Je website hoeft geen 25 plugins te hebben om vijf pagina's te tonen.

Waar komen deze cijfers vandaan?

Van WordPress gebruik je een tiende. De rest staat wel online.

WordPress is in 2003 begonnen als blogplatform en is gebouwd voor redacties: meerdere auteurs, reacties, rollen en rechten, een winkel aan plugins en thema's. Een site van een ondernemer is meestal vijf tot tien pagina's, een contactformulier en soms nieuws.

Om dat voor elkaar te krijgen draait een gemiddelde WordPress-site 20 tot 30 plugins, en zes op de tien sites hebben er ook nog een page builder bovenop. Elke plugin is code van iemand anders, met eigen updates en eigen lekken. In 2025 zat 91% van alle WordPress-lekken in plugins, 9% in thema's en minder dan 1% in WordPress zelf.

Oftewel: WordPress is best veilig. Wat eromheen zit niet.

Aanvallers hebben een lek gemiddeld binnen vijf uur in gebruik. Jij update op zaterdag.

Het advies is al jaren hetzelfde: houd je plugins bij. Dat doet bijna niemand: 88% van de WordPress-sites loopt achter, en bij kleine bedrijven is het nog iets meer. Logisch, want jij hebt een bedrijf te runnen.

Maar zelfs wie wél bijhoudt, is niet veilig. Bijna de helft van de lekken (46%) had nog geen fix toen het bekend werd. En updaten is zelf een risico geworden: in april 2026 werden in drie dagen 25 plugins in de officiële WordPress-bibliotheek gekaapt. Zo'n 800.000 sites haalden 's nachts automatisch een achterdeur binnen.

Het gebeurt ook hier. In juni 2026 riepen VNO-NCW en MKB-Nederland ondernemers op hun WordPress-site te controleren, na een politieactie tegen een netwerk dat gehackte sites gebruikte om malware te verspreiden. Onder de Nederlandse slachtoffers: restaurants, autogarages en andere kleine bedrijven met een eigen website. Niemand had het op hén gemunt. Hun site stond gewoon open.

Tot nu toe moest een mens het lek vinden. Dat is voorbij.

In het voorjaar van 2026 liet Anthropic zien wat een AI-model kan als je het loslaat op software: het model Mythos vond in een maand tijd meer dan 10.000 ernstige beveiligingslekken in de belangrijkste software ter wereld, en schreef in 83% van de gevallen in één keer een werkende aanval. Dat model is bewust niet vrij beschikbaar.

Maar vrij beschikbare modellen, vooral uit China, lopen niet ver achter en zijn zonder rem te downloaden. Beveiligingsbedrijven verwachten dat deze capaciteit binnen één tot anderhalf jaar bij iedereen ligt, ook bij mensen met slechte bedoelingen.

Voor een WordPress-site betekent dat: de 70.000 plugins in de bibliotheek, waarvan niemand ooit alle code heeft nagekeken, kunnen straks systematisch worden doorgelicht door een machine die niet moe wordt. Het venster van vijf uur wordt nul uur, want er is geen bekendmaking meer om op te wachten. En één gevonden lek werkt op alle sites tegelijk die dezelfde plugin draaien.

Daar kun je je maar op één manier tegen wapenen: zorgen dat er niets te vinden is. Op de websites die ik bouw draait geen programma, er is geen database en geen inlogpagina; er staan alleen kant-en-klare pagina's. Een machine kan zoeken wat hij wil, maar hij vindt geen deur, want er zit er geen in.

Een klein beheersysteem: pagina's, nieuws, afbeeldingen, een formulier. Meer niet, en dat is de bedoeling.

Jouw website bestaat uit platte HTML-pagina's op je eigen hosting. Er draait geen programma op de server, er is geen database en geen inlogpagina. Het beheer gebeurt ergens anders, afgeschermd, en zet alleen kant-en-klare pagina's op je site. Er valt op je website dus niets in te breken, want er is niets dat draait. Jij past teksten en foto's aan in een simpele beheeromgeving; hosting in de EU, back-ups en onderhoud zitten bij mij in één vast bedrag.