Website beveiligen: een praktische checklist voor het mkb

Website beveiligen: kort antwoord

Je website beveiligen begint bij de basis die de meeste geautomatiseerde aanvallen tegenhoudt: houd je CMS, plug-ins en thema’s bij, verwijder wat je niet gebruikt en geef iedereen een persoonlijk account met tweestapsverificatie. Laat elke pagina via HTTPS laden met HSTS en de belangrijkste security-headers, zorg voor back-ups die je echt hebt teruggezet, bescherm je e-maildomein met SPF, DKIM en DMARC en publiceer een security.txt, zodat anderen je kunnen waarschuwen. Spreek vooraf af wie je belt als je website gehackt is, want een datalek moet je mogelijk binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Gratis tools zoals internet.nl laten zien waar je begint, maar vervangen geen securitytest van inlogomgevingen, formulieren en maatwerkcode.

Hoe houd je WordPress en andere CMS-software up-to-date?

De meeste aanvallen op websites van kleine bedrijven zijn niet persoonlijk. Het NCSC beschrijft software die websites op het hele internet afzoekt en automatisch probeert binnen te komen via bekende kwetsbaarheden. Zo kunnen ook aanvallers met weinig technische kennis flinke schade aanrichten. Een verouderde plug-in op de site van de bakker om de hoek wordt op dezelfde manier gevonden als bij een grote webwinkel.

De zomer van 2026 liet zien hoe snel dat gaat. Op 21 juli waarschuwde het NCSC voor twee kwetsbaarheden in WordPress Core. Via de ernstigste (CVSS-score 9.8) kon een aanvaller zonder in te loggen op afstand code uitvoeren, en kort na de publicatie werd al misbruik gezien. De lekken zijn onder meer gedicht in de versies 6.8.6, 6.9.5 en 7.0.2. Op 27 augustus 2026 meldde de Autoriteit Persoonsgegevens (AP) veel datalekmeldingen te ontvangen die met deze kwetsbaarheden te maken hadden, en publiceerde de toezichthouder advies voor getroffen WordPress-gebruikers.

De les geldt niet alleen voor WordPress. Elk CMS, elke plug-in, elk thema en elk serveronderdeel heeft iemand nodig die beveiligingsupdates installeert en controleert of ze goed zijn doorgevoerd.

Installeer beveiligingsupdates snel

WordPress ondersteunt sinds versie 3.7 automatische updates, en volgens de eigen beveiligingshandleiding krijgen oudere versies geen beveiligingsupdates meer. Zet automatische kleine updates en beveiligingsupdates aan als je installatie dat toelaat, en kijk regelmatig in het dashboard of er updates zijn die handwerk vragen. Spreek ook voor andere systemen, zoals maatwerkapplicaties, af hoe snel kritieke patches worden doorgevoerd.

Verwijder plug-ins en thema’s die je niet gebruikt

Het advies van WordPress zelf is eenvoudig: houd plug-ins bijgewerkt en verwijder de plug-ins die je niet gebruikt. Een gedeactiveerde plug-in staat nog steeds op de server en kan nog steeds kwetsbare code bevatten. Dat geldt ook voor oude thema’s, testinstallaties en vergeten subdomeinen. Hoe minder onderdelen, hoe minder updates je hoeft bij te houden en hoe minder ingangen er zijn.

Installeer alleen software uit betrouwbare bronnen

Download WordPress alleen via wordpress.org en kies plug-ins en thema’s uit de officiële bibliotheek of van bekende leveranciers. Onofficiële kopieën van betaalde plug-ins kunnen verborgen malware bevatten. Met de instelling DISALLOW_FILE_EDIT in wp-config.php zet je de ingebouwde code-editor uit. Volgens WordPress is die editor vaak het eerste hulpmiddel dat een aanvaller gebruikt zodra die is ingelogd.

Leg afspraken over onderhoud vast

Het NCSC raadt aan je leverancier te vragen wanneer de laatste beveiligingsupdates zijn geïnstalleerd, waarom updates eventueel zijn overgeslagen en hoe met verouderde plug-ins wordt omgegaan. Het NCSC deelt ook het verhaal van een horecaondernemer wiens webshop wekenlang uit de lucht lag door een beveiligingslek, omdat er met de IT-leverancier geen duidelijke afspraken over updates waren gemaakt. Onderhoudt iemand anders je website? Leg dan vast wie wat bijwerkt, hoe vaak en hoe jij op de hoogte blijft.

