WordPress onderhoud checklist: updates en beveiliging per week, maand en jaar

Vrijdagmiddag. Er staan elf updates klaar in je WordPress dashboard en je klikt op "alles bijwerken". Meestal gaat dat goed. Tot je maandagochtend ontdekt dat je offerteformulier sinds vrijdag niets meer verstuurt.

Deze WordPress onderhoud checklist is bedoeld om dat te voorkomen. Je leest wat je elke week, elke maand en elk jaar controleert, hoe je WordPress updates uitvoert zonder je site te breken en welke beveiligingsinstellingen je één keer goed zet. Doe het zelf, of leg de lijst naast de offerte van een bureau om te zien wat er wel en niet in zit.

Elke week: kort kijken of alles nog werkt

Vijf tot tien minuten. Geen techniek, alleen controleren.

• Open je homepage en twee belangrijke pagina's, op je telefoon en op je laptop
• Verstuur een testbericht via je contactformulier en kijk of het aankomt
• Kijk in je dashboard welke updates klaarstaan, vooral beveiligingsupdates
• Heb je een webshop, controleer dan of de laatste bestellingen normaal zijn binnengekomen

Het formulier staat er met een reden bij. Een formulier dat stilletjes stopt, zie je niet aan je site. Je ziet het aan een lege inbox, en meestal pas na weken.

Elke maand: WordPress updates en backups

Dit is de kern van WordPress onderhoud. Eén vast moment per maand met controle werkt beter dan dagelijks losse updates waar niemand naar kijkt.

• Werk plugins, thema en WordPress core bij volgens de stappen hieronder
• Controleer of de backups van de afgelopen maand er echt staan, en op een andere plek dan je server
• Verwijder uitgeschakelde plugins en thema's die je niet gebruikt
• Loop de gebruikerslijst na en verwijder accounts van oud personeel of een vorige webbouwer
• Meet de laadtijd van je homepage met PageSpeed Insights en vergelijk met vorige maand
• Kijk in Google Search Console of er nieuwe fouten zijn gemeld

WordPress updates veilig uitvoeren

1. 1Maak een volledige backup van bestanden en database, en controleer of die is afgerond.
2. 2Lees bij grote updates de changelog. Een sprong van versie 4 naar 5 van een plugin vraagt meer aandacht dan een kleine patch.
3. 3Test de updates op een staging omgeving, een kopie van je site. Veel hostingpartijen bieden dat met één klik aan.
4. 4Werk updates één voor één bij in plaats van alles tegelijk. Gaat er iets mis, dan weet je meteen welke update de oorzaak is.
5. 5Loop daarna dezelfde controle door als bij de wekelijkse check: pagina's, formulier en eventueel de webshop.
6. 6Gaat er toch iets mis, zet dan de backup terug of draai alleen die ene plugin terug naar de vorige versie.

Kleine beveiligingsreleases van WordPress zelf worden standaard automatisch geïnstalleerd. Dat kun je zo laten. Automatische updates voor alle plugins zijn een ander verhaal: bij een eenvoudige site met weinig plugins is dat te overzien, bij een webshop wil je dat iemand eerst kijkt.

Elk kwartaal en elk jaar: de dingen die je vergeet

Deze punten gaan zelden mis, en juist daardoor vergeet je ze.

PHP versie. WordPress draait op PHP, en oudere PHP versies krijgen na verloop van tijd geen beveiligingsupdates meer. Kijk in je hostingpaneel welke versie je gebruikt. Overstappen naar een nieuwere versie test je eerst op staging, want oudere plugins kunnen er last van hebben.

Een backup echt terugzetten. Een backup die je nooit hebt teruggezet is een aanname. Zet er één keer per jaar een terug op een testomgeving en kijk of de site volledig werkt.

Toegang. Wie heeft beheerrechten op WordPress, op je hosting, op je domeinnaam en DNS? Gaat er iemand weg, dan haal je die toegang meteen weg. Eén keer per jaar loop je het geheel na.

Domeinnaam en SSL. Controleer wanneer je domeinnaam verlengd wordt en of je SSL certificaat automatisch vernieuwt. Een verlopen certificaat geeft bezoekers een waarschuwing in beeld.

Plugins kritisch bekijken. Is een plugin al lang niet bijgewerkt door de maker, zoek dan een alternatief. Onderhouden software is veiliger dan software waar niemand meer naar kijkt.

Juridische pagina's. Privacyverklaring en cookiemelding nalopen, zeker als je nieuwe tools of formulieren hebt toegevoegd.

WordPress beveiliging: één keer goed instellen

Veel WordPress beveiliging is geen terugkerend werk. Het is een kwestie van een paar instellingen goed zetten en ze laten staan.

• Zet tweestapsverificatie aan voor elke beheerder
• Gebruik geen gebruikersnaam als "admin" en kies per account een sterk, uniek wachtwoord uit een wachtwoordmanager
• Beperk het aantal inlogpogingen
• Gebruik een firewall, via een beveiligingsplugin, je hosting of een dienst als Cloudflare
• Geef iedere gebruiker alleen de rol die nodig is. Een tekstschrijver hoeft geen beheerder te zijn
• Zet het bewerken van thema- en pluginbestanden vanuit het dashboard uit
• Laat je site altijd via HTTPS laden
• Installeer plugins alleen uit de officiële WordPress bibliotheek of van bekende makers, nooit gekraakte betaalde versies

Is je site toch gehackt? In onze kennisbank over onderhoud en hosting lees je wat je als eerste doet.

Zelf bijhouden of uitbesteden?

Met deze lijst kun je het onderhoud prima zelf doen. Reken op een paar minuten per week en ongeveer een uur per maand voor een kleine site, als alles meezit. Het lastige is niet de lijst. Het is volhouden, maand na maand, ook als het druk is.

Wil je weten wat uitbesteden kost? In wat kost WordPress onderhoud per maand zetten we de prijzen en verschillen op een rij. Liever direct van het werk af? Bij ons WordPress onderhoud uitbesteden betekent: updates eerst getest, dagelijkse backups en elke maand een overzicht van wat er is gedaan.