Je opent in je dashboard Plugins > Geïnstalleerde plugins en telt dertig plugins. Vijf daarvan herken je niet, en van twee weet je niet of ze nog iets doen. Goede WordPress-plugins en thema’s herken je aan recente updates, compatibiliteit met de huidige WordPress-versie, veel actieve installaties en een actieve ontwikkelaar. Houd het aantal plugins laag, verwijder wat je niet gebruikt en installeer nooit nulled versies.
In deze gids loop ik langs hoe je kiest, hoe je beheert en wanneer je opruimt, met per onderwerp een verwijzing naar een artikel dat dieper ingaat.
Plugins en thema’s: wat is het verschil?
Een WordPress-plugin is software die functionaliteit aan je site toevoegt, zoals een contactformulier of een webshop. Je kunt het vergelijken met apps op je telefoon, die je elk voor één taak installeert. Een WordPress-thema bepaalt de vormgeving en lay-out van je site, van kleuren en lettertypen tot de kop en voettekst. Daartussenin zit de pagebuilder, een plugin waarmee je pagina’s visueel opbouwt en die daardoor veel invloed heeft op hoe je site eruitziet. Of je zo’n builder nodig hebt, lees je verderop in dit artikel.
Wat plugins en thema’s gemeen hebben, is dat het code van derden is die op jouw server draait. Een fout of lek in die code wordt dus een probleem van jouw site, ook al heb je hem zelf niet geschreven. Verouderde plugins zijn een van de bekendste routes die je terugziet in hoe een WordPress-website gehackt wordt. Een plugin bepaalt wat je site doet en een thema hoe hij eruitziet, maar voor allebei ben jij als eigenaar verantwoordelijk.
Heb je hier wel een plugin voor nodig?
Voor veel taken heb je geen extra plugin nodig, omdat WordPress, je thema of je hosting het al regelt. Daarom kijk ik altijd eerst wat er al is voordat ik iets installeer. WordPress zelf doet meer dan veel mensen denken. De blokeditor bouwt pagina’s met kolommen, knoppen en galerijen, en WordPress maakt standaard een XML-sitemap aan. Ook veel thema’s hebben eigen instellingen voor kleuren, lettertypen, kop en voettekst, zodat je daar geen aparte plugin voor nodig hebt.
De grootste winst zit vaak bij de hosting. Bij goede managed WordPress hosting draaien back-ups, malwarescans en een firewall op serverniveau. Op de shared pakketten van Surver zijn dat automatische back-ups, Imunify voor malwarescans en de ModSecurity-firewall. Caching loopt via de LiteSpeed-server samen met één cacheplugin, en een staging-omgeving maak je met een kloon van je installatie in Installatron. Een back-upplugin of zware beveiligingsplugin ernaast doet dan grotendeels hetzelfde werk nog een keer.
Mijn regel is simpel. Elke plugin moet een taak hebben die niets anders op je site al doet. Twee cacheplugins of een back-upplugin naast de back-ups van je hosting maken je site niet veiliger, wel zwaarder, en toch komen we die dubbelingen geregeld tegen. Wat vrijwel elke site wel nodig heeft, zijn een SEO-plugin, een formulierplugin en een cookiebanner. Een spamfilter heb je alleen nodig als reacties aanstaan.
Zo beoordeel je een WordPress-plugin of thema
Een plugin of thema beoordeel je op een handvol signalen uit de WordPress-pluginmap, de officiële repository op wordpress.org/plugins, of op de site van de verkoper. In de tabel staat per signaal wat een goed teken is en wanneer je beter even doorzoekt.
| Signaal | Waar vind je het | Goed teken | Waarschuwing |
|---|---|---|---|
| Laatste update | Pluginpagina, veld “Laatst bijgewerkt” | Update in de afgelopen maanden | Langer dan een jaar geen update (onze vuistregel) |
| “Getest tot”-versie | Pluginpagina, veld “Getest tot” | Huidige of vorige WordPress-versie | Melding dat de plugin niet getest is met recente WordPress-versies |
| Actieve installaties | Pluginpagina | Duizenden actieve installaties of meer | Weinig installaties en een onbekende ontwikkelaar |
| Beoordelingen | Tab met beoordelingen | Veel beoordelingen en positieve recente reviews | Recente 1-sterrenbeoordelingen over dezelfde fout |
| Supportforum | Tab met ondersteuning | Vragen worden beantwoord en opgelost | Maanden geen reactie van de ontwikkelaar |
| Bekende kwetsbaarheden | WPScan of Patchstack | Geen open meldingen, of snel gedicht | Open kwetsbaarheid zonder update |
| Bron of ontwikkelaar | Pluginmap of website van de maker | Officiële pluginmap of bekende ontwikkelaar | Download van een onbekende site |
Geen enkel signaal is op zichzelf bewijs, het gaat om de combinatie. Een kleine plugin met weinig installaties kan prima zijn als de maker hem goed bijhoudt. Populair is omgekeerd niet automatisch veilig, want juist veelgebruikte plugins zijn een aantrekkelijk doelwit voor aanvallers. Lees daarom altijd de recente beoordelingen en niet alleen het gemiddelde. Zie ik een reeks 1-sterrenbeoordelingen over dezelfde fout na de laatste update, dan wacht ik met installeren.