• NCSC: ernstige kwetsbaarheden in WordPress Core
• NCSC: is mijn website veilig?
• AP: advies aan WordPress-gebruikers die getroffen zijn door een datalek
• WordPress: handleiding voor beveiliging (Engelstalig)
• Wat kost een website, inclusief onderhoud?

Hoe beveilig je beheeraccounts en inloggegevens?

Met een gestolen of geraden wachtwoord heeft een aanvaller dezelfde toegang als jij. De meeste CMS- en hostingaccounts kun je in één middag een stuk beter beveiligen. Niet voor niets is het beheren van toegang een van de vijf basisprincipes die het NCSC ondernemers meegeeft.

Begin met een overzicht van alle accounts waarmee iemand je website kan aanpassen: beheerders en redacteuren in het CMS, het controlepaneel van je hostingpartij, je domeinregistratie en DNS, FTP- of SSH-toegang, analysetools en de zakelijke mailboxen waarmee al die wachtwoorden te resetten zijn.

Via de subsidieregeling Mijn Cyberweerbare Zaak van het NCSC kunnen kleine bedrijven in 2026 de helft van de kosten van bijvoorbeeld tweestapsverificatie of een wachtwoordmanager vergoed krijgen, tot maximaal €1.250. De voorwaarden vind je bij de veelgestelde vragen hieronder.

Persoonlijke accounts met alleen de nodige rechten

Het NCSC adviseert mensen alleen toegang te geven tot de systemen en informatie die ze voor hun werk nodig hebben, zolang ze die nodig hebben, en gedeelde accounts te vermijden. In een CMS betekent dat: een redacteursrol voor wie nieuwsberichten schrijft, en beheerdersrechten alleen voor wie de site onderhoudt. Met persoonlijke accounts zeggen je logbestanden bovendien iets, want je ziet wie wat heeft gewijzigd.

Sterke, unieke wachtwoorden in een wachtwoordmanager

Hergebruikte wachtwoorden zijn het grootste risico: lekt één dienst, dan zijn alle accounts met hetzelfde wachtwoord kwetsbaar. Met een wachtwoordmanager zijn lange, unieke wachtwoorden haalbaar voor het hele team. De beveiligingshandleiding van WordPress raadt bovendien wachtwoorden af die gebaseerd zijn op namen, bedrijfsnamen of woorden uit het woordenboek.

Tweestapsverificatie op elke belangrijke login

Het NCSC raadt aan inloggen in twee stappen aan te zetten voor je bedrijfsapplicaties, en in elk geval voor je zakelijke e-mail. Voeg daar voor je website je hostingaccount, je domeinregistratie en de beheerdersaccounts in het CMS aan toe. Niet elke methode is even sterk: volgens het NCSC is een code per e-mail makkelijker te onderscheppen dan bijvoorbeeld een vingerafdruk. Kies daarom een methode die past bij je risico’s.

Trek toegang in als mensen of leveranciers vertrekken

Pas rechten aan als iemand van functie wisselt, en trek ze in als een medewerker, freelancer of oud-leverancier vertrekt. Het NCSC noemt het plotselinge vertrek van een systeembeheerder als moment dat extra aandacht vraagt. Deactiveer serviceaccounts die je niet gebruikt en ruim oude koppelingen en API-sleutels op.

• NCSC: beheer toegang tot data en diensten
• NCSC: wat is tweefactorauthenticatie?
• NCSC: subsidieregeling Mijn Cyberweerbare Zaak

Welke HTTPS- en security-headerinstellingen heeft je website nodig?

HTTPS versleutelt de verbinding tussen de browser van een bezoeker en je server. Dat is de basis, niet het eindpunt. Het NCSC wijst erop dat een beveiligde verbinding niets zegt over de inhoud van een website: criminelen gebruiken HTTPS ook op nagemaakte websites. Security-headers geven browsers daarnaast instructies over hoe ze met je pagina’s moeten omgaan.

HTTPS en certificaten

Elke pagina, afbeelding en elk formulier hoort via HTTPS te laden, en certificaten moeten automatisch worden vernieuwd. Een gratis certificaat zoals Let’s Encrypt volstaat voor de meeste websites. Het NCSC merkt op dat zo’n certificaat kort geldig is, dus automatisch vernieuwen is belangrijk. Verouderde TLS-instellingen kunnen een verder geldig certificaat verzwakken. Het NCSC onderhoudt TLS-richtlijnen, en internet.nl toetst websites en mailservers daaraan.

