WordPress & WooCommerce
WordPress webshop beveiligen: checklist voor WooCommerce-winkels
Je WordPress webshop beveiligen begint niet bij een plugin, maar bij accounts, updates en een herstelplan. Deze checklist laat zien wat je zelf regelt en wanneer een dienst als Jetpack helpt.
Wanneer je via Cart.nl een abonnement afsluit, kunnen wij hiervoor een vergoeding ontvangen. Dit kost jou niets extra en beïnvloedt onze beoordeling niet. Hoe wij verdienen
Waarom een WordPress webshop een doelwit is
Wie een WordPress webshop wil beveiligen, moet weten waarom aanvallers juist webshops opzoeken. Een winkel bevat klantgegevens, accounts en een betaalproces. Daarnaast draait WordPress op een groot deel van alle websites, waardoor geautomatiseerde aanvallen breed worden ingezet. Meestal gaat het niet om een gerichte aanval op jou, maar om scripts die zwakke wachtwoorden en verouderde plugins zoeken.
Het goede nieuws: de meeste problemen zijn te voorkomen met basismaatregelen. Deze gids is een praktische checklist. Voor het vangnet bij een incident lees je WooCommerce back-up maken; voor de bredere afweging rond Jetpack-diensten Jetpack voor WordPress.
Bekijk de actuele prijzen en mogelijkheden bij de aanbieder.
Bekijk Jetpack-beveiliging(opent website van aanbieder in nieuw tabblad)Accounts en wachtwoorden op orde
Begin bij de mensen met toegang. Geef iedere medewerker een eigen account en alleen de rechten die nodig zijn: een klantenservicemedewerker heeft geen beheerdersrechten nodig om orders te bekijken. Verwijder accounts van oud-medewerkers en externe bouwers zodra het werk klaar is.
Gebruik lange, unieke wachtwoorden en een wachtwoordbeheerder. Zet tweestapsverificatie aan voor alle beheerders. Beperk het aantal inlogpogingen, zodat geautomatiseerd raden wordt afgeremd. Jetpack beschrijft bescherming tegen brute-force-aanvallen als onderdeel van zijn beveiligingsfuncties; controleer of je hoster dit niet al doet, zodat je geen dubbele regels instelt die elkaar hinderen.
Updates zonder je checkout te breken
Verouderde plugins en thema's zijn een van de meest voorkomende oorzaken van een hack. Tegelijk kan een update je checkout breken. De oplossing is een vaste routine: maak een herstelpunt, test de update in een kopie van je winkel, controleer afrekenen en betalen, en zet de update dan live.
Verwijder plugins die je niet gebruikt; ook een uitgeschakelde plugin kan kwetsbaar zijn. Houd het aantal extensies beperkt en kies uitbreidingen met actief onderhoud. In WooCommerce-extensies kiezen lees je hoe je dat beoordeelt. Jetpack Protect beschrijft het signaleren van bekende kwetsbaarheden in plugins en thema's, wat helpt om te zien welke update voorrang heeft.
Bekijk de actuele prijzen en mogelijkheden bij de aanbieder.
Bekijk Jetpack Protect en Scan(opent website van aanbieder in nieuw tabblad)Malwarescans en een firewall
Een malwarescan zoekt naar verdachte code en bekende kwetsbaarheden. Een firewall filtert verdacht verkeer voordat het je site bereikt. Jetpack biedt onder meer Protect en Scan; de actuele functies en wat gratis of betaald is, verschillen per pakket. Veel managed hosters leveren vergelijkbare bescherming op serverniveau.
Maak daarom eerst een overzicht: wat doet je hoster, wat doet een plugin en wat ontbreekt nog? Dubbele scanners vertragen soms je site zonder extra veiligheid. Een scan signaleert alleen; leg ook vast wie een melding opvolgt en hoe snel. Een waarschuwing die niemand leest, beschermt je winkel niet.
Checklist: WordPress webshop beveiligen
1. Eigen accounts per medewerker, met minimale rechten.
2. Unieke wachtwoorden en tweestapsverificatie voor beheerders.
3. Inlogpogingen beperken.
4. WordPress, thema en plugins bijwerken via een vaste testroutine.
5. Ongebruikte plugins en thema's verwijderen.
6. Malwarescans en firewall via hoster of dienst, met een vaste opvolger.
7. Een externe back-up die je aantoonbaar kunt terugzetten.
8. HTTPS op de hele website en geen gevoelige gegevens in formulieren die je niet nodig hebt.
9. Spam op formulieren en reacties filteren, bijvoorbeeld met Akismet voor WordPress.
10. Een kort incidentplan met contactpersonen.
Privacy en de AVG
Beveiliging is ook een wettelijke kwestie. Onder de AVG moet je passende maatregelen nemen om persoonsgegevens te beschermen, en bij een datalek kan een melding bij de Autoriteit Persoonsgegevens nodig zijn. Een plugin maakt je winkel niet automatisch AVG-proof; het gaat om het geheel van maatregelen en afspraken.
Sluit verwerkersovereenkomsten met diensten die klantgegevens verwerken, zoals je hoster en back-updienst, en lees hun privacyvoorwaarden. Leg vast waar back-ups staan en wie ze kan openen. Twijfel je over je verplichtingen, vraag dan juridisch advies.
Wat kost goede beveiliging?
Een deel van de beveiliging kost alleen tijd: accounts opruimen, wachtwoorden en updates. Voor scans, firewall en back-ups betaal je meestal een abonnement bij je hoster of een dienst als Jetpack. Bekijk de actuele prijs op de website van de aanbieder; wij noemen geen vaste bedragen omdat pakketten wijzigen.
Neem beveiliging op in je WooCommerce kosten-begroting. Vergelijk ook managed hosting via WooCommerce hosting kiezen: soms is beveiliging daar al inbegrepen. Een snelle, veilige winkel verkoopt beter; lees daarvoor ook WordPress webshop sneller maken.
Bekijk de actuele prijzen en mogelijkheden bij de aanbieder.
Vergelijk Jetpack-beveiligingspakketten(opent website van aanbieder in nieuw tabblad)Veelgestelde vragen
Ja, mits je het goed beheert. De meeste problemen ontstaan door zwakke wachtwoorden, verouderde plugins en te veel beheerders, niet door WordPress zelf.
Niet altijd. Veel managed hosters bieden al een firewall en scans. Kijk eerst wat je hoster doet en vul alleen aan wat ontbreekt, om dubbele functies te voorkomen.
Jetpack Protect richt zich op het signaleren van bekende kwetsbaarheden en het beschermen tegen misbruik. Controleer op de website van Jetpack welke functies gratis zijn en welke bij een betaald pakket horen.
Zet de site zo nodig in onderhoudsmodus, wijzig alle wachtwoorden, schakel je hoster of specialist in en herstel een schone back-up. Beoordeel of er persoonsgegevens zijn gelekt en of je een melding moet doen bij de Autoriteit Persoonsgegevens.
Beveiligingsupdates zo snel mogelijk, na een korte test. Overige updates kun je bundelen in een vaste routine, bijvoorbeeld wekelijks, met altijd een herstelpunt vooraf.