Is jouw website goed beveiligd? 10 tips voor jouw bedrijfswebsite

Je bedrijfswebsite is vaak het eerste contactmoment met een potentiële klant. Bezoekers verwachten dat ze veilig kunnen rondkijken, een formulier kunnen invullen of een bestelling kunnen plaatsen. Maar hoe goed is jouw website eigenlijk beveiligd? Een verouderde plugin, een zwak wachtwoord of een fout in de websitecode kan al voldoende zijn om kwaadwillenden toegang te geven. Dat geldt voor websites die met WordPress of Wix zijn gebouwd, maar ook voor maatwerkwebsites en websites die met behulp van AI zijn ontwikkeld. Met deze tien tips verklein je de kans op problemen.

Leestijd: 7 minuten

Waarom websitebeveiliging belangrijk is

Een gehackte website kan verschillende gevolgen hebben. Bezoekers kunnen worden doorgestuurd naar onbetrouwbare websites, klantgegevens kunnen uitlekken of je website kan tijdelijk onbereikbaar worden. Ook kan een aanvaller je website gebruiken om spam te versturen of schadelijke software te verspreiden. Het herstellen van de schade kost tijd en geld en kan het vertrouwen van klanten aantasten.

De beveiliging hangt voor een deel af van de techniek waarmee je website is gebouwd. Bij WordPress ben je bijvoorbeeld zelf verantwoordelijk voor het bijwerken van het systeem, de thema's en de plugins. Bij Wix beheert het platform een groot deel van de technische infrastructuur. Bij een maatwerkwebsite hangt veel af van de kwaliteit van de code, de hosting en het onderhoud.

Geen enkele website is volledig risicovrij. Je kunt het risico wel aanzienlijk verkleinen door beveiligingsmaatregelen te combineren en regelmatig te controleren of alles nog goed werkt.

1. Houd je website, plugins en software up-to-date

Een van de belangrijkste beveiligingsmaatregelen is het installeren van updates. Softwareontwikkelaars brengen regelmatig nieuwe versies uit om fouten te herstellen en beveiligingslekken te dichten. Wanneer je updates te lang uitstelt, kunnen aanvallers misbruik maken van kwetsbaarheden die al bekend zijn.

Gebruik je WordPress? Controleer dan regelmatig of er updates beschikbaar zijn voor WordPress zelf, je thema's en alle geïnstalleerde plugins. Ook plugins die je niet actief gebruikt, kunnen een risico vormen. Verwijder daarom wat je niet nodig hebt in plaats van het alleen uit te schakelen. Installeer plugins en thema's uitsluitend van betrouwbare aanbieders en controleer of ze nog worden onderhouden.

Bij Wix hoef je de onderliggende software en serverinfrastructuur niet zelf bij te werken. Je blijft wel verantwoordelijk voor je accountbeveiliging, de instellingen van je website en eventuele gekoppelde apps of externe diensten.

Heb je een maatwerkwebsite, bijvoorbeeld met PHP? Laat dan ook de gebruikte frameworks, bibliotheken en andere onderdelen controleren en bijwerken. Stel updates niet onbeperkt uit omdat je bang bent dat de website daarna niet meer werkt. Maak eerst een back-up, test belangrijke wijzigingen waar mogelijk op een testomgeving en controleer daarna of de website goed functioneert.

2. Controleer de PHP-versie van je website

PHP is een programmeertaal die veel websites gebruiken. WordPress draait bijvoorbeeld op PHP, net als veel maatwerkwebsites. Net als andere software krijgt PHP nieuwe versies waarin fouten en beveiligingsproblemen worden opgelost. Oude versies verliezen uiteindelijk hun beveiligingsondersteuning.