Gratis of premium?
Premium is niet automatisch beter dan gratis. Voor een premium plugin betaal je een licentie, en die geeft je toegang tot updates en support. Daar zit ook de valkuil. Verloopt de licentie, dan krijg je vaak geen updates meer, en dan gedraagt de plugin zich als een verlaten plugin, met dezelfde risico’s. Een nulled plugin is een gekraakte versie van een betaalde plugin, die geregeld malware bevat, en die installeer je nooit. Waarom niet, lees je in waarom je nulled thema’s en plugins nooit gebruikt.
Een WordPress-thema kiezen
Een WordPress-thema kies je met dezelfde signalen als een plugin, plus een paar punten die specifiek voor thema’s gelden. Een lichtgewicht thema laadt alleen wat je gebruikt, terwijl een alles-in-één thema soms tientallen plugins meelevert die je daarna allemaal moet bijhouden. Controleer of het thema responsive is, dus goed werkt op mobiel, toegankelijk is en past bij je editor of pagebuilder. Wil je het thema aanpassen, doe dat dan in een child theme, een kindthema dat je wijzigingen bewaart als het hoofdthema een update krijgt. Hoe dat werkt, staat in child theme maken en een thema installeren en aanpassen. Wil je dat maatwerk liever niet zelf doen, dan bouwt onze webmasterservice het voor je.
Hoeveel WordPress-plugins is te veel?
Er is geen magisch aantal, want één slechte plugin weegt zwaarder dan tien goede. Wat wel telt, is overlap tussen plugins, zware plugins die op elke pagina scripts laden en het aantal plugins dat je zelf nog kunt bijhouden. Een typisch voorbeeld is een formulierplugin die zijn scripts op elke pagina inlaadt, terwijl je maar één contactpagina hebt. Elke plugin is bovendien een extra update om in de gaten te houden, dus meer plugins betekent ook meer onderhoud.
Meet het in plaats van te gokken. Test de laadsnelheid van een paar pagina’s voor en na het installeren van een plugin, dan zie je direct wat hij kost. Meer over meten en de andere oorzaken van vertraging lees je in waarom je WordPress-website traag is. Mijn advies is om streng te zijn. Kun je van een plugin niet in één zin zeggen wat hij doet, dan hoort hij er niet. Wil je laten uitzoeken welke plugin je site vertraagt, dan kan dat via WordPress snelheid optimalisatie.
WordPress-plugins en thema’s veilig bijhouden
Veilig bijhouden betekent tijdig updaten, kwetsbaarheden volgen en elk kwartaal controleren wat er op je site staat. Het meeste werk zit in die vaste routine, niet in dure tools. Wie elke maand updatet en elk kwartaal opruimt, voorkomt de meeste problemen die we bij verwaarloosde sites tegenkomen.
Updates: wanneer en hoe
Updates zijn het belangrijkste beveiligingsmiddel dat je hebt, omdat ze bekende lekken dichten. Maak voor elke update een back-up, ook als het om een kleine plugin gaat. Grote updates en updates van WooCommerce of je pagebuilder test ik eerst in een staging-omgeving, een kopie van je site waarop een fout geen bezoekers raakt. Bij een WooCommerce-webshop wil je na elke update ook de checkout en betaalkoppelingen controleren, en daarvoor is er WooCommerce onderhoud.
Je kunt automatische updates aan of uit zetten per plugin. Ik doe dat alleen voor ontwikkelaars die ik vertrouw, en ook dan controleer ik na een update of de site nog werkt. Gaat er toch iets mis, lees dan wat je doet bij een site kapot na een update.
Kwetsbaarheden in de gaten houden
Een kwetsbaarheid is een fout in de code waardoor een aanvaller iets kan wat niet de bedoeling is, zoals inloggen of bestanden plaatsen. Kwetsbaarheden in plugins en thema’s worden gepubliceerd in databases zoals WPScan en Patchstack. Een melding betekent niet meteen dat je site gehackt is. Meestal is er al een update die het lek dicht, en dan is updaten genoeg, maar komt er geen update, dan vervang je de plugin. Hoe je die meldingen bijhoudt, lees je in kwetsbaarheden in plugins monitoren. Is een lek al misbruikt en is je site besmet, dan wordt het een hersteltraject, en daarvoor kun je terecht bij WordPress gehackt.
De plugin-audit: elk kwartaal tien minuten
Een plugin-audit is een vaste controle van alle plugins en thema’s op je site. Ik vergelijk het met de meterkast, waar je eens per kwartaal kijkt wat er nog aan hangt en wat er weg kan.
