houden wij bij iedere wijziging aan.

Ter illustratie: een administratiekantoor uit Zwolle draaide een formulierenplugin die twee jaar niet was bijgewerkt. De plugin bevatte een bekend lek waarmee bestanden geüpload konden worden. Toen het kantoor bij ons kwam, stond er al een verborgen script in de uploads-map dat spam verstuurde via hun mailserver. De reparatie kostte meer dan een jaar onderhoud had gekost. Dat is het patroon dat wij met structureel websiteonderhoud willen voorkomen: kleine, regelmatige stappen in plaats van één groot herstel.

Belangrijk om te weten: onderhoud is geen garantie dat er nooit iets misgaat. Wel verkleint het de kans op incidenten aanzienlijk en, minstens zo belangrijk, het zorgt dat u snel en zonder dataverlies kunt herstellen als er toch iets gebeurt.

Veel ondernemers vragen zich af wat zij eigenlijk krijgen voor een maandelijks bedrag. Terecht. Hieronder staat wat er in een gemiddelde maand met uw website gebeurt, in de volgorde waarin wij het uitvoeren.

1. Volledige back-up van bestanden en database, opgeslagen op een versleutelde locatie binnen de EU. Dit is het startpunt van elke onderhoudsronde, zodat er altijd een schone versie is om naar terug te keren.
2. Controle van de updatelijst. Wij bekijken welke versies beschikbaar zijn en lezen de wijzigingsnotities. Een kleine beveiligingsupdate voeren we direct uit; een grote versiesprong van een belangrijke plugin plannen we bewuster in en testen we bij het Groei-abonnement eerst op een stagingomgeving.
3. Updates uitvoeren van de WordPress-kern, het thema en de plugins, in een logische volgorde. Na elke groep updates laden wij de homepage, een contentpagina en het contactformulier om te zien of alles nog reageert zoals verwacht.
4. Beveiligingscontrole. Een malwarescan van de bestanden, controle van de firewallregels, overzicht van mislukte inlogpogingen en een check of er geen onbekende beheerdersaccounts zijn bijgekomen.
5. Opschonen. Ongebruikte plugins en thema's verwijderen, spamreacties en revisies opruimen, en de database optimaliseren. Dit houdt de site licht en verkleint het aanvalsoppervlak.
6. Controle van de basisgezondheid. SSL-certificaat geldig, PHP-versie actueel, geen foutmeldingen in het logbestand, geen kapotte pagina's die een 404 geven.
7. Rapport in gewoon Nederlands, met wat er is bijgewerkt, wat de scans hebben opgeleverd en wat wij adviseren voor de komende periode.

Bij het Basis-abonnement gebeurt dit één keer per maand; bij Zakelijk en Groei komen daar wekelijkse of dagelijkse back-ups bij, en worden beveiligingsupdates tussentijds uitgevoerd zodra ze verschijnen. Voor webshops geldt bovendien dat wij updates van WooCommerce en betaalplugins nooit zonder test doorvoeren.

Wat u daarvan merkt: meestal niets, en dat is de bedoeling. Omdat ons technische team vanuit India werkt, wordt het meeste werk uitgevoerd terwijl het in Nederland nacht is. Als u 's ochtends inlogt, staat de site bijgewerkt klaar en ligt het verslag in uw mailbox.

Een back-up is pas een back-up als u er ook iets mee kunt terugzetten. Dat klinkt vanzelfsprekend, maar in de praktijk zien wij vaak "back-ups" die alleen bestaan uit een zipbestand op dezelfde server als de website. Gaat die server stuk of wordt hij gehackt, dan is de back-up net zo verloren als de site zelf. Daarom hanteren wij de 3-2-1-regel die in de IT-wereld al decennia de norm is.

• Drie kopieën van uw gegevens: de live website en minstens twee back-ups.
• Twee verschillende opslagmedia of omgevingen, zodat één technisch defect nooit alles raakt.
• Eén kopie op een andere locatie, los van uw hostingpartij. Bij ons staat die kopie versleuteld bij een opslagdienst binnen de EU.

Die EU-opslag is geen detail. Uw database bevat persoonsgegevens: namen en e-mailadressen van klanten die een formulier invulden, bestellingen, reacties, accounts. De AVG stelt eisen aan waar die gegevens worden opgeslagen en wie erbij kan. Door back-ups versleuteld binnen de EU te bewaren, blijft u aan de veilige kant, en dat leggen wij ook vast in de verwerkersovereenkomst.