Controleer daarom welke PHP-versie je hostingprovider gebruikt. Kies een actuele, officieel ondersteunde versie die ook compatibel is met je website, thema's en plugins. Op het moment van schrijven zijn PHP 8.3, 8.4 en 8.5 nog binnen de officiële ondersteuningsperiode. PHP 8.2 ontvangt nog beveiligingsupdates tot en met 31 december 2026. De status kan veranderen, dus controleer de actuele informatie op de officiële PHP-website.

Je kunt de PHP-versie vaak bekijken of aanpassen via het controlepaneel van je hostingprovider. Weet je niet hoe dat moet, vraag dan je webbouwer of hostingpartij om dit voor je te controleren. Laat bij een oudere website eerst nagaan of de code en gebruikte uitbreidingen geschikt zijn voor een nieuwere versie. Een verouderde website zomaar omzetten kan storingen veroorzaken.

Ook wanneer AI de PHP-code van je website heeft geschreven, blijft deze controle noodzakelijk. AI kan verouderde functies of onveilige code voorstellen. Het feit dat de website werkt, betekent niet automatisch dat de techniek veilig is.

3. Gebruik een beveiligingsplugin of firewall

Voor WordPress zijn verschillende beveiligingsplugins beschikbaar. Afhankelijk van de gekozen plugin kunnen deze bijvoorbeeld verdachte inlogpogingen signaleren, malware opsporen, bekende aanvallen blokkeren en bestanden controleren op ongewenste wijzigingen. Sommige oplossingen bieden ook een firewall die schadelijk verkeer probeert tegen te houden.

Kies een betrouwbare plugin die actief wordt onderhouden en geschikt is voor jouw website. Controleer welke functies inbegrepen zijn en welke alleen in een betaalde versie beschikbaar zijn. Installeer niet zomaar meerdere plugins die hetzelfde doen: dat kan conflicten veroorzaken en je website onnodig vertragen.

Een beveiligingsplugin is geen vervanging voor updates, veilige wachtwoorden of goede back-ups. Bovendien kan een plugin niet iedere kwetsbaarheid herkennen. Bij een maatwerkwebsite kun je de hostingprovider vragen naar een web application firewall (WAF) of andere beveiligingsmaatregelen op serverniveau.

Gebruik je Wix, dan hoef je niet zelf een WordPress-beveiligingsplugin te installeren. Wix beheert een groot deel van de beveiligingsinfrastructuur. Controleer wel de beschikbare beveiligingsinstellingen van je account en website en wees kritisch op apps van externe aanbieders.

4. Maak regelmatig back-ups en controleer of je ze kunt terugzetten

Een back-up is een reservekopie van je website. Als je website wordt gehackt, een update misgaat of bestanden per ongeluk verdwijnen, kun je daarmee mogelijk een eerdere versie herstellen. Zonder bruikbare back-up moet je de website soms grotendeels opnieuw opbouwen.

Maak back-ups van zowel de websitebestanden als de database, als je website die gebruikt. Bij WordPress bevat de database bijvoorbeeld berichten, pagina's, instellingen en andere gegevens. Alleen een kopie van de bestanden is daarom niet altijd voldoende.

Hoe vaak je een back-up maakt, hangt af van hoe vaak je website verandert. Voor een website waarop dagelijks bestellingen binnenkomen, is een veel hogere frequentie nodig dan voor een eenvoudige bedrijfswebsite die nauwelijks verandert. Automatische back-ups zijn handig, maar controleer wel of ze daadwerkelijk worden uitgevoerd.

• Bewaar back-ups op een andere locatie dan de website zelf.
• Bewaar meerdere versies, zodat je niet alleen een mogelijk besmette recente kopie hebt.
• Beperk de toegang tot de back-ups en bescherm ze met sterke inloggegevens.
• Test regelmatig of je een back-up daadwerkelijk kunt terugzetten.

Controleer bij Wix welke herstelmogelijkheden voor jouw website beschikbaar zijn en wat deze precies bewaren. Ga er niet automatisch van uit dat de aanbieder alle gegevens onbeperkt voor je kan herstellen. Leg ook vast wie bij een storing verantwoordelijk is voor het herstel.

