WordPress-updates veilig uitvoeren: volgorde, testen en automatisch
Je voert WordPress-updates veilig uit door eerst een back-up te maken, de update op een kopie van je site te testen en pas daarna live te gaan. De WordPress.org-documentatie zegt dat je WordPress altijd naar de nieuwste versie moet updaten, en dat geldt ook voor je plugins en thema’s. In dit artikel lees je wat WordPress zelf automatisch doet, wat je zelf moet doen, in welke volgorde je werkt en wat je doet als het misgaat.
Waarom moet je WordPress altijd updaten?
Updaten is in de eerste plaats een beveiligingsmaatregel. De hardening-handleiding van WordPress.org meldt dat oudere WordPress-versies geen beveiligingsupdates krijgen. Er staat ook een zin in die je zou moeten alarmeren: als een kwetsbaarheid is ontdekt en er een nieuwe versie uitkomt, is de informatie om die kwetsbaarheid te misbruiken vrijwel zeker openbaar. Wie dan niet bijwerkt, loopt dus achter op iedereen die de gaten wil vinden. Dat is de reden dat wij updaten een vast onderdeel van WordPress-onderhoud maken.
Hoe groot het risico is, hangt af van wat er op je site draait. De WordPress.org-handleiding noemt twee veelvoorkomende aanvalscategorieën: brute-force wachtwoord raden, en speciaal samengestelde verzoeken die bekende kwetsbaarheden misbruiken, waaronder verouderde plugins en software. Tegen die tweede categorie helpt vooral bijwerken. Een sterk wachtwoord beschermt je niet als de plugin zelf een gat heeft. Updaten is daarmee geen kwestie van netheid maar van gaten dichten voordat iemand erdoorheen loopt. Meer over dat bredere plaatje staat in onze beveiligingschecklist voor WordPress.
Wat WordPress automatisch bijwerkt en wat niet
WordPress doet zelf al een deel van het werk. Volgens de updatedocumentatie van WordPress.org hoef je sinds versie 3.7 geen vinger uit te steken voor kleine (minor) updates en beveiligingsupdates. De ontwikkelaars hebben bewust besloten die standaard aan te zetten, samen met de vertaalbestanden. Die automatische achtergrondupdates zijn in WordPress 3.7 geïntroduceerd om de beveiliging te verbeteren en het updaten te stroomlijnen. Voor de meeste kleine herstelreleases hoef je dus niets te doen, op voorwaarde dat de installatie de update ook echt kan uitvoeren.
Bij grote (major) releases ligt het genuanceerder. De algemene updatepagina van WordPress.org zegt nog dat je voor major releases zelf op "Update Now" moet klikken, maar die tekst is ouder dan WordPress 5.6 en op dit punt achterhaald. Per 11 oktober 2026 beschrijft de developer-documentatie van WordPress.org het actuele gedrag: vanaf WordPress 5.6 hebben nieuwe installaties standaard automatische updates voor zowel minor als major core-releases, tenzij WordPress een versiebeheer-checkout detecteert. Bestaande installaties houden het eerdere gedrag, tenzij een beheerder, een constante of een filter major updates aanzet. Ga dus niet uit van wat je denkt, maar kijk wat jouw site doet.
WordPress.org noemt de standaard ingeschakelde automatische updates voor minor releases en vertaalbestanden een van de beste manieren om je site actueel en veilig te houden, en raadt het uitzetten ervan sterk af. Bij de grotere updates gaat het om een afweging. Automatisch updaten voorkomt dat je een beveiligingsfix wekenlang mist. Handmatig updaten geeft je de kans om eerst te testen. Ons advies voor een site waar omzet doorheen loopt: laat de kleine core-updates en beveiligingsupdates automatisch lopen en test de grotere wijzigingen eerst op een kopie.
Automatische updates voor plugins en thema’s
Voor plugins en thema’s werkt het anders. Sinds WordPress 5.5 kunnen beheerders per thema en per plugin automatische updates aanzetten. Per 11 oktober 2026 voert WordPress deze auto-updates volgens WordPress.org standaard twee keer per dag uit; dat is een standaardinstelling die kan veranderen. De documentatie waarschuwt ook dat je eerst moet zorgen dat je kunt terugvallen op een eerdere versie van je website voordat je auto-updates voor plugins en thema’s aanzet. Zonder die terugweg zet je een automaat aan die je site kan breken terwijl jij slaapt.
Let op dat automatische updates niet vanzelf betrouwbaar zijn. WordPress.org schrijft dat ze steunen op WordPress Cron-taken en dat de planning, afhankelijk van je server, je installatie en je plugins, niet goed kan werken. Het is dus geen vrijbrief om nooit meer in te loggen. Kijk regelmatig in het dashboard of de updates echt zijn doorgekomen, en bij een site die je bedrijf draagt hoort daar ook monitoring bij. Wat zo’n pakket kost lees je in Wat kost WordPress-onderhoud.