Hoe vaak een back-up nodig is, hangt af van hoe vaak uw site verandert. Een informatieve website die drie keer per jaar een tekst aanpast, is met een maandelijkse back-up goed bediend. Een webshop waar dagelijks bestellingen binnenkomen, verliest bij een maandelijkse back-up potentieel weken aan orderhistorie. Daarom zit in het Groei-abonnement een dagelijkse back-up en in Zakelijk een wekelijkse. Los daarvan maken wij vóór elke wijziging die wij zelf uitvoeren altijd een extra kopie.

Het onderdeel dat het vaakst wordt overgeslagen, is de hersteltest. Minimaal eens per kwartaal zetten wij een back-up terug op een testomgeving en controleren of de site daar volledig werkt: pagina's, afbeeldingen, formulieren, inloggen. Pas dan weten wij zeker dat het proces in een noodgeval ook echt werkt. Een back-up die nooit is getest, is een aanname. Wat u zelf kunt controleren: vraag uw huidige beheerder wanneer voor het laatst een herstel is geoefend. Als het antwoord uitblijft, weet u genoeg.

Een website die offline is, meldt dat niet uit zichzelf. Meestal hoort de eigenaar het van een klant die belt: "Uw site doet het niet." Tegen die tijd is de storing vaak al uren bezig. Monitoring lost dat op door de site permanent in de gaten te houden en bij afwijkingen direct een melding te sturen.

Wij controleren een aantal dingen tegelijk. Ten eerste bereikbaarheid: elke paar minuten wordt de homepage opgevraagd vanaf meerdere locaties. Reageert de site niet of geeft de server een foutcode, dan gaat er een melding naar ons team. Ten tweede inhoud: wij controleren niet alleen óf de pagina laadt, maar ook of er een specifiek stukje tekst op staat. Een pagina die technisch antwoord geeft maar leeg is of een foutmelding toont, valt daardoor ook op. Ten derde het SSL-certificaat: verloopt het binnen twee weken, dan weten wij het vóór de browser uw bezoekers een waarschuwing laat zien.

Daarnaast houden wij de laadtijd bij. Niet om elke seconde te rapporteren, maar omdat een plotselinge vertraging vaak het eerste teken is dat er iets mis is: een plugin die vastloopt, een database die volloopt met spam, of een aanval die de server belast. Een vertraging die aanhoudt, onderzoeken wij voordat het een storing wordt.

Een praktijkvoorbeeld: een fysiotherapiepraktijk in Breda kreeg op een zaterdagochtend een storing doordat de hostingpartij een serverupdate uitvoerde die een oude plugin niet aankon. Onze monitoring gaf om 06:40 een melding. Voordat de praktijk maandag openging, was de plugin bijgewerkt en de site weer online. Zonder monitoring was de storing het hele weekend blijven bestaan, precies in de periode waarin de meeste mensen een afspraak zoeken.

Wat monitoring niet doet: het maakt uw site niet sneller of veiliger. Het is een rookmelder, geen brandblusser. De waarde zit in de combinatie met de rest van het onderhoud: een melding is alleen nuttig als er iemand is die erop reageert en weet wat te doen.

WordPress is geschreven in PHP, en PHP heeft net als WordPress een levenscyclus. Elke versie krijgt ongeveer twee jaar actieve ondersteuning en daarna nog een jaar beveiligingsupdates. Daarna is een versie "end of life": bekende lekken worden niet meer gedicht. Een verrassend groot deel van de Nederlandse WordPress-sites draait nog op een PHP-versie die al jaren geen updates meer krijgt, simpelweg omdat niemand ernaar heeft gekeken.

Een moderne PHP-versie is niet alleen veiliger, maar ook aanmerkelijk sneller. Het verschil tussen PHP 7.4 en PHP 8.3 is in de praktijk goed merkbaar in laadtijd, zonder dat er iets aan de site zelf verandert. Toch is de overstap niet altijd triviaal. Oudere plugins en thema's gebruiken soms code die in nieuwere PHP-versies niet meer werkt. Wie in het hostingpaneel gewoon op "PHP 8.3" klikt, kan een wit scherm krijgen.