5. Beveilig je inlogpagina met sterke wachtwoorden en tweestapsverificatie

Een aanvaller hoeft niet altijd een technisch beveiligingslek te vinden. Soms is het voldoende om een wachtwoord te raden of te achterhalen. Vooral accounts met beheerdersrechten zijn aantrekkelijk, omdat daarmee vaak vrijwel de hele website kan worden aangepast.

Gebruik voor ieder belangrijk account een sterk en uniek wachtwoord. Hergebruik dus niet het wachtwoord van je e-mail, webshop of andere online diensten. Een wachtwoordmanager helpt om lange, unieke wachtwoorden te maken en veilig te bewaren.

Schakel daarnaast waar mogelijk tweestapsverificatie in, ook wel multifactorauthenticatie genoemd. Je hebt dan naast je wachtwoord nog een tweede bewijs nodig om in te loggen, bijvoorbeeld via een authenticator-app. Zelfs als iemand je wachtwoord weet, wordt toegang daarmee moeilijker.

Gebruik deze maatregelen voor je WordPress-beheerdersaccounts, Wix-account, hostingaccount, domeinregistratie en andere systemen waarmee je website beheerd kan worden. Bescherm ook het e-mailadres waarmee je wachtwoorden kunt herstellen. Als een aanvaller toegang krijgt tot dat e-mailadres, kan die soms alsnog andere accounts overnemen.

Verander ook de standaardinstellingen waar dat nodig is. Gebruik bijvoorbeeld geen eenvoudig te raden gebruikersnaam zoals 'admin' als beheerdersaccount. Beperk het aantal inlogpogingen als je systeem die mogelijkheid biedt en zorg dat wachtwoordherstel goed is beveiligd.

6. Scherm gevoelige pagina's en websiteonderdelen af

Niet iedere pagina of ieder bestand op je website hoeft voor iedereen toegankelijk te zijn. Denk aan een klantportaal, een personeelsgedeelte, een interne kennisbank of documenten die alleen voor bepaalde klanten bedoeld zijn. Zorg ervoor dat gevoelige informatie niet zomaar via een directe link toegankelijk is.

Een pagina verbergen in het menu is geen beveiliging. Als iemand het juiste webadres kent, kan die de pagina mogelijk alsnog openen. Gebruik daarom echte toegangscontrole, bijvoorbeeld via een account met de juiste rechten, een wachtwoordbeveiliging of een afgeschermde omgeving.

Bij WordPress kun je gebruikmaken van de ingebouwde gebruikersrollen en, waar nodig, een betrouwbare plugin voor leden of afgeschermde content. Controleer daarbij of niet alleen de pagina zelf, maar ook bijbehorende bestanden en downloads beschermd zijn. Bij Wix kun je onder meer werken met ledenpagina's en toegangsrechten, afhankelijk van de inrichting van je website.

Bij maatwerkwebsites moet de toegangscontrole goed in de code en op de server zijn geregeld. Controleer bijvoorbeeld of een bezoeker zonder de juiste rechten niet rechtstreeks bij een bestand, klantrecord of beheerdersfunctie kan komen.

Let ook op testomgevingen, oude websites en reservekopieën. Deze kunnen nog informatie bevatten of kwetsbare software gebruiken. Verwijder ze wanneer je ze niet meer nodig hebt of beveilig ze op dezelfde manier als je livewebsite.

7. Bescherm je website tegen PHP-injectie en andere code-aanvallen

Bij een maatwerkwebsite of een website die PHP gebruikt, verdient de kwaliteit van de code extra aandacht. Een veelvoorkomend risico is dat een website invoer van bezoekers onveilig verwerkt. Denk aan zoekvelden, contactformulieren, inlogschermen of velden waarin iemand gegevens kan invullen.