Doorverwijzingen en HSTS

Verwijs HTTP eerst door naar HTTPS op dezelfde hostnaam, en pas daarna naar je voorkeursadres. De HTTP Observatory van Mozilla legt uit dat http://voorbeeld.nl eerst naar https://voorbeeld.nl moet gaan en pas dan naar https://www.voorbeeld.nl, zodat HSTS goed kan werken. De header Strict-Transport-Security vertelt browsers vervolgens dat ze je domein alleen via HTTPS mogen bezoeken. Volgens MDN kunnen bezoekers dan ook niet meer doorklikken bij een certificaatfout.

Begin met een korte max-age en verhoog die zodra alles werkt. Voor opname in de preloadlijst zijn een max-age van minstens 31.536.000 seconden (één jaar) en includeSubDomains nodig, waarmee je alle subdomeinen meeneemt. Een domein uit die lijst halen gaat traag, dus zet die stap alleen bewust.

Content-Security-Policy

Met een Content-Security-Policy (CSP) bepaal je welke scripts en andere bronnen je pagina’s mogen laden. MDN beschrijft CSP vooral als verdediging tegen cross-site scripting (XSS); de richtlijn frame-ancestors beschermt daarnaast tegen clickjacking. Een strenge policy kan analytics, chatwidgets of ingesloten video’s blokkeren. Test daarom eerst met de header Content-Security-Policy-Report-Only, die overtredingen meldt zonder iets tegen te houden.

Andere headers om te controleren

De test Beveiligingsopties van internet.nl kijkt naar X-Frame-Options, X-Content-Type-Options, Content-Security-Policy en Referrer-Policy, en naar security.txt. De HTTP Observatory van Mozilla signaleert ook onveilige cookie-instellingen. Deze instellingen staan meestal in de configuratie van je server, hostingpaneel of CDN, en niet in het CMS.

• MDN: Strict-Transport-Security (Engelstalig)
• MDN: Content Security Policy (Engelstalig)
• NCSC: wat is Transport Layer Security?
• Internet.nl: uitleg over beveiligingsopties

Hoe maak je een goede back-up van je website?

Een back-up is je vangnet als een hack, een mislukte update of een probleem bij je hostingpartij gegevens vernietigt. Hij telt alleen als je hem ook kunt terugzetten. Voor een website gaat het om de bestanden (inclusief uploads) en de database, plus een beschrijving van de configuratie die nodig is om de omgeving opnieuw op te bouwen.

Het NCSC adviseert de 3-2-1-regel: minimaal drie versies van je gegevens (het origineel en twee back-ups), op minstens twee verschillende soorten media, waarvan één kopie op een andere locatie. De basisprincipes van het NCSC vullen dat aan: koppel back-ups los van je productienetwerk, versleutel ze en zet er een datum bij. Zo is de kans kleiner dat je een besmette kopie terugzet.

Hoe lang je back-ups bewaart, is net zo belangrijk als hoe vaak je ze maakt. De beveiligingshandleiding van WordPress geeft het voorbeeld van een site die op 1 mei is gehackt, terwijl dat pas op 12 mei wordt ontdekt. Met wekelijkse snapshots die lang genoeg bewaard blijven, heb je dan nog een schone kopie van vóór de aanval. Bewaart je hostingpartij maar een paar dagen, dan kan een laat ontdekte hack al in elke kopie zitten.

Wij raden aan minstens één keer een volledige herstelprocedure te testen, bij voorkeur op een aparte testomgeving, en dat te herhalen na grote wijzigingen. Noteer hoe lang het terugzetten duurde en wat er ontbrak. Ook het NCSC adviseert om herstellen te oefenen en regelmatig te controleren of de gegevens in je back-up nog intact zijn.

• NCSC: maak in 3 stappen een goede back-up
• NCSC: bereid je voor op incidenten

Hoe voorkom je dat anderen mailen uit naam van je bedrijf?

Het domein van je website is meestal ook je e-maildomein. Zonder de juiste DNS-records kunnen criminelen phishingmails versturen die van jouw bedrijf lijken te komen, en dat kost je het vertrouwen van klanten en leveranciers. Drie standaarden werken hier samen. Forum Standaardisatie noemt DMARC, SPF en DKIM een essentiële combinatie om veilig te e-mailen.