Daarom pakken wij een PHP-upgrade stapsgewijs aan:

1. Wij inventariseren welke plugins en thema's de nieuwe versie officieel ondersteunen en welke niet.
2. Waar mogelijk testen wij de site eerst op een stagingomgeving met de nieuwe PHP-versie.
3. Verouderde plugins zonder ondersteuning vervangen wij in overleg met u door een onderhouden alternatief.
4. Pas daarna schakelen wij de live site over, met een back-up klaar om terug te zetten.

Over hosting zelf: wij verkopen geen hosting en hebben daar ook geen belang bij. Wel beoordelen wij bij de start of uw huidige hostingpakket geschikt is. Een goedkoop gedeeld pakket met een geheugenlimiet van 64 MB is voor een eenvoudige site prima, maar voor een webshop met veel plugins te krap. Wanneer een verhuizing echt beter is, zeggen wij dat eerlijk en kunnen wij die tegen een vast tarief uitvoeren. Wat u zelf kunt controleren: log in bij WordPress, ga naar Hulpmiddelen en dan Sitediagnose. Daar staat welke PHP-versie u gebruikt en of WordPress een waarschuwing geeft.

Onderhoud zelf doen kan. WordPress is er juist op gebouwd dat de eigenaar zelf op "Bijwerken" kan klikken. De vraag is niet of u het kunt, maar wat het u werkelijk kost en wat er gebeurt als het misgaat. Laten wij dat nuchter uitrekenen voor een gemiddelde zakelijke website met een thema en vijftien tot twintig plugins.

• Back-up maken en controleren: 15 minuten per keer, als de back-upplugin goed is ingericht.
• Updates lezen en uitvoeren: 20 tot 30 minuten per maand, inclusief het nalopen van de belangrijkste pagina's.
• Beveiligingscontrole en opschonen: 15 minuten per maand, mits u weet waarnaar u kijkt.
• Uptime en certificaat in de gaten houden: lastig te kwantificeren, want het gaat om beschikbaarheid, niet om uren.
• Bijblijven in kennis: een paar uur per kwartaal om te weten welke plugins problemen geven en welke PHP-wijzigingen eraan komen.

Alles bij elkaar komt u op ongeveer anderhalf tot twee uur per maand als alles goed gaat. Tegen een ondernemersuurtarief van € 60 tot € 100 is dat al meer dan de kosten van het Basis-abonnement, en dan heeft u de tijd nog niet meegerekend die u kwijt bent als een update de site breekt. Precies dat laatste is het echte verschil. Een pluginconflict oplossen kost iemand die het dagelijks doet twintig minuten; iemand die het één keer per jaar meemaakt is er een avond mee bezig, en weet aan het eind niet zeker of het echt is opgelost.

Er zijn situaties waarin zelf doen verstandig is: een eenvoudige site met vier plugins, een eigenaar met technische affiniteit en de discipline om het maandelijks te doen. Wees daar eerlijk over. In onze ervaring begint zelfonderhoud vrijwel altijd met goede bedoelingen en eindigt het na een paar drukke maanden in een beheerdersdashboard met dertig achterstallige updates.

Uitbesteden heeft ook een nadeel dat wij niet willen verzwijgen: u bent afhankelijk van een externe partij. Daarom werken wij zonder langlopende contracten, met een opzegtermijn van zeven dagen en zonder opstartkosten. Als u ontevreden bent, stapt u over zonder gedoe. Bekijk de tarieven om de vergelijking voor uw eigen situatie te maken.

De meeste problemen die wij bij nieuwe klanten aantreffen, zijn geen exotische storingen maar het gevolg van een handvol terugkerende fouten. Als u deze herkent, weet u meteen waar de risico's van uw eigen site zitten.

Automatische updates aanzetten zonder controle. WordPress kan plugins zelf bijwerken. Klinkt handig, maar het betekent dat een update op willekeurig moment kan plaatsvinden, zonder back-up vooraf en zonder dat iemand controleert of de site nog werkt. Wij zien regelmatig sites die op een dinsdagnacht kapot zijn gegaan door een automatische update die niemand had opgemerkt.

Plugins verzamelen in plaats van beheren. Elke plugin is een stukje externe code dat onderhouden moet worden. Een site met veertig plugins waarvan er twaalf niet meer actief zijn, heeft twaalf extra ingangen die niemand bewaakt. Gedeactiveerde plugins kunnen nog steeds worden misbruikt als de bestanden op de server staan.

