WordPress-plugins kiezen en beheren: dit controleer je vóór je installeert

Kies een WordPress-plugin die je echt nodig hebt, uit een betrouwbare bron en die onderhouden wordt, en verwijder alles wat je niet gebruikt. Dat volgt uit de hardening-handleiding van WordPress.org, die zegt dat je plugins altijd up-to-date moet houden en ongebruikte plugins van het systeem moet verwijderen. In dit artikel lees je waarom plugins een belangrijk aandachtspunt zijn, wat je controleert voordat je er een installeert, en hoe je ze daarna beheert zonder dat je site er kwetsbaar van wordt.

Waarom zijn plugins een risico?

Een plugin is code van een andere partij die binnen jouw WordPress-installatie wordt uitgevoerd. Dat maakt plugins nuttig en riskant tegelijk. De handleiding noemt als een van de twee meest voorkomende aanvalscategorieën het sturen van speciaal samengestelde verzoeken die kwetsbaarheden misbruiken, waaronder oude of verouderde plugins en software. Een kwetsbare plugin is dus geen theoretisch risico maar precies waar aanvallers naar zoeken. Jouw keuze en jouw bijhouden bepalen hoe groot dat risico voor jou is.

Dat risico zit niet alleen in aanvallen van buiten. Een goede plugin lost een probleem op, een slechte plugin voegt er een toe. Ontwikkelaars werken hun plugins volgens de WordPress.org-documentatie bij om functies toe te voegen, de codekwaliteit te verbeteren en ze veilig te houden. Een plugin zonder die onderhoudscyclus doet geen van die drie dingen meer. Daarom is de eerste vraag bij elke plugin niet wat hij kan, maar wie hem onderhoudt en of die persoon of dat bedrijf er nog mee bezig is.

Waar haal je plugins vandaan?

Waar haal je plugins vandaan? De hardening-handleiding is helder: haal plugins en thema’s niet uit onbetrouwbare bronnen en beperk je tot de WordPress.org-repository of bekende bedrijven. Dat sluit "gratis" kopieën van betaalde plugins op een willekeurige site uit. Van zo’n kopie weet je niet wat erin zit. Een licentie kost geld, maar het opruimen van een besmette installatie ook. Zie je een aanbieding die te mooi lijkt om waar te zijn, laat hem dan liggen.

Let op het verschil tussen een bekende partij en een bekende naam. Een bekend bedrijf heeft een adres, een supportkanaal en een reputatie om te verliezen. Een plugin die alleen in een zoekresultaat opduikt, heeft dat niet. Kijk waar de documentatie staat, wie de ontwikkelaar is en of er een manier is om een probleem te melden. WordPress zelf moedigt verantwoorde melding van kwetsbaarheden aan, ook in plugins en thema’s op WordPress.org en in het bredere ecosysteem. Een ontwikkelaar die daar open over is, is een betere keuze dan een ontwikkelaar die niet bereikbaar is.

Wat controleer je vóór je een plugin installeert?

Wat controleer je vóór je installeert? Een korte lijst. Stel eerst vast of je het probleem niet al oplost met wat je hebt. Kijk of de plugin recent is bijgewerkt: WordPress.org schrijft dat een plugin die sinds de laatste core-update niet is bijgewerkt onverenigbaar kan zijn, of dat de compatibiliteit onbekend is. Lees de beschrijving en de supportpagina op signalen van problemen. Controleer of de plugin een functie biedt die je echt gebruikt, en of een eenvoudiger alternatief bestaat dat minder rechten nodig heeft.

Check daarna de overlap met wat je al hebt. Twee plugins die hetzelfde doen, zoals twee cachingplugins of twee SEO-plugins, kunnen met elkaar botsen en maken de site traag of onbetrouwbaar. Zoek ook naar plugins die een ander thema of een andere plugin vereisen. Elke afhankelijkheid is een extra schakel die kan breken als een van beide bijgewerkt wordt. Een kleine site met een beperkt aantal goed gekozen plugins is eenvoudiger bij te houden dan een site waar alles een eigen plugin voor heeft.

