Uw WordPress-website laten testen

Waar WordPress-websites kwetsbaar zijn

Een WordPress-test is een controle van uw plug-ins, thema, formulieren en beheer op zwakke plekken die echt te misbruiken zijn. Patchstack telde in 2025 11.334 nieuwe kwetsbaarheden in WordPress-sites, volgens het rapport “State of WordPress Security in 2026”. Daarvan zat 91% in plug-ins en 9% in thema’s. In WordPress zelf vonden ze er 6.

Bij 46% was er nog geen update toen het lek openbaar werd. Van de lekken die veel misbruikt worden, werd volgens hetzelfde rapport de helft binnen 5 uur op grote schaal aangevallen. Op tijd bijwerken is dus nodig, maar niet genoeg. U moet ook weten welke plug-ins u draait en welke weg kunnen.

Ook een beveiligingsplug-in kan lekken

In november 2024 vond Wordfence een lek in de plug-in Really Simple Security (CVE-2024-10924), actief op meer dan 4 miljoen sites. Stond de tweestapsverificatie van die plug-in aan? Dan kon iemand zonder wachtwoord inloggen als beheerder. Versie 9.1.2 loste het op en werd samen met WordPress automatisch uitgerold.

Dit laat zien dat een beveiligingsplug-in helpt, maar geen garantie is. Het is ook code van een andere maker. Een test kijkt wat er ondanks die plug-in nog openstaat.

Wat een zakelijke WordPress-site anders maakt

Veel zakelijke WordPress-sites verkopen niets, maar verzamelen wel gegevens. Denk aan een offerte- of contactformulier, een sollicitatie met cv-upload of een ledendeel met inlog. Komt dat bij een ander terecht, dan is dat een datalek. Heeft u een webshop op WordPress met WooCommerce? Dan past onze pagina over WooCommerce beter.

Zo testen wij uw WordPress-website

We beginnen met een lijst van alle plug-ins, het thema en de versies. Die zetten we naast de databanken van Patchstack en WPScan. Daarna testen we met de hand waar het bij WordPress vaak misgaat. Denk aan de inlogpagina en xmlrpc.php, de REST-API onder /wp-json en de rollen van gebruikers.

Bij formulieren kijken we of uploads alleen toegestane bestanden aannemen en waar ze terechtkomen. Is een ingestuurd cv via een gewone link op te vragen? Kan een lid de gegevens van een ander lid zien? Ook back-upmappen en de foutopsporingsmodus lopen we na.

Wat u vooraf regelt

Maak een actuele back-up van bestanden én database en controleer of terugzetten werkt. Heeft u een kopie op een testadres (staging)? Dan testen we het liefst daar. Veel WordPress-hostingpartijen hebben een firewall die testverkeer blokkeert. Daarom vragen we vooraf ook hun akkoord. De testdagen en ons IP-adres spreken we met hen af.

Doorlooptijd en prijs

De Scan is een geautomatiseerde scan met handmatige beoordeling, geen pentest. Hij kost vanaf € 295 excl. btw. Rapport binnen 24 uur. Wilt u dat iemand met de hand zoekt, ook in formulieren en beheer? Kies De Inbraaktest, vanaf € 2.950 excl. btw. 2 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna. Met een ledendeel of koppelingen past De Inbraaktest Totaal, vanaf € 4.950 excl. btw.

Voorbeeld (verzonnen situatie)

Dit is een bedacht voorbeeld, geen echte klant. Een installatiebedrijf heeft een WordPress-site met 23 plug-ins en een sollicitatieformulier. Twee plug-ins worden niet meer gebruikt en één heeft een bekend lek. Ingestuurde cv’s staan in een map die met een gewone link op te vragen is. In het rapport staan beide punten met bewijs en oplossing. Na het herstel bevestigt de hertest dat ze dicht zijn.

Bronnen

• Patchstack: State of WordPress Security in 2026
• Wordfence: lek in Really Simple Security (CVE-2024-10924)
• Patchstack: kwetsbaarhedendatabank
• WPScan: kwetsbaarhedendatabank
• WordPress: beveiliging

Verder lezen

• WordPress en WooCommerce beveiligen: De 8 instellingen die het vaakst gemist worden.
• Gratis CMS-check: Zie welke software uw site prijsgeeft.
• De Scan: Scan met handmatige beoordeling, vanaf € 295 excl. btw.
• WooCommerce laten testen: Plug-ins, checkout en WordPress-beheer.
• PrestaShop laten testen: Modules, back office en checkout.
• Lightspeed laten testen: Gebruikers, apps, API-sleutels en thema.
• Alle platforms: Per platform wat u zelf beveiligt.