Het beheerdersaccount "admin" met een simpel wachtwoord. Nog steeds een van de meest voorkomende manieren waarop sites worden overgenomen. Geautomatiseerde scripts proberen dagelijks duizenden combinaties. Een uniek beheerdersaccount, een sterk wachtwoord en een beperking op het aantal inlogpogingen lossen dit vrijwel volledig op.

Alle back-ups op dezelfde server bewaren. Hierboven al besproken, maar het blijft de meest gemaakte fout. Als de server uitvalt of gehackt wordt, is de back-up ook weg.

Een thema of plugin aanpassen in de originele bestanden. Een ontwikkelaar heeft ooit iets rechtstreeks in het thema aangepast. Bij de volgende update is die aanpassing verdwenen, en niemand weet nog wat het was. Aanpassingen horen in een child-thema of in een aparte plugin, zodat ze updates overleven.

Niemand is verantwoordelijk. De site is gebouwd door een bureau dat inmiddels iets anders doet, de hosting staat op naam van een oud-medewerker en het domein verloopt over drie weken zonder dat iemand de herinneringsmail leest. Onderhoud begint met het ordenen van die basis: wie heeft toegang, waar staat wat, en wie grijpt in als er iets gebeurt. Een vrijblijvende websitecheck brengt de meeste van deze punten in één keer aan het licht.

Veel klanten komen bij ons met een site die twee, drie of soms vijf jaar geen aandacht heeft gehad. Dat is geen schande; het is hoe het meestal gaat. Wat wel belangrijk is, is dat zo'n site niet in één keer "even bijgewerkt" kan worden. Twintig updates tegelijk uitvoeren op een site die jaren stilstond, is vragen om problemen. Hieronder beschrijven wij hoe zo'n overname in de praktijk verloopt, aan de hand van een recente casus.

Een installatiebedrijf uit Apeldoorn nam contact op nadat hun site steeds trager werd. De site was in 2019 gebouwd, draaide op PHP 7.2, had 34 plugins waarvan 9 gedeactiveerd, een verlopen premium thema-licentie en geen enkele back-up buiten de server. De laatste update dateerde van anderhalf jaar geleden.

1. Week 1: inventarisatie en veiligstellen. Eerst een volledige back-up naar onze EU-opslag, daarna een malwarescan. Die leverde twee verdachte bestanden op die wij verwijderden. Wij maakten een overzicht van alle plugins met versie, laatste update van de ontwikkelaar en of ze nog gebruikt werden.
2. Week 1: opschonen. De negen inactieve plugins en drie ongebruikte thema's verwijderd. Vier actieve plugins bleken al jaren niet meer onderhouden door hun makers; die vervingen wij in overleg door alternatieven met dezelfde functie.
3. Week 2: gefaseerd bijwerken op staging. Op een kopie van de site voerden wij de updates in groepen uit: eerst de WordPress-kern, dan het thema, dan de plugins in blokken van vijf. Na elk blok controleerden wij de pagina's. Eén plugin voor de offerteaanvraag bleek na update niet meer samen te werken met het thema; daar zochten wij een oplossing voor voordat wij verdergingen.
4. Week 2: PHP-upgrade. Met alle code bijgewerkt kon de site over naar PHP 8.2. De laadtijd van de homepage daalde van 4,1 naar 1,6 seconden zonder verdere optimalisatie.
5. Week 3: live zetten en beveiligen. De geteste wijzigingen naar de live site, firewall en loginbeveiliging ingericht, monitoring aangezet, en de klant kreeg een overzicht van wat er was gebeurd.

Vanaf dat moment viel de site in het reguliere onderhoud. De eerste maand vraagt bij een verwaarloosde site dus meer werk dan de maanden erna. Bij ernstige achterstand rekenen wij daarvoor eenmalig de update- en beveiligingsbeurt; dat zeggen wij vooraf, niet achteraf.

Een maandrapport is voor veel klanten het enige zichtbare bewijs dat er iets gebeurt met hun site. Daarom besteden wij er aandacht aan dat het leesbaar is voor iemand zonder technische achtergrond. Geen dertig pagina's automatisch gegenereerde grafieken, maar een overzicht van één tot twee pagina's in het Nederlands, met een korte toelichting waar dat nodig is.