De e-mailtest van internet.nl controleert deze records, samen met beveiligd transport (STARTTLS en DANE). Je krijgt een link naar het rapport die je kunt doorsturen naar je e-mailprovider.

SPF

Met SPF geef je aan welke mailservers namens je domein mogen versturen. Neem elke dienst op die namens jou mailt, zoals je mailprovider, nieuwsbrieftool, CRM, webshop en het contactformulier op je website.

DKIM

DKIM zet een versleutelde handtekening op uitgaande e-mail. De ontvangende server controleert die met een sleutel in je DNS en weet zo dat het bericht echt van jouw domein komt en onderweg niet is aangepast.

DMARC

DMARC vertelt ontvangende mailservers wat ze moeten doen als de controle op SPF of DKIM mislukt, en stuurt jou rapporten over mail die jouw domein gebruikt. Het beleid kan none (alleen monitoren), quarantine (als verdacht behandelen) of reject (weigeren) zijn. Wij raden aan te beginnen met none en rapportages, je legitieme afzenders op orde te brengen en daarna stap voor stap naar quarantine en reject te gaan.

Domeinen waarvandaan je niet mailt

Ook geparkeerde en extra domeinen kunnen worden misbruikt. Voor de overheid staat DMARC op de ‘pas toe of leg uit’-lijst van Forum Standaardisatie, en moet het worden toegepast op alle overheidsdomeinnamen, ook als daarvandaan niet wordt gemaild. Internet.nl merkt eveneens op dat sommige e-mailstandaarden relevant zijn als er geen mailservers zijn ingesteld. Voor een klein bedrijf werkt dezelfde logica.

• Forum Standaardisatie: DMARC
• Internet.nl: test je e-maildomein

Welke maatregelen voor hosting, formulieren en monitoring helpen?

Staat de basis, dan bepalen een paar structurele keuzes hoeveel schade één fout kan aanrichten. Die keuzes worden vaak één keer gemaakt, bij de bouw of verhuizing van een website, en daarna vergeten. Neem ze daarom mee in je websitebriefing.

Kies hosting met duidelijke verantwoordelijkheden

Het NCSC maakt onderscheid tussen een CMS op je eigen server, een CMS op de server van een hostingpartij en een SaaS-dienst. Met een eigen server ben je zelf verantwoordelijk voor alles, ook voor kritieke patches; bij SaaS verzorgt de aanbieder het technisch beheer. Welke vorm je ook kiest, het NCSC adviseert de verantwoordelijkheden contractueel vast te leggen. Vraag je hostingpartij naar updates van de serversoftware, naar back-ups en hoe lang die bewaard blijven, en naar hoe je bij een incident wordt geïnformeerd.

Minimale rechten op de server en in koppelingen

Pas aan de technische kant hetzelfde principe toe als bij gebruikersaccounts. Wij raden aan dat de databasegebruiker van je website alleen bij de eigen database kan, dat FTP- of SSH-toegang beperkt blijft tot wie het echt nodig heeft, en dat plug-ins en koppelingen alleen de rechten krijgen die ze nodig hebben. De beveiligingshandleiding van WordPress noemt dit inperking: richt je systeem zo in dat een inbraak zo weinig mogelijk schade kan aanrichten.

Een web application firewall

Een web application firewall (WAF) filtert kwaadaardige verzoeken voordat ze je applicatie bereiken. WordPress noemt daarvoor drie plekken: een beveiligingsplug-in binnen WordPress, een firewall op de webserver zoals het opensourcepakket ModSecurity, of een dienst tussen het internet en je hosting. Een WAF koopt tijd en houdt bekende aanvalspatronen tegen, maar vervangt geen updates. Voor websites die door een DDoS-aanval worden overspoeld met verkeer, wijst het NCSC ook op filterdiensten zoals een CDN.

Formulieren en spambescherming

Contact- en offerteformulieren trekken spam aan, en formulieren met uploads of automatische bevestigingsmails kunnen worden misbruikt. Controleer alle invoer op de server, beperk bestandstypen en -groottes, en begrens hoeveel verzoeken één bezoeker kan versturen. CAPTCHA-alternatieven zoals Cloudflare Turnstile controleren bezoekers met signalen op de achtergrond in plaats van met puzzels. Cloudflare benadrukt dat de widget alleen je formulier niet beschermt: je server moet elk token controleren, en een token is 300 seconden geldig en maar één keer bruikbaar. Vraag alleen om de velden die je echt nodig hebt; dat beperkt zowel spam als privacyrisico’s.

