Uw website beveiligen voordat er iets misgaat
Beveiliging is het enige onderdeel van uw website waar u niets van merkt zolang het goed gaat. Er is geen scherm waarop het zichtbaar is en geen knop die het aanzet; het zit in dingen die op tijd gebeuren. Updates die gedraaid worden, een back-up die er 's nachts is, een certificaat dat vernieuwd wordt voordat het verloopt.
Gaat het wél mis, dan merkt u het meteen. Uw site staat ineens vol reclame voor iemand anders, Google zet er een waarschuwing voor uw bezoekers omheen, of de site doet het simpelweg niet meer. Herstellen kost dan altijd meer dan bijhouden had gekost, en het gebeurt op het slechtst denkbare moment.
Waar het in de praktijk op vastloopt
Een gehackte site is zelden het gevolg van iemand die het speciaal op u gemunt heeft. Het meeste gaat automatisch: software zoekt het hele internet af naar bekende lekken, en wie er een openstaan heeft, is aan de beurt.
Verouderde software en plugins
Zodra een lek bekend is, is het ook bekend bij de mensen die ernaar zoeken. Een site die een jaar niet is bijgewerkt, staat op een lijst.
Te veel onderdelen
Elke plugin die u ooit heeft geïnstalleerd, laadt en draait mee. Ook die ene die u na twee weken niet meer gebruikte.
Zwakke of gedeelde inloggegevens
Eén wachtwoord dat bij meerdere partijen bekend is, geen tweestapsverificatie, en oude accounts van mensen die er allang niet meer werken.
Een back-up die niemand ooit terugzette
Een back-up waarvan u niet weet of hij werkt, is een aanname en geen vangnet.
Certificaten die niemand bijhoudt
Een verlopen certificaat zet bezoekers meteen buiten de deur, met een waarschuwing die er ernstiger uitziet dan het probleem is.
Dat laatste overkwam ons zelf
In augustus 2026 zijn we onze eigen site voor het eerst serieus gaan doormeten. Daar kwam meteen iets uit dat we niet wisten: dijkers.com serveerde zijn certificaat niet compleet uit. Alleen ons eigen certificaat, zonder de tussenliggende schakel van de uitgever. Het certificaat was geldig en de meeste browsers vullen die schakel zelf aan, dus geen bezoeker heeft er ooit iets van gemerkt. Een strenge controle kapte er wel op af.
Dezelfde dag opgelost. We vertellen het omdat het precies laat zien waar deze pagina over gaat: dit soort dingen staan stil kapot en worden pas zichtbaar als iemand gaat kijken. Ook bij een partij die er zijn werk van maakt.
Wat wij doen om een site veilig te houden
Het meeste beveiligingswerk is onderhoud dat op tijd gebeurt. Bij de sites die wij in beheer hebben, houdt dat in: software en onderdelen bijwerken, elke nacht een back-up wegschrijven, het SSL-certificaat en het DNS-beheer verzorgen, en in de gaten houden of de site doet wat hij hoort te doen.
Updates lopen mee met de pakketten zelf: brengt de maker van een onderdeel een nieuwe versie uit, dan wordt uw site bijgewerkt. Er is dus geen vaste datum in de maand waarop het gebeurt, maar ook geen achterstand die zich opbouwt. Daarnaast loopt er bewaking mee op de sites die wij beheren, zodat wij het merken als er iets misgaat, in plaats van dat u het ons moet melden. Waaróm dat bijhouden niet uit te stellen valt, staat in waarom updates niet optioneel zijn.
Wat wij bouwen, draait op onze eigen servers. Dat is geen verkooppraatje maar een praktisch punt: als er iets is, hebben wij de hele keten in handen en is er één partij die het oplost, in plaats van drie die naar elkaar wijzen. De uptime van die servers staat op 99,9%.
Uit de praktijk: Vroondaal
Vroondaal is een woonwijk in ontwikkeling in Den Haag. De site draaide op WordPress, met een page builder en een reeks plugins eronder, en raakte besmet. Wij hebben hem opgeschoond en daarna anders opgeleverd: als platte site, zonder beheersysteem eronder.
Dat is de kern van de aanpak: de bezoeker ziet dezelfde site, maar er is geen beheersysteem, geen page builder en geen plugin meer die bijgehouden moet worden. Daarmee verdwijnt niet alleen de besmetting, maar ook de plek waar een volgende besmetting binnen zou komen.
Het scheelde ook fors in snelheid, en het meest op de telefoon. Daar duurde het 9,6 seconde voordat de pagina in beeld stond; nu is dat 2,2 seconde. De prestatiescore van Google ging van 52 naar 96, en de pagina werd van ruim vier megabyte teruggebracht naar nog geen achthonderd kilobyte.
Dat komt uit twee dingen. Het platslaan haalde alles weg wat op de achtergrond meedraaide, en daarna zijn de afbeeldingen aangepakt: die waren bij de verhuizing ongewijzigd meegekomen en bepaalden op een mobiele verbinding de hele laadtijd. Op de desktop, waar minder te winnen viel, ging het van 1,9 naar 1,0 seconde en van score 83 naar 98. Alle cijfers zijn gemeten met Google PageSpeed, voor en na, met hetzelfde gereedschap.
Minder onderdelen, minder om bij te houden
Hier zit een afweging die wij graag vooraf met u maken. Veel sites draaien op een beheersysteem met een reeks plugins eromheen, omdat de eigenaar zelf teksten wil kunnen aanpassen. Dat is een prima reden, en soms de doorslaggevende.