Wat er standaard in staat:

• Uitgevoerde updates: welke plugins, thema's en kernversies zijn bijgewerkt, van welke naar welke versie.
• Beveiliging: resultaat van de malwarescan, aantal geblokkeerde inlogpogingen en aanvallen die de firewall heeft tegengehouden.
• Beschikbaarheid: uptime-percentage van de afgelopen maand en eventuele storingen met tijdstip en oorzaak.
• Back-ups: wanneer gemaakt, waar opgeslagen en of de laatste hersteltest is geslaagd.
• Prestaties: laadtijd van de homepage en of die is veranderd ten opzichte van vorige maand.
• Adviezen: wat wij aanraden voor de komende periode, bijvoorbeeld een plugin die niet meer wordt onderhouden of een hostingpakket dat te krap wordt.

Wat u ermee kunt, is misschien belangrijker dan wat erin staat. Het rapport is in de eerste plaats een controle-instrument: u ziet dat het werk is gedaan en kunt ons erop aanspreken als iets ontbreekt. Ten tweede is het een basis voor beslissingen. Als drie maanden op rij blijkt dat de firewall honderden aanvallen op de inlogpagina tegenhoudt, is dat een goed moment om tweestapsverificatie in te schakelen. Als de laadtijd langzaam oploopt, kunt u een snelheidsoptimalisatie overwegen voordat het een probleem wordt.

Ten derde is het rapport documentatie. Voor de AVG moet u kunnen aantonen dat u passende maatregelen neemt om persoonsgegevens te beschermen. Een reeks maandrapporten waaruit blijkt dat updates en beveiligingscontroles structureel worden uitgevoerd, is daarvoor een concreet bewijsstuk. Wij bewaren de rapporten zodat u er later op terug kunt vallen. Bij het Groei-abonnement bespreken wij de rapporten bovendien elk kwartaal met u door in een kort gesprek.

Zodra een externe partij toegang heeft tot uw website, heeft die partij ook toegang tot persoonsgegevens: formulierinzendingen, klantaccounts, bestelgegevens, reacties. Onder de AVG bent u als website-eigenaar de verwerkingsverantwoordelijke en zijn wij een verwerker. De wet verplicht in dat geval een verwerkersovereenkomst waarin staat wat wij wel en niet met die gegevens mogen doen.

Wij sluiten die overeenkomst standaard af bij elk abonnement, zonder dat u erom hoeft te vragen. Daarin staat onder meer:

• dat wij persoonsgegevens uitsluitend verwerken voor het uitvoeren van het onderhoud en nooit voor eigen doeleinden;
• welke beveiligingsmaatregelen wij nemen, waaronder versleutelde back-ups binnen de EU en toegang op basis van persoonlijke accounts;
• dat wij u binnen de wettelijke termijn informeren als wij een datalek constateren;
• wat er met de gegevens en back-ups gebeurt als de samenwerking stopt.

Een eerlijk punt dat wij niet onder tafel schuiven: ons technische team werkt vanuit India. Voor de AVG betekent toegang vanuit een land buiten de EU een doorgifte van persoonsgegevens, en daar horen aanvullende waarborgen bij. Wij leggen dat vast met de standaardcontractbepalingen van de Europese Commissie, beperken de toegang tot wat voor het onderhoud nodig is en bewaren de gegevens zelf uitsluitend op EU-servers. Als u hierover vragen heeft, of als uw eigen branche strengere eisen stelt, bijvoorbeeld in de zorg of de advocatuur, dan bespreken wij graag vooraf wat wel en niet mogelijk is.

Wat u zelf kunt controleren bij uw huidige situatie: is er een verwerkersovereenkomst met iedereen die toegang heeft tot uw site, inclusief de hostingpartij en het bureau dat de site heeft gebouwd? Staat in uw privacyverklaring dat u externe partijen inschakelt voor onderhoud? Weet u waar uw back-ups fysiek staan? Bij veel ondernemers is het antwoord op minstens één van die vragen "geen idee", en dat is precies het soort losse eindjes dat bij een datalek tot problemen leidt.

