Automatisch bijwerken mag, als iemand daarna kijkt
Automatisch bijwerken mag, zolang iemand daarna controleert of je site nog werkt en weet hoe je terug kunt. Spreek vooraf af wie dat is en wat die persoon nakijkt. Een update waar niemand naar omkijkt, merk je pas als er al iets stuk is.
Oktober is een goed moment om dat te regelen. Het is de maand waarin ENISA en de Europese Commissie aandacht vragen voor digitale veiligheid, de European Cybersecurity Month. En het is nog ruim voor de drukte rond het jaareinde, de weken waarin je een site die het niet doet het minst kunt gebruiken.
Plugins zijn waar het meeste gebeurt
Een WordPress-site bestaat uit drie lagen: WordPress zelf, een thema en een rij plugins. Die plugins zijn stukjes software van andere makers. Je formulier, je webshop, je paginabouwer, je cookiebanner. Elke maker brengt updates uit in zijn eigen tempo.
Het beveiligingsbedrijf Patchstack telde in 2025 11.334 nieuwe kwetsbaarheden in WordPress en alles eromheen. Dat is 42 procent meer dan een jaar eerder. Van die nieuwe lekken zat 91 procent in plugins en 9 procent in thema's. In WordPress zelf werden er zes gemeld, allemaal met lage prioriteit. Volgens hetzelfde rapport wordt ongeveer de helft van de ernstige lekken binnen een dag misbruikt.
Daarom raad ik automatisch bijwerken niet af. Een beveiligingsupdate die een maand blijft liggen, laat een bekend lek een maand openstaan. Het bijwerken zelf is dus niet het punt. Het punt is wat er daarna gebeurt.
Een update komt niet altijd van waar je denkt
Eind september zag ik wat er gebeurt als twee instellingen elkaar niet kennen. Bij een klant stond de paginabouwer, de plugin waarmee de pagina's zijn opgemaakt, bewust vast op een oudere versie. In WordPress was automatisch bijwerken voor die plugin tegengehouden. Toch stond hij op 24 september om twee minuten over middernacht op een nieuwe hoofdversie, en lag de site plat.
De update kwam niet van WordPress. Hij kwam van het installatieprogramma in het hostingpaneel, dat een eigen instelling voor automatische updates heeft. Die stond aan, en trok zich niets aan van wat er in WordPress was ingesteld.
Er waren twee plekken die over updates beslisten, en er werd er maar één bekeken. Dat is precies het soort gat dat je pas ziet als het al gebeurd is.
Benieuwd hoe jouw eigen site hierop scoort? Doe de gratis website-check; binnen twee werkdagen heb je mijn persoonlijke rapport.
Vier dingen die je afspreekt
Je hoeft dit niet zelf te doen. Je moet wel weten wie het doet. Dit zijn de afspraken die ik zou maken, met je bouwer, je hoster of met jezelf.
Wie werkt bij, en waar staat dat ingesteld? In WordPress zie je op de pagina Sitediagnose, onder Info, per plugin welke versie er draait en of automatische updates aanstaan. Vraag daarnaast of je hostingpaneel ook zelf bijwerkt. Dan weet je of er één plek is die beslist, of twee.
Wat wordt er daarna gecontroleerd? Niet alles, wel wat geld of klanten kost als het stuk is. Open je homepage op je telefoon. Vul je eigen formulier in en kijk of de melding in je inbox staat, niet alleen of de site "verzonden" zegt. Heb je een webshop of een boekingssysteem, doorloop dan één bestelling of boeking tot de bevestigingsmail.
Hoe ga je terug? Een back-up telt pas als hij ooit is teruggezet. Vraag wanneer dat voor het laatst is gebeurd, en of dat op een kopie van je site was of op de echte. Weet je het antwoord niet, dan heb je geen terugweg maar een hoop.
Wat mag weg? Een plugin die er niet meer staat, hoeft ook niet bijgewerkt en gecontroleerd te worden. Laat plugins die je niet gebruikt verwijderen, nadat is nagekeken dat niets op je site ze nog nodig heeft. Minder plugins betekent minder plekken waar een update iets kan breken.
Waarom de controle er vast bij hoort
Een update die 's nachts draait en 's ochtends een kapotte site oplevert, is vervelend. Een update die je formulier stil laat stoppen is erger, want dan zie je niets. De site ziet er gewoon uit, alleen komen er geen aanvragen meer binnen.
Daarom hoort de controle na een update bij het bijwerken, niet ergens later. Een paar vaste klikken, altijd dezelfde, door iemand die weet wat hij moet zien. Dat is geen groot project. Het is een afspraak die je één keer maakt en daarna gewoon volgt.
Weet je niet wie dit bij jouw site nu doet, of wil je het liever niet zelf bijhouden? Kijk dan bij hosting en onderhoud, of stuur me gewoon een berichtje.
Bronnen: Patchstack, State of WordPress Security in 2026 en ENISA, European Cybersecurity Month.
Lees ook
- Kan iemand je bellen met één tik?
- Wil je dat AI je noemt? Zet het antwoord letterlijk op je site
- De AI-wet gaat in op 2 augustus: drie vragen voor je site
Lees je hier vaker? Zet Digitactics als voorkeursbron in Google, dan zie je nieuwe stukken eerder in je zoekresultaten.