Veilige WordPress-plugins kiezen: zo maak je een goede keuze.
Een plugin installeren kost tien seconden, maar je haalt er ook code van een onbekende partij mee binnen. Wie veilige WordPress-plugins kiest, voorkomt een groot deel van de hacks en storingen waar we in Maastricht en de rest van Limburg mee te maken krijgen. In dit artikel lees je waar je op let voordat je op Installeren klikt, en hoe je je pluginlijst daarna gezond houdt.
Waarom de keuze van je plugins zo belangrijk is.
Een plugin draait met dezelfde rechten als WordPress zelf. Zit er een lek in, dan kan een aanvaller via die ene plugin vaak bij je hele site, je database en soms ook je e-mail. Bij sites die gehackt bij ons binnenkomen, blijkt de oorzaak opvallend vaak een verouderde of illegale plugin te zijn. Op onze pagina over WordPress beveiliging en hack herstel lees je hoe zo'n opruimactie verloopt.
Daarnaast heeft elke plugin invloed op snelheid en stabiliteit. Een contactformulier dat op elke pagina scripts laadt, of twee plugins die hetzelfde proberen te doen, kunnen elkaar in de weg zitten. Een goede keuze vooraf scheelt dus niet alleen risico, maar ook gedoe achteraf.
Veilige WordPress-plugins herkennen: de checklist.
Voor plugins uit de officiële bibliotheek op WordPress.org staat de belangrijkste informatie gewoon in de zijbalk van de pluginpagina. Loop deze punten na:
- Laatste update: is de plugin in de afgelopen maanden bijgewerkt? Een plugin die al lang stil ligt, krijgt waarschijnlijk ook geen beveiligingsfixes meer.
- Actieve installaties: een plugin met veel actieve installaties wordt door veel mensen gebruikt en getest. Weinig installaties is niet per se slecht, maar vraagt wel om extra kritisch kijken.
- Compatibiliteit: kijk bij "Getest tot" of de plugin getest is met jouw WordPress-versie, en controleer de minimale PHP-versie. WordPress.org toont zelf een waarschuwing als een plugin al een tijd niet getest is met recente versies.
- Ontwikkelaar: wie maakt de plugin? Een bekend bedrijf of een ontwikkelaar met meerdere goed onderhouden plugins is een beter teken dan een anonieme naam zonder website.
- Reviews: lees vooral de recente en de negatieve reviews. Die vertellen je meer dan het gemiddelde aantal sterren, bijvoorbeeld of een update ooit sites heeft laten crashen.
- Supportforum: reageert de ontwikkelaar op vragen, en worden problemen opgelost? Een forum vol onbeantwoorde topics is een waarschuwing.
Koop je een premium plugin, bijvoorbeeld een uitbreiding voor Elementor of WooCommerce? Koop die dan altijd rechtstreeks bij de maker, zodat je een geldige licentie hebt en automatische updates ontvangt.
Blijf weg van nulled en gekraakte plugins.
Op sommige websites vind je betaalde plugins gratis, de zogenaamde nulled of gekraakte versies. Dat lijkt een mooie besparing, maar het is een van de snelste manieren om je site te laten hacken. In zulke bestanden zit regelmatig verborgen code die een achterdeur opent, spam verstuurt of bezoekers doorstuurt naar andere sites.
Daarbij krijg je geen updates, dus ook een eerlijke kopie raakt snel verouderd. En je gebruikt software zonder geldige licentie. Kortom: de paar tientjes die je bespaart, staan niet in verhouding tot de kosten van een opschoning en de schade aan je reputatie. Twijfel je of een plugin op je site legaal is aangeschaft, vraag het dan na bij degene die de site gebouwd heeft.
Hoeveel plugins is te veel?
Er bestaat geen magisch getal. Twintig goed onderhouden, lichte plugins kunnen prima werken, terwijl vijf slecht gebouwde plugins een site traag en kwetsbaar maken. Het gaat om kwaliteit en noodzaak, niet om het aantal.
Stel jezelf bij elke plugin twee vragen: heb ik deze functie echt nodig, en kan iets dat ik al heb het ook? Een paginabouwer als Elementor doet bijvoorbeeld al veel van wat losse slider- of knopplugins beloven. Elke plugin die je niet installeert, hoef je ook niet bij te werken en kan ook niet lekken. Merk je dat je site traag wordt, dan lees je op WordPress website sneller maken hoe plugins daarin meespelen.
Plugins opruimen: zo pak je het aan.
Een site die een paar jaar meegaat, verzamelt vaak plugins die ooit voor een actie of test zijn geïnstalleerd. Een restaurant in het centrum van Maastricht heeft bijvoorbeeld nog een oude reserveringsplugin staan, terwijl reserveren allang via een externe widget loopt. Zo ruim je op:
- Maak eerst een volledige back-up van bestanden en database.
- Maak een lijst van alle plugins en noteer per plugin waarvoor hij dient.
- Verwijder plugins die gedeactiveerd zijn. Ook uitgeschakelde plugins staan nog op de server en kunnen een lek bevatten.
- Zoek dubbele functies op en houd de beste over.
- Test na elke verwijdering de belangrijkste pagina's en formulieren.
Doe dit bij voorkeur eerst op een testomgeving, zeker bij een webshop of een site met afspraak- of reserveringsfunctie.
Wat als een plugin niet meer onderhouden wordt?
Het gebeurt regelmatig: een plugin die je al jaren gebruikt, krijgt geen updates meer, of wordt uit de WordPress.org-bibliotheek gehaald. Soms gebeurt dat juist vanwege een beveiligingsprobleem. Laat zo'n plugin niet zomaar staan.
- Kijk of er een actief onderhouden alternatief is dat hetzelfde doet, en plan de overstap.
- Controleer of de functie nog nodig is. Soms kan de plugin gewoon weg.
- Is de functie onmisbaar en is er geen alternatief, laat dan een ontwikkelaar kijken of het met een paar regels eigen code op te lossen is.
- Houd tot die tijd extra goed in de gaten of er kwetsbaarheden voor de plugin worden gemeld.
Dit soort controles nemen we mee in ons WordPress onderhoud: we zien in één overzicht welke plugins kwetsbaar of verouderd zijn en pakken dat op voordat het een probleem wordt. Meer over hoe 043WEB ruim 700 websites onderhoudt, lees je op de onderhoudspagina van 043WEB.
Veelgestelde vragen.
Is een gratis plugin minder veilig dan een betaalde?
Niet per se. Veel gratis plugins uit de officiële WordPress.org-bibliotheek worden goed onderhouden. Het gaat om hoe actief de plugin wordt bijgewerkt en wie hem maakt. Een betaalde plugin is alleen veilig als je hem bij de maker koopt en updates blijft ontvangen.
Moet ik gedeactiveerde plugins verwijderen?
Ja. Een gedeactiveerde plugin staat nog steeds op de server en kan een lek bevatten. Heb je hem niet meer nodig, verwijder hem dan helemaal, na een back-up.
Kan 043WEB mijn plugins controleren?
Ja. Als WordPress-specialist in Maastricht kijken we welke plugins je gebruikt, welke verouderd of overbodig zijn en wat je beter kunt vervangen. Neem contact op, dan bekijken we je site.
Hulp nodig met je WordPress-site?
Vertel ons wat je nodig hebt, een nieuwe site, onderhoud of hulp bij een probleem. We kijken mee en laten je snel weten wat we kunnen doen.