Monitoring en logging

Waar je niets van merkt, kun je ook niet op reageren. Gebruik monitoring op beschikbaarheid en meldingen voor verlopende certificaten, en controleer waar mogelijk op gewijzigde en nieuwe bestanden. WordPress raadt dat aan omdat een aanval sporen achterlaat, in logbestanden of op het bestandssysteem. Het NCSC waarschuwt dat veel systemen niet standaard loggen, dat je logbestanden zo moet opslaan dat een aanvaller ze niet kan aanpassen, en dat je bij de bewaartermijn onderzoek en privacy tegen elkaar afweegt.

security.txt: maak het makkelijk om je te waarschuwen

RFC 9116 beschrijft een eenvoudig tekstbestand op /.well-known/security.txt, bereikbaar via HTTPS, met in elk geval de velden Contact en Expires. De RFC adviseert een vervaldatum die minder dan een jaar vooruit ligt. Het NCSC legt uit hoe je zo’n bestand maakt via securitytxt.org, het controleert met internet.nl en de vervaldatum in je agenda zet. Zorg dat iemand de mailbox leest en weet wat er met een melding moet gebeuren.

• Een betere website begint met een betere briefing
• NCSC: geavanceerde tips voor je website
• Cloudflare: tokens van Turnstile controleren op de server (Engelstalig)
• NCSC: de waarde van loginformatie
• NCSC: wat is security.txt?
• RFC 9116: de standaard voor security.txt (Engelstalig)

Welke privacyregels gelden als je website persoonsgegevens verwerkt?

Contactformulieren, klantaccounts, nieuwsbriefaanmeldingen en analytics: bij allemaal verwerk je persoonsgegevens. De AVG verplicht je die te beschermen met passende technische en organisatorische maatregelen. Wat passend is, hangt volgens de AP af van een risicoanalyse: een medisch dossier vraagt om zwaardere beveiliging dan een e-mailadres. Ook verwacht de AP dat je regelmatig test of je maatregelen nog effectief genoeg zijn.

De meeste kleine bedrijven vallen buiten de nieuwe Cyberbeveiligingswet (zie de veelgestelde vragen hieronder), maar de AVG geldt voor elke website die persoonsgegevens verwerkt.

Verzamel minder, bewaar minder

Dataminimalisatie is een van de basisprincipes van de AVG. De AP legt uit dat je niet meer persoonsgegevens mag verwerken dan nodig is voor je doel. Voor een website betekent dat: overbodige formuliervelden schrappen, inzendingen niet ook nog in het CMS bewaren als ze al per e-mail binnenkomen, en oude inzendingen, testexports en back-ups volgens een vast schema verwijderen. Gegevens die je niet hebt, kunnen ook niet lekken.

Meld een datalek binnen 72 uur

Een hack waarbij persoonsgegevens zijn ingezien, kan een datalek zijn. Volgens de AP meld je een meldplichtig datalek binnen 72 uur nadat je ervan op de hoogte bent. Bij een complex incident, zoals ransomware, doe je binnen die termijn een voorlopige melding die je later aanvult. Weekend, vakantie, ziekte of drukte accepteert de AP niet als reden voor een late melding. Soms moet je ook de betrokkenen onverwijld informeren.

Houd een datalekregister bij

Volgens de AVG leg je elk datalek vast in een intern register, ook de lekken die je niet bij de AP meldt: wat er gebeurde, wat de gevolgen waren en welke maatregelen je nam. De AP heeft een voorbeeldregister dat je kunt gebruiken.

• AP: zo meldt u een datalek
• AP: datalek? Dit moet u doen
• AP: de AVG in het kort
• NCSC: valt mijn organisatie onder de Cyberbeveiligingswet?

Website beveiliging checklist: 12 controles

Loop deze controles door met degene die je website onderhoudt. Noteer bij elk open punt één actie, wie die oppakt en wanneer. Begin met updates, tweestapsverificatie en back-ups: daarmee voorkom of beperk je de meeste schade.

De vinkjes zijn tijdelijk; je antwoorden worden niet opgeslagen of verstuurd. De checklist helpt je je website te beoordelen en garandeert niet dat die veilig is.