Kwaadwillenden kunnen proberen om via zulke invoervelden opdrachten of code mee te sturen die de website verkeerd verwerkt. Afhankelijk van de kwetsbaarheid kan dat leiden tot toegang tot gegevens, ongewenste wijzigingen of zelfs het uitvoeren van schadelijke opdrachten. Bij databaseaanvallen wordt bijvoorbeeld geprobeerd om via ingevoerde tekst een SQL-opdracht te beïnvloeden.

Een algemene beveiligingsplugin kan bepaalde aanvallen helpen tegenhouden, maar de onderliggende code moet ook veilig zijn. Laat een ontwikkelaar daarom onder meer controleren of:

• invoer van bezoekers wordt gevalideerd en waar nodig beperkt;
• databasevragen veilig worden opgebouwd met prepared statements of parameterbinding;
• uitvoer op de juiste manier wordt ontsmet of ge-escaped, zodat ingevoerde inhoud niet als ongewenste code wordt uitgevoerd;
• de website geen gebruikersinvoer rechtstreeks uitvoert als PHP-code;
• foutmeldingen geen wachtwoorden, databasegegevens of andere gevoelige informatie prijsgeven;
• de database en bestanden alleen toegankelijk zijn voor onderdelen die daarvoor toestemming nodig hebben.

Ook AI-gegenereerde PHP-code moet hierop worden gecontroleerd. Een AI-tool kan snel een formulier, inlogfunctie of complete website maken, maar kan daarbij beveiligingsfouten introduceren. Laat belangrijke functies daarom beoordelen door iemand met kennis van veilige webontwikkeling. Een website die er goed uitziet en naar behoren werkt, is niet automatisch bestand tegen aanvallen.

8. Gebruik HTTPS en controleer je SSL-certificaat

Een bedrijfswebsite hoort via HTTPS bereikbaar te zijn. Die versleutelde verbinding helpt voorkomen dat gegevens tijdens het transport eenvoudig kunnen worden afgelezen of aangepast. Je herkent HTTPS aan het webadres dat begint met https://.

Hiervoor gebruikt je website een TLS-certificaat, dat vaak nog een SSL-certificaat wordt genoemd. Veel hostingproviders leveren dit standaard of bieden het gratis aan. Wix schakelt HTTPS bij nieuwe websites automatisch in als onderdeel van de basisdiensten.

Controleer of alle pagina's via HTTPS worden geladen en of het certificaat geldig is. Een certificaat dat is verlopen of verkeerd is ingesteld, kan bezoekers een beveiligingswaarschuwing tonen. Let ook op gemengde inhoud: een beveiligde pagina kan nog onderdelen laden via een onbeveiligde verbinding.

HTTPS is belangrijk, maar lost niet alle beveiligingsproblemen op. Het versleutelt de verbinding, maar voorkomt niet dat iemand inbreekt met een gestolen wachtwoord of misbruikmaakt van kwetsbare software.

9. Beperk toegangsrechten en verwijder oude accounts

Geef alleen mensen toegang tot de onderdelen die ze nodig hebben. Niet iedereen die een tekst op je website plaatst, hoeft ook plugins te kunnen installeren of instellingen te wijzigen. Hoe meer mensen volledige beheerdersrechten hebben, hoe groter het risico op fouten of misbruik.

Controleer daarom regelmatig welke accounts toegang hebben tot je website, hosting, domeinnaam en gekoppelde diensten. Verwijder accounts van oud-medewerkers, voormalige leveranciers en ontwikkelaars die geen toegang meer nodig hebben. Pas ook de toegangsrechten aan wanneer iemands taken veranderen.

Bij WordPress kun je werken met verschillende gebruikersrollen. Geef bijvoorbeeld iemand die alleen teksten en afbeeldingen toevoegt geen beheerdersrechten als dat niet nodig is. Bij Wix kun je medewerkers verschillende rollen en rechten toekennen. Bij maatwerkwebsites moeten gebruikersrechten zorgvuldig worden ingericht in het beheersysteem.

