WordPress en WooCommerce beveiligen: de 8 meest gemiste instellingen

Waarom WordPress en WooCommerce vaak doelwit zijn

WordPress is wereldwijd het meest gebruikte systeem om websites en webshops mee te maken. WooCommerce is de webshop-uitbreiding erbovenop. Juist omdat zoveel sites erop draaien, zoeken aanvallers gericht naar bekende zwakke plekken. Eén lek in een populaire plug-in geeft toegang tot duizenden shops tegelijk.

Het systeem zelf is niet onveiliger dan een ander. Het risico zit vooral in de losse onderdelen die u erbij zet, zoals thema’s en plug-ins. En in instellingen die na de installatie standaard open blijven staan. Hieronder staan de acht die wij het vaakst gemist zien.

1 en 2: updates en tweestapsverificatie

Actueel, oktober 2026: met PHP2Shell zijn twee ernstige lekken in PHP bekend geworden. Dat is de taal waarop WordPress en WooCommerce draaien. Bijwerken geldt dus ook voor de PHP-versie bij uw hostingpartij. Wat de lekken zijn en wat u nu controleert, leest u op onze actueel-pagina over PHP2Shell.

1. Updates. Werk de kern van WordPress, uw thema en alle plug-ins bij zodra er een update is. Zet automatische updates aan waar dat kan. Verwijder wat u niet gebruikt: elke uitgeschakelde plug-in die blijft staan, kan een lek bevatten. Het bijwerken van software is ook in de officiële hardening-gids van WordPress de eerste maatregel.

2. Tweestapsverificatie (2FA). WordPress vraagt standaard alleen om een wachtwoord. Zet voor elk beheeraccount een tweede stap aan, bijvoorbeeld een code uit een app. Dat kan via een beveiligingsplug-in of via uw hostingpartij. Een gestolen wachtwoord is dan niet genoeg om binnen te komen.

3 en 4: te veel beheerders en vergeten subdomeinen

3. Te veel beheerders. Geef elke medewerker alleen de rol die hij nodig heeft. WooCommerce heeft bijvoorbeeld de rol winkelmanager, die geen volledige beheerrechten heeft. Verwijder oude accounts van vertrokken medewerkers of bureaus, en gebruik nooit één gedeeld beheeraccount.

4. Vergeten backend- en test-subdomeinen. Een kopie van uw shop op test.uwsite.nl of oud.uwsite.nl blijft vaak online staan na het werk. Zonder updates en zonder wachtwoord. Zo’n vergeten omgeving is een makkelijke ingang. Haal oude kopieën weg of zet ze achter een wachtwoord, en laat ze niet door zoekmachines indexeren.

5 en 6: open REST API, zwakke e-mailconfiguratie

5. Blootgestelde API’s. WordPress heeft standaard een REST API (de deur waarlangs andere programma’s met uw site praten), bereikbaar via /wp-json. Sommige onderdelen daarvan kunnen, als u niets instelt, bijvoorbeeld de gebruikersnamen van uw beheerders tonen. Dat maakt het raden van een wachtwoord makkelijker. Laat uw bouwer controleren wat de API prijsgeeft en beperk wat niet nodig is.

6. Een zwakke e-mailconfiguratie. WooCommerce verstuurt bestelbevestigingen en wachtwoord-herstelmails. Staan SPF, DKIM en DMARC voor uw domein niet goed? Dan belanden die mails in de spam. En kan een ander makkelijker mail uit uw naam sturen. Zie ons artikel over mail die in de spam belandt.

7 en 8: back-ups en plug-ins met bekend lek

7. Back-ups. Maak automatisch een back-up die buiten uw webshop wordt bewaard. Test af en toe of u er echt mee kunt herstellen. Een back-up die u nooit heeft geprobeerd, is geen zekerheid. Na een hack heeft u een schone back-up nodig om terug te keren.

8. Plug-ins met een bekend lek. De meeste inbraken op WordPress lopen via een verouderde plug-in met een lek dat allang openbaar bekend is. Houd een lijst bij van alles wat u gebruikt, werk het bij en verwijder de rest. Openbare databanken zoals die van Patchstack en WPScan houden bekende lekken in WordPress-plug-ins bij.

Wat een scan hier wel en niet vindt

Een geautomatiseerde scan herkent goed bekende technische signalen. Denk aan een verouderde WordPress-versie of een plug-in met een bekend lek. Of aan ontbrekende beveiligingsinstellingen en een API die te veel prijsgeeft. Dat is precies waar de meeste WordPress-inbraken beginnen.

Wat een scan niet ziet, is hoe uw shop bedoeld is. Kan een klant de bestelling van een ander inzien? Is een kortingscode te misbruiken? Zulke logicafouten vindt alleen een mens die uw shop met de hand naloopt. Daarvoor is een handmatige test nodig.

Wat u hierna laat doen

Wilt u snel weten waar uw WordPress- of WooCommerce-shop staat? Dan is De Scan de eerste stap (vanaf € 295 excl. btw). Dat is een geautomatiseerde scan die wij met de hand nalopen. U krijgt een kort rapport en weet wat eerst moet. Dat is een scan, geen inbraaktest.

Wilt u zien wat een scan mist, zoals fouten achter de inlog of in de checkout? Dan is De Inbraaktest de volgende stap (vanaf € 2.950 excl. btw). Voor klantaccounts, rollen en koppelingen (API’s) kijkt De Inbraaktest Totaal ook achter de inlog. Wij testen alleen na schriftelijke toestemming van de eigenaar van het systeem.