• Is de software up-to-date? CMS, plug-ins, thema’s en serversoftware draaien op ondersteunde versies en beveiligingsupdates worden snel geïnstalleerd.
• Zijn ongebruikte onderdelen verwijderd? Plug-ins en thema’s die je niet gebruikt zijn verwijderd, niet alleen uitgeschakeld, en oude testsites zijn weg.
• Heeft iedereen een persoonlijk account? Geen gedeelde logins, rollen passen bij de taken en accounts van vertrokken mensen en leveranciers zijn verwijderd.
• Staat tweestapsverificatie aan? Voor de beheerders in het CMS, het hostingpaneel, de domeinregistratie en de zakelijke e-mail.
• Is HTTPS afgedwongen met HSTS? Certificaten vernieuwen automatisch, HTTP verwijst eerst door naar HTTPS op dezelfde hostnaam en HSTS staat aan.
• Zijn de belangrijkste security-headers ingesteld? Een Content-Security-Policy (minimaal frame-ancestors), X-Content-Type-Options en Referrer-Policy.
• Kun je een back-up terugzetten? Back-ups volgen de 3-2-1-regel, één kopie staat los van de server en herstellen is getest.
• Is je e-maildomein beschermd? Er zijn SPF-, DKIM- en DMARC-records, ook voor domeinen waarvandaan je niet mailt.
• Is er een geldige security.txt? /.well-known/security.txt heeft een Contact-veld en een Expires-datum in de toekomst, en iemand leest de meldingen.
• Zijn formulieren beschermd en beperkt? Spambescherming wordt op de server gecontroleerd en formulieren vragen alleen om gegevens die je nodig hebt.
• Merk je het als er iets misgaat? Beschikbaarheid, verlopende certificaten en gewijzigde bestanden worden gemonitord, en logbestanden staan waar een aanvaller ze niet kan aanpassen.
• Weet je wat je doet na een hack? Er ligt een geprinte bellijst klaar en je weet wanneer en hoe je een datalek binnen 72 uur meldt bij de AP.

Met welke gratis tools controleer je de beveiliging van je website?

Met een paar betrouwbare tools controleer je je website binnen enkele minuten van buitenaf. Ze zijn handig om gaten in de configuratie te vinden en om het gesprek aan te gaan met je hostingpartij of webbouwer. De adviezen van het Digital Trust Center voor ondernemers staan inmiddels op de website van het NCSC: in september 2026 verwijst digitaltrustcenter.nl door naar ncsc.nl, waar je ook de basisprincipes en de CyberVeilig Check vindt.

Wat gratis tools je niet vertellen

Het NCSC benadrukt dat een uitslag van internet.nl geen beveiligingstest is, al levert die wel bruikbare informatie op voor een gesprek met je leverancier. Mozilla is net zo duidelijk: een A+ in de HTTP Observatory betekent niet dat een site veilig is, want verouderde software, kwetsbare CMS-plug-ins, SQL-injectie en de manier waarop wachtwoorden worden opgeslagen, worden niet getest. Een scan van buitenaf kijkt ook niet achter een login, controleert niet of de ene klant gegevens van een andere klant kan inzien en beoordeelt niet of een offerte- of betaalproces logisch in elkaar zit.

Wanneer is een pentest verstandig?

Bij een penetratietest proberen specialisten kwetsbaarheden echt te misbruiken, met jouw schriftelijke toestemming en binnen een afgesproken scope. Het NCSC adviseert een website periodiek, minimaal één keer per jaar, te laten onderzoeken door een onafhankelijke externe partij en daarbij ook webservices en API’s mee te nemen. Wij raden een pentest vooral aan als je website klantaccounts heeft, betalingen of gevoelige gegevens verwerkt, maatwerkcode of een API gebruikt, of net ingrijpend is vernieuwd. In onze gids over een pentest laten uitvoeren lees je hoe dat verloopt en wat je voorbereidt.

• Internet.nl: test je website en e-mail
• Mozilla HTTP Observatory (Engelstalig)
• Mozilla: wat de HTTP Observatory niet test (Engelstalig)
• Qualys SSL Labs: SSL Server Test (Engelstalig)
• NCSC: CyberVeilig Check
• Pentest laten uitvoeren: een praktische gids

Website gehackt: wat moet je doen?