- Maak een lijst van alle plugins en thema’s via Plugins > Geïnstalleerde plugins en Weergave > Thema’s.
- Noteer per plugin wat hij doet en of je dat nog gebruikt.
- Controleer per plugin de laatste update en de “Getest tot”-versie.
- Zoek per plugin in WPScan of Patchstack naar een bekende kwetsbaarheid.
- Vervang of verwijder overbodige en verlaten plugins, na een back-up en bij twijfel eerst op staging.
- Verwijder ongebruikte thema’s, op één standaardthema als reserve na.
Opruimen: verouderde en ongebruikte plugins
Een plugin die je niet gebruikt, verwijder je, want uitschakelen is niet genoeg. De bestanden van een uitgeschakelde plugin staan nog op je server en kunnen nog steeds kwetsbaar zijn. Een verlaten plugin herken je aan een lange periode zonder updates en een stil supportforum. Een premium plugin met een verlopen licentie valt in dezelfde categorie, omdat hij geen updates meer krijgt. Let er ook op dat sommige plugins bij het verwijderen tabellen en instellingen in de database achterlaten. Dat is meestal onschuldig, maar na een grote opruimactie loont het om ook de database op te schonen.
Verwijder nooit zonder back-up, en test een vervanger bij twijfel eerst op staging. Werkt je dashboard niet meer na een mislukte plugin, dan schakel je die uit door de map te hernoemen via File Manager. Het volledige stappenplan, inclusief het vervangen van een verlaten plugin, staat in verouderde en ongebruikte plugins opruimen.
Pagebuilders, Elementor en thema wisselen
Pagebuilders, Elementor en een themawissel hebben elk een eigen artikel, omdat ze meer invloed op je site hebben dan een gemiddelde plugin. Een pagebuilder raakt elke pagina, dus een fout daarin zie je meteen overal terug. Twijfel je tussen een visuele pagebuilder en de standaardeditor, lees dan pagebuilder of blokeditor. Kies je voor een pagebuilder, houd het dan bij één, want twee builders naast elkaar laden dubbele code en maken overstappen later lastig.
Gebruik je Elementor, update Elementor en Elementor Pro dan altijd samen, anders loop je tegen fouten in de editor aan. Hoe je dat aanpakt, staat in Elementor onderhouden. Een ander thema activeer je nooit rechtstreeks op je live-site, maar altijd eerst op staging, omdat menu’s, widgets en opmaak kunnen verschuiven. De volledige aanpak lees je in WordPress-thema wisselen zonder je site te breken.
Waar begin je vandaag?
De beste start is de plugin-audit hierboven, te beginnen bij de plugins die je niet herkent. Zoek per onbekende plugin uit wat hij doet en verwijder hem na een back-up als niemand het weet. Nieuwe plugins voeg je toe via Plugins > Nieuwe plugin, uit de pluginmap of als ZIP-bestand. Hoe dat stap voor stap werkt, lees je in plugins installeren, beheren en updaten.
Wat we bij Surver standaard regelen, scheelt je een paar plugins. Back-ups, malwarescans met Imunify en de ModSecurity-firewall draaien op alle shared pakketten, dus een back-up- of beveiligingsplugin heb je niet nodig. Bij een nieuwe WordPress-installatie zetten we LiteSpeed Cache, Astra en Elementor er standaard op. Een SEO-plugin (Rank Math) en een cookiebanner (Complianz) kun je als premium add-on afnemen, en die richten we dan voor je in. Wil je plugins en thema’s niet zelf bijhouden, dan nemen we dat over met WordPress onderhoud. We werken core, thema’s en plugins dan maandelijks bij, vanaf Business draait dagelijks een vulnerability scanner, en bij Enterprise testen we updates eerst op staging.
Veelgestelde vragen
Zijn WordPress-plugins veilig?
De meeste wel, als ze uit een betrouwbare bron komen en actief worden bijgehouden. Het risico zit vooral in verouderde, verlaten en nulled plugins. Houd je updates bij en ruim op wat je niet gebruikt, dan beperk je dat risico flink.
Zijn WordPress-plugins gratis?
Veel wel, via de officiële pluginmap op wordpress.org. Premium versies vragen een licentie, en die heb je nodig om updates en support te blijven krijgen. Reken dus ook de verlenging mee als je een premium plugin kiest.
Hoeveel thema’s mag ik geïnstalleerd hebben?
Je actieve thema, eventueel je child theme, plus één standaardthema als reserve. Dat reservethema heb je nodig als je eigen thema ooit faalt. Alle andere thema’s verwijder je, want ook een inactief thema kan kwetsbaar zijn.
Heb ik bij Surver een cache- of back-upplugin nodig?
Een back-upplugin niet, want Surver maakt op de shared pakketten automatisch back-ups op serverniveau. Als cacheplugin gebruik je alleen LiteSpeed Cache, die samenwerkt met de LiteSpeed-server en bij een nieuwe installatie al wordt meegeïnstalleerd. Een tweede cacheplugin is overbodig.