Duidelijkheid over wat een abonnement níét omvat, voorkomt teleurstelling aan beide kanten. Onderhoud gaat over het gezond en veilig houden van een bestaande website. Het gaat niet over het maken van iets nieuws. Concreet valt het volgende buiten het onderhoud:

• Een nieuwe website bouwen. Dat doen wij helemaal niet, ook niet als losse opdracht. Wij zijn een onderhoudsbureau, geen webbureau. Wilt u een nieuwe site, dan verwijzen wij u graag naar een ontwerpbureau en nemen wij daarna het onderhoud over.
• Een redesign of restyling. Een nieuw uiterlijk, nieuwe huisstijl of een andere structuur van de site is ontwerpwerk, geen onderhoud.
• Nieuwe functionaliteit ontwikkelen. Maatwerkkoppelingen, een ledenportaal, een configurator of een eigen plugin schrijven, valt buiten onze dienstverlening.
• Content schrijven en zoekmachineoptimalisatie. Wij zorgen dat de technische basis in orde is, maar schrijven geen teksten en beloven geen posities in Google. Dat laatste kan niemand eerlijk beloven.
• Hosting en domeinregistratie. Wij verkopen geen hosting. Wij adviseren wel over een geschikt pakket en verzorgen desgewenst de verhuizing.

Wat wél binnen het abonnement past, zijn kleine aanpassingen: een tekst wijzigen, een afbeelding vervangen, een nieuwe pagina aanmaken op basis van een bestaande, een formulierveld toevoegen, een medewerker toevoegen aan het team-overzicht. Bij Zakelijk zitten daarvoor twee uur per maand in het abonnement, bij Groei vijf uur. Grotere aanpassingen, zoals een nieuwe sectie op de homepage of een koppeling met uw boekhoudpakket, schatten wij vooraf in en voeren wij uit op basis van een offerte tegen het uurtarief. U weet dus altijd van tevoren waar u aan toe bent.

Het grijze gebied zit bij vragen als "kunnen jullie de site wat moderner maken?" of "de homepage moet anders". Wij beantwoorden zulke vragen eerlijk: als het met een paar aanpassingen binnen het bestaande thema kan, doen wij het. Als het eigenlijk een herontwerp is, zeggen wij dat en helpen wij u bij het vinden van de juiste partij. Voor dagelijkse vragen en kleine wijzigingen is de supportdienst de plek waar u terechtkunt.

Met de onderstaande vragen kunt u in tien minuten zelf beoordelen hoe uw website ervoor staat. U heeft er alleen toegang tot het WordPress-beheer voor nodig. Beantwoord elke vraag eerlijk; het gaat niet om een cijfer, maar om inzicht.

1. Staat er een getal bij "Updates" in het beheermenu? Alles boven de vijf wijst op achterstand. Boven de vijftien is de site al een tijd niet aangeraakt.
2. Welke PHP-versie draait de site? Kijk bij Hulpmiddelen, Sitediagnose. Alles onder PHP 8.1 krijgt geen beveiligingsupdates meer.
3. Wanneer is de laatste back-up gemaakt, en waar staat die? Als u het niet weet, is het antwoord in de praktijk "nergens".
4. Is er ooit een back-up teruggezet als test? Nooit getest betekent: niet zeker of het werkt.
5. Hoeveel plugins zijn er geïnstalleerd, en hoeveel daarvan zijn inactief? Inactieve plugins horen verwijderd te worden.
6. Bestaat er een beheerdersaccount met de gebruikersnaam "admin"? Zo ja, dan is dat de eerste die geprobeerd wordt bij een aanval.
7. Is het aantal inlogpogingen beperkt? Probeer drie keer een verkeerd wachtwoord. Als er niets gebeurt, is er geen beperking.
8. Wordt de site actief bewaakt? Krijgt iemand een melding als de site offline gaat, of hoort u het van klanten?
9. Is er een verwerkersovereenkomst met elke partij die toegang heeft? Bouwer, hoster, onderhoudspartij.
10. Wie heeft toegang tot de site, de hosting en het domein? Zijn oud-medewerkers en oude bureaus verwijderd?
11. Is het SSL-certificaat geldig en wordt het automatisch verlengd? Klik op het slotje in de adresbalk en bekijk de vervaldatum.
12. Weet u wat u moet doen als de site morgen offline is? Wie belt u, en hoe snel kan die persoon ingrijpen?

Scoort u op alle twaalf vragen goed, dan is uw site in uitstekende handen en hoeft u weinig te veranderen. Twijfelt u bij drie of meer vragen, dan is het verstandig om het onderhoud structureel te regelen, of dat nu bij ons is of ergens anders. Wilt u dat wij meekijken, dan doen wij dat kosteloos en zonder verplichtingen. Neem daarvoor contact met ons op; u ontvangt binnen één werkdag een reactie.