In welke volgorde update je?
Dan de volgorde. Dit is algemeen advies en geen vaste regel van WordPress, maar het werkt in de praktijk goed: begin met een volledige back-up van bestanden en database. Update daarna WordPress zelf, dan je thema en daarna je plugins. Een plugin die sinds de laatste core-update niet is bijgewerkt kan volgens de plugin-documentatie van WordPress.org onverenigbaar zijn, of de compatibiliteit is onbekend. Bij een webshop beschrijft WooCommerce zijn eigen volgorde: eerst WooCommerce zelf, daarna extensies, thema’s en betaalgateways in hetzelfde onderhoudsvenster, omdat compatibiliteit kan afhangen van de hele combinatie actieve winkelsoftware.
Ook dit is praktijkadvies en geen voorschrift uit de documentatie: werk liever in kleine stappen dan alles in één keer. Update je een plugin per keer, dan weet je bij een fout meteen wie de dader is. Klik je tien plugins tegelijk door en de homepage valt om, dan begint het zoeken. Het kost iets meer tijd, maar het bespaart je het raden. Houd daarnaast bij wat je hebt gedaan: welke versie van welke plugin op welk moment. Zo kun je bij een probleem precies terug naar de situatie van voor de wijziging.
Hoe test je een update zonder risico?
Testen doe je op een kopie van je site. WooCommerce zegt het zonder omwegen: test updates niet rechtstreeks op de productiesite, maar maak een actuele back-up en test waar mogelijk op een staging-site. Hoe zo’n kopie werkt en wat de risico’s zijn bij een webshop, lees je in ons artikel over de staging-omgeving. Op de kopie klik je na de update door je belangrijkste pagina’s: de homepage, een formulier, de afrekenstap als je een shop hebt, en het inlogscherm.
Wat controleer je na de update? Open de pagina’s waar je bedrijf van afhangt en vul een formulier in. Kijk in het dashboard of er foutmeldingen staan en of alle plugins nog actief zijn. Bij een shop plaats je een testbestelling met een testbetaling voordat je live gaat. Schrijf de uitkomst kort op. Dat lijkt omslachtig, maar als er over een maand iets raars gebeurt, weet je wat je toen hebt gecontroleerd en wat niet.
Wat doe je als een update iets breekt?
Gaat er na een live-update iets mis, blijf dan rustig en handel in volgorde. Zet de back-up terug die je voor de update hebt gemaakt. WordPress.org adviseert in de back-updocumentatie om bij herstel eerst de bestanden terug te zetten en daarna de database te importeren. Zoek vervolgens op de kopie uit welke combinatie het conflict veroorzaakt. Kom je er zelf niet uit, dan is dat precies waarvoor WordPress-hulp bestaat, vanaf €95 per storing. Is je site zelfs gehackt in plaats van kapotgegaan, lees dan ons stappenplan voor een gehackte site.
Houd tot slot een vast ritme aan. Per 11 oktober 2026 noemt WooCommerce een maandelijkse update-cadans voor de meeste winkels een goede werkwijze, met de kanttekening dat je eerder moet updaten als een release een beveiligingsfix bevat of kapotte functionaliteit herstelt waar je winkel van afhangt. Voor andere sites is een vast moment in de week of maand een prima keuze, zolang je het ook echt doet. Wie dat niet wil of kan bijhouden, laat het uitbesteden. WordPress-onderhoud start bij Digitaalnu vanaf €45 per maand.
| Dienst | Vanaf | Doorlooptijd |
|---|---|---|
| Website voor vakmensen | €750 per project | 2 weken |
| Webshop op maat | €2.500 per project | ongeveer 6 weken |
| Webapplicatie of maatwerk software | €2.000 per project | ongeveer 6 weken |
| Mobiele app | €5.000 per project | ongeveer 6 weken |
| WordPress-onderhoud | €45 per maand | doorlopend |
| Managed hosting | €25 per maand | doorlopend |
Vaste prijs vooraf, geen maximumbedrag: de definitieve prijs volgt na een gratis intakegesprek.
Laatst bijgewerkt op
Veelgestelde vragen
Moet ik WordPress altijd updaten?
Ja. De WordPress.org-documentatie zegt dat je WordPress altijd naar de nieuwste versie moet updaten, en hetzelfde geldt voor plugins en thema’s. Oudere versies krijgen volgens de hardening-handleiding geen beveiligingsupdates. Maak wel eerst een back-up en test bij een site waar omzet doorheen loopt de update op een kopie.
Worden updates automatisch uitgevoerd?
Kleine (minor) updates en beveiligingsupdates van WordPress zelf gaan sinds versie 3.7 automatisch. Per 11 oktober 2026 staan volgens de developer-documentatie bij nieuwe installaties vanaf WordPress 5.6 ook major updates standaard aan. Bij bestaande installaties moet een beheerder dat aanzetten. Voor plugins en thema’s kies je per stuk zelf of automatisch updaten aan staat.