Maar elk onderdeel dat meedraait, is een onderdeel dat bijgehouden moet worden. Een site zonder beheersysteem is sneller, goedkoper in onderhoud en heeft simpelweg minder plekken waar iets kan lekken. Wat er niet in zit, kan ook niet stukgaan.
Welke kant voor u de goede is, hangt af van hoe vaak u zelf iets wilt wijzigen. Verandert er twee keer per jaar iets, dan is een platte site (vanaf €750) vaak de verstandigere keuze. Wilt u wekelijks nieuws plaatsen, dan wint een beheersysteem het en houden wij het aantal onderdelen zo klein mogelijk. Zie website laten maken.
Wat het kost
Onderhoud: vanaf €35 per maand. Bijwerken, back-ups, SSL en DNS. Dit is de goedkoopste vorm van beveiliging die er is, want het voorkomt het werk waar u anders voor betaalt. Alle vanafprijzen staan op tarieven.
Eerst weten hoe uw site ervoor staat: een Site-Audit vanaf €149. Die beoordeelt uw site op zes punten, waaronder beveiliging, en levert een rapport met prioriteiten en een kostenraming per verbeterpunt. Handig als u het werk van uw huidige partij wilt laten toetsen zonder er meteen iets aan vast te zitten. Zie site-audit.nl (opent in nieuw tabblad).
Is de site verouderd: overnemen en opschonen vanaf €500. Bij een site die jaren niet is bijgewerkt, is bijhouden dweilen met de kraan open. Dan is opschonen of vervangen goedkoper dan onderhouden. Zie website overnemen.
Is het al misgegaan: eerst kijken, dan pas een bedrag. Een besmette site opschonen doen wij, maar wat het kost hangt af van wat er aan de hand is. Eén verouderde plugin die spam plaatst is andere koek dan een site waar iemand al maanden binnen zit. Wij noemen daar bewust geen vanafprijs bij, want die zou niets zeggen: u zou hem lezen als een prijs en wij zouden hem in de helft van de gevallen niet waar kunnen maken. U krijgt een bedrag zodra duidelijk is wat er speelt, en dat kijken kost u niets.
Wanneer dit werk bij ons niet de goede keuze is
Uw site staat al bij iemand in onderhoud. Vraag daar dan eerst na wat er precies gebeurt: worden er updates gedraaid, is er een back-up, en is die weleens teruggezet? Krijgt u daar een helder antwoord, dan is overstappen zonde van uw geld.
De site is aan het eind van zijn leven. Bij verouderde techniek is elk beveiligingsbudget een pleister. Dan is een gesprek over vervangen zinniger dan een onderhoudscontract dat de schijn ophoudt.
U heeft een formele beveiligingstest of certificering nodig. Vraagt een klant of verzekeraar om een pentest of een certificaat, dan is dat werk voor een partij die daar dagelijks mee bezig is. Wij denken graag mee over wat er uit zo'n rapport komt, maar wij voeren het niet uit.
Veelgestelde vragen
Mijn site draait op WordPress. Moet ik daar vanaf?
Niet per se. WordPress is niet onveilig; de combinatie van veel plugins en achterstallig onderhoud is dat wel. Draait uw site op een beperkt aantal onderdelen en wordt hij bijgehouden, dan is er niets aan de hand. Zijn het er twintig waarvan u er vijf gebruikt, dan is opschonen de eerste winst.
Wat is HTTPS, en heb ik dat nodig?
HTTPS is het slotje in de adresbalk: het zorgt dat wat een bezoeker naar uw site stuurt onderweg niet te lezen is. U heeft het nodig, ook zonder webshop of inlog. Zonder geldig certificaat zetten browsers er een waarschuwing voor, en Google rekent het mee.
Hoe weet ik of mijn back-up werkt?
Door hem een keer terug te zetten. Dat klinkt vanzelfsprekend, maar het is precies de stap die overgeslagen wordt. Bij sites die wij beheren maken wij elke nacht een back-up, buiten de site zelf om.
Mijn site is al gehackt. Kunnen jullie helpen?
Ja. Bel dan gerust, ook als u geen klant bent. Wat wij eerst willen weten, is hoe iemand binnengekomen is; een back-up terugzetten voordat dat duidelijk is, betekent meestal dat u er een week later weer staat. Wat het opschonen kost, hangt af van wat we aantreffen.
Moet ik mijn site naar jullie hosting verhuizen?
Dat hoeft niet. Het scheelt wel, omdat wij dan de hele keten in handen hebben en er één aanspreekpunt is als er iets misgaat. Wij bieden hosting niet los aan; het hoort bij een project of bij een site die wij onderhouden.
Wij hebben niets te halen. Waarom zou iemand ons aanvallen?
Omdat er niemand kijkt naar wie u bent. Het gaat het overgrote deel van de tijd niet om uw gegevens maar om uw server: die is bruikbaar om spam mee te versturen of om anderen mee aan te vallen. Een kleine site is daarvoor net zo geschikt als een grote.
Weet u niet hoe uw site ervoor staat?
Bel of mail gerust. Dan kijken we samen wat er draait, hoe oud het is en wat er zou gebeuren als het morgen misgaat. Blijkt uw site keurig bijgehouden te worden, dan hoort u dat ook.