Houd ook rekening met de kwaliteit van de code zelf. De ontwikkelaarsdocumentatie van WordPress.org zegt dat je invoer moet valideren en opschonen voordat je hem gebruikt, en bij uitvoer moet escapen. Dat lees je als gebruiker niet terug in de plugin, maar het is wel de maatstaf die WordPress.org aan ontwikkelaars meegeeft. Heb je zelf een ontwikkelaar, vraag dan of die de belangrijkste plugins kan beoordelen. Laat je WordPress-hulp meekijken bij een plugin die je gegevens van bezoekers verwerkt, vanaf €95 per storing.

Hoe houd je plugins bij?

Beheer begint met overzicht. Houd een lijst bij van welke plugins je gebruikt, waarvoor, en wie ze beheert. Zo kun je bij een kwetsbaarheidsmelding snel zien of jij geraakt wordt. De WordPress.org-documentatie zegt dat je plugins en thema’s altijd naar de nieuwste versie moet updaten om de site veilig te houden. Sinds WordPress 5.5 kun je als beheerder per plugin en per thema automatische updates aanzetten, wat het bijhouden gemakkelijker maakt, mits je een terugweg hebt.

Die terugweg is geen detail. WordPress.org raadt aan om, voordat je automatische updates voor plugins en thema’s aanzet, te zorgen dat je kunt terugkeren naar een eerdere versie van je website als het misgaat. Dat betekent: een recente back-up die je ook echt hebt getest. Hoe je dat inricht, lees je in ons artikel over WordPress-back-ups. Zonder die voorbereiding is automatisch updaten een gok. Mét die voorbereiding is het een manier om gaten snel te sluiten.

Wanneer verwijder je een plugin?

Wanneer verwijder je een plugin? Zodra je hem niet meer gebruikt. De handleiding zegt letterlijk dat je een plugin die je niet gebruikt van het systeem moet verwijderen, niet alleen moet deactiveren. Controleer eens per periode je lijst op plugins die je niet meer gebruikt, op plugins die al lang niet zijn bijgewerkt en op plugins waarvan de functie nu in je thema of in WordPress zelf zit. Elke plugin die weg is, is een stuk code minder dat je hoeft bij te houden.

Ook een verlopen licentie is een reden om te handelen. Een betaalde plugin zonder geldige licentie krijgt mogelijk geen updates meer, en dan loop je achter zonder dat je het merkt. Zet in je overzicht naast elke plugin de licentie-einddatum. Overweeg bij plugins die belangrijk zijn voor je bedrijf wie het contract of de licentie op naam heeft staan. Een plugin die op het privéaccount van een oud-medewerker staat, is bij vertrek een probleem dat je niet meer opgelost krijgt.

Hoe test je een nieuwe of bijgewerkte plugin?

Test een nieuwe of bijgewerkte plugin liever op een kopie. WooCommerce zegt dat je updates niet rechtstreeks op de productiesite moet testen. Bij een webshop kan compatibiliteit volgens WooCommerce afhangen van de hele combinatie actieve winkelsoftware: na het bijwerken van WooCommerce horen extensies, thema’s en betaalgateways in hetzelfde onderhoudsvenster te worden bijgewerkt. Het volledige verhaal over zo’n kopie staat in ons artikel over de staging-omgeving. Voor een webshop is dit geen luxe maar basis.

Kortom: kies bewust, haal ze uit betrouwbare bronnen, houd ze bij en gooi weg wat je niet gebruikt. Wil je dat niet zelf doen, dan is dat precies wat WordPress-onderhoud afdekt, vanaf €45 per maand. Wat daar voor jou in zit en wat je moet vergelijken tussen aanbieders, vind je in Wat kost WordPress-onderhoud. Twijfel je over een specifieke plugin, stel dan de vraag voordat je installeert en niet pas als de site niet meer opstart.

Laatst bijgewerkt op 11 oktober 2026