Wat doe ik als een update mijn site kapotmaakt?
Zet de back-up terug die je voor de update hebt gemaakt, bij voorkeur eerst de bestanden en daarna de database. Zoek daarna uit welke combinatie van WordPress, thema en plugins het conflict veroorzaakte, en test de update opnieuw op een kopie. Lukt dat niet, vraag dan hulp bij een storing.
Waarom werken automatische updates soms niet?
WordPress.org schrijft dat automatische updates op WordPress Cron-taken steunen. Afhankelijk van je server, je installatie en je plugins kan de planning daardoor niet goed werken. Controleer daarom af en toe zelf of de updates echt zijn doorgekomen en laat het niet blind aan de automaat over.
Moet ik elke update eerst testen?
Niet elke update vraagt om dezelfde zorg. Voor een webshop of een site waar leads via formulieren binnenkomen is testen op een kopie verstandig. WooCommerce schrijft zelfs dat je updates niet rechtstreeks op de productiesite moet testen. Voor een eenvoudige informatieve site is een recente back-up een redelijke voorzorg.
Waar dit op gebaseerd is
- WordPress.org: Updating WordPress – Documentation, geraadpleegd op
“You should always update WordPress to the latest version.”
“For WordPress 3.7+, you don’t have to lift a finger to apply minor and security updates.”
“Before you get started, it’s a good idea to back up your website.”
“You’ll still need to click “Update Now” for major feature releases.”
- WordPress.org (Developer Resources): Upgrading WordPress – Advanced Administration Handbook | Developer.WordPress.org, geraadpleegd op
“Starting with WordPress 5.6, new installations have automatic updates enabled for both minor and major core releases by default, unless WordPress detects a version control checkout.”
“Existing installations keep the previous behavior unless major core auto-updates are enabled by a site administrator, constant, or filter.”
“Going forward, this will be one of the best ways to guarantee your site stays up to date and secure and, as such, disabling these updates is strongly discouraged.”
“Automatic background updates were introduced in WordPress 3.7 in an effort to promote better security, and to streamline the update experience overall.”
“The core developers made a conscious decision to enable automatic updates for minor releases and translation files out of the box.”
- WordPress.org: Plugin and themes auto-updates – Documentation – WordPress.org, geraadpleegd op
“Since WordPress 5.5, websites Administrators can manually opt-in for automatic updates theme by theme and plugin by plugin.”
“By default WordPress runs auto-updates twice per day.”
“Before enabling auto-updates on your plugins and themes, you may want to make sure you’re able to rollback to a previous version of your website in case things go wrong.”
“Depending on your server, your installation or on the plugins your website is running, auto-updates scheduling may not work correctly. Indeed, they rely on WordPress Cron tasks to actually perform the update.”
“To keep your WordPress site secure, you should always update your plugins and themes to the latest version.”
- WordPress.org: Manage Plugins – Documentation – WordPress.org, geraadpleegd op
“If a plugin hasn’t been updated since the most recent update to WordPress core, it may be incompatible, or its compatibility may be unknown.”
- WordPress.org (Developer Resources): Hardening WordPress – Advanced Administration Handbook | Developer.WordPress.org, geraadpleegd op
“Older versions of WordPress are not maintained with security updates.”
“If a vulnerability is discovered in WordPress and a new version is released to address the issue, the information required to exploit the vulnerability is almost certainly in the public domain.”
“Attempting to gain access to your blog by using “brute-force” password guessing.”
“Sending specially-crafted HTTP requests to your server with specific exploit payloads for specific vulnerabilities. These include old/outdated plugins and software.”
- WooCommerce (Automattic): How to update WooCommerce Documentation - WooCommerce, geraadpleegd op
“Before you update WooCommerce, make a current backup and test the update on a staging site whenever possible.”
“Note: Do not test updates directly on your production site.”
“After WooCommerce itself is updated, update your extensions, themes, and payment gateways. These updates are part of the same maintenance window because compatibility often depends on the full set of active store software.”
“A monthly cadence works well for most stores.”
“Update sooner than your regular schedule if a release includes a security fix or resolves broken functionality your store depends on.”
- WordPress.org (Developer Resources): Backups – Advanced Administration Handbook | Developer.WordPress.org, geraadpleegd op
“Restore the WordPress files first, then restore/import the database.”
Over de auteur
Tekin Uslu is oprichter van Digitaalnu en van moederbedrijf DigiHand (Haarlem, sinds 2009). Hij werkt sinds 2006 in data engineering, geo-informatie en IT-architectuur. Meer over Tekin Uslu →
Wil je hier meer over weten?
Neem contact op voor een vrijblijvend gesprek of bekijk onze diensten.