Beperk daarnaast de toegang tot hosting en bestanden. Als je webbouwer bestanden op de server moet aanpassen, vraag dan of dat via een beveiligde verbinding zoals SFTP kan. Deel geen wachtwoorden via gewone e-mail of chatberichten en laat accounts niet door meerdere personen gebruiken als dat te voorkomen is.

10. Controleer je website regelmatig op verdachte activiteiten

Goede beveiliging is geen eenmalige klus. Controleer regelmatig of je website nog naar behoren werkt en of er aanwijzingen zijn voor ongewenste wijzigingen. Let bijvoorbeeld op onbekende beheerdersaccounts, vreemde pagina's, onverwachte doorverwijzingen, verdachte bestanden of meldingen van je hostingprovider.

Je kunt monitoring gebruiken om te controleren of je website bereikbaar is en om bepaalde verdachte activiteiten sneller op te merken. Bij WordPress bieden sommige beveiligingsplugins meldingen over malware, gewijzigde bestanden en verdachte inlogpogingen. Je hostingprovider kan daarnaast serverlogs en beveiligingsmeldingen beschikbaar stellen.

Controleer ook de formulieren, bestelfuncties en andere belangrijke onderdelen van je website. Test of bezoekers alleen toegang krijgen tot gegevens waarvoor ze toestemming hebben. Bij een webshop is het bijvoorbeeld belangrijk dat klanten niet via een aangepaste link de gegevens van andere klanten kunnen bekijken.

Maak ten slotte een eenvoudig plan voor het geval er toch iets misgaat. Weet wie je moet bellen, waar je back-ups staan en hoe je de website tijdelijk kunt uitschakelen of herstellen. Als je vermoedt dat je website is gehackt, verander dan vanaf een veilig apparaat de relevante wachtwoorden, neem contact op met je hostingprovider of webbouwer en laat de oorzaak onderzoeken voordat je de website weer volledig in gebruik neemt.

Wie controleert de beveiliging van jouw bedrijfswebsite?

Je hoeft niet alle technische controles zelf uit te voeren. Wel is het verstandig om te weten wie verantwoordelijk is voor de beveiliging van je website. Als je het onderhoud uitbesteedt, vraag dan welke updates worden uitgevoerd, hoe vaak er back-ups worden gemaakt, waar deze worden bewaard en hoe snel er wordt ingegrepen bij een beveiligingsprobleem.

Heb je een maatwerkwebsite of is je website met behulp van AI gebouwd, vraag dan specifiek om een controle van de code en de serverinstellingen. Laat onder meer nagaan of de gebruikte PHP-versie wordt ondersteund, of invoervelden veilig worden verwerkt en of gevoelige pagina's en bestanden goed zijn afgeschermd.

Gebruik je WordPress, bespreek dan wie de updates van plugins en thema's uitvoert en wie controleert of alles na een update nog werkt. Bij Wix ligt een deel van het technische onderhoud bij het platform, maar de beveiliging van je account, de toegekende rechten en de inrichting van je website blijven aandacht vragen.

Maak websitebeveiliging onderdeel van je bedrijfsvoering

Een veilige website begint met een aantal praktische maatregelen: houd software actueel, gebruik sterke wachtwoorden en tweestapsverificatie, maak bruikbare back-ups en beperk toegang tot gevoelige onderdelen. Voor websites met eigen PHP-code is daarnaast een goede controle van de code noodzakelijk. Dat geldt ook als AI heeft geholpen bij de ontwikkeling.

Plan regelmatig een moment om de beveiliging na te lopen en leg vast wie welke taken uitvoert. Zo voorkom je dat belangrijke updates blijven liggen of dat oude accounts onnodig toegang houden. Je verkleint daarmee de kans op problemen en vergroot de kans dat je snel kunt herstellen als er toch iets misgaat.