Signalen van een hack zijn bijvoorbeeld onbekende beheerdersaccounts, pagina’s of doorverwijzingen die je niet zelf hebt gemaakt, spam vanaf je domein, een waarschuwing in de zoekresultaten of een hostingpartij die je account blokkeert. Handel snel, maar in een vaste volgorde. Het NCSC raadt aan vooraf een incidentresponsplan te maken en een geprinte bellijst met je hostingpartij, webbouwer en andere leveranciers. Liggen je systemen plat, dan kun je je digitale contactgegevens misschien niet openen.

1. Breng de situatie in kaart en houd een logboek bij

Schrijf op wat je hebt opgemerkt, wanneer, en welke acties je onderneemt. Het NCSC raadt een logboek aan, omdat het helpt de oorzaak te vinden en een aangifte of verzekeringsclaim ondersteunt. De eerste stap die de AP bij een datalek noemt, sluit daarop aan: breng in kaart wat er is gebeurd, sinds wanneer en om welke gegevens het gaat.

2. Beperk de schade

Schakel je hostingpartij of webbouwer zo vroeg mogelijk in. Zet de website in onderhoudsmodus of haal hem offline als hij malware verspreidt of gegevens lekt, blokkeer gehackte accounts en wijzig de wachtwoorden van het CMS, de hosting, de database en de e-mail. Het NCSC adviseert om daarbij waar mogelijk tweestapsverificatie aan te zetten.

3. Bewaar bewijs en back-ups

Stel kopieën van logbestanden en bestaande back-ups veilig voordat je iets wist; logbestanden kunnen nodig zijn voor forensisch onderzoek. Houd er rekening mee dat recente back-ups de kwaadaardige code al kunnen bevatten. Bij een complex incident adviseert de AP een expert in te schakelen, bijvoorbeeld een digitaal forensisch specialist.

4. Beoordeel de persoonsgegevens en meld binnen 72 uur

Zijn persoonsgegevens mogelijk ingezien, beoordeel dan het risico en meld een meldplichtig datalek binnen 72 uur bij de AP. In het advies aan WordPress-gebruikers van augustus 2026 schreef de AP: kun je niet uitsluiten dat er toegang is geweest tot persoonsgegevens, ga dan uit van het slechtste scenario. Zijn grote hoeveelheden e-mailadressen en telefoonnummers geraakt, informeer dan alle betrokkenen zo snel mogelijk. Leg het datalek in elk geval vast in je register.

5. Doe aangifte

Het NCSC adviseert om altijd aangifte te doen van cybercriminaliteit en bewijsmateriaal ongewijzigd te bewaren. Organisaties kunnen online aangifte doen met eHerkenning, zelfstandig ondernemers met DigiD. Meld phishing die uit jouw naam is verstuurd ook bij de Fraudehelpdesk.

6. Herstel, dicht het lek en leer ervan

Bouw de site opnieuw op vanuit een schone back-up of een verse installatie, voer alle updates door, verwijder onbekende accounts en plug-ins en dicht de zwakke plek waardoor de aanvaller binnenkwam. Anders wordt hetzelfde gat opnieuw gebruikt. Werk daarna je checklist en incidentplan bij met wat je hebt geleerd.

• NCSC: gehackt, wat nu?
• NCSC: maak een incidentresponsplan
• NCSC: wat te doen bij een cyberincident?
• NCSC: aangifte of melding doen

Een praktische volgende stap

Kies drie open punten uit de checklist en spreek deze week af wie ze oppakt. Test je website en je e-maildomein met internet.nl en stuur de links naar de rapporten door naar je hostingpartij of webbouwer. Verwerkt je website klantgegevens of draait er maatwerkcode, plan dan een grondigere test.

Wil je eerst een tweede paar ogen? Onze gratis AI-zichtbaarheid- en securityscan bekijkt één website van buitenaf: HTTPS en certificaten, security-headers, SPF en DMARC, en technische details die je liever niet deelt. Daarnaast kijken we hoe zoekmachines en AI-tools je bedrijf begrijpen. De scan is passief en vrijblijvend; het is geen penetratietest. Pixel Dev kan daarna helpen om bevindingen op te lossen, hosting en deploymentpipelines te beveiligen of een pentest van je website of API af te bakenen.

• Vraag de gratis AI-zichtbaarheid- en securityscan aan
• Pixel Dev: mogelijkheden voor applicatiebeveiliging
• AI-zichtbaarheid: een praktische gids voor je bedrijf
• Bespreek de beveiliging van je website met Pixel Shield