WordPress updaten: zo doe je het veilig

Je kent het vast: je logt in op je WordPress-dashboard en daar staan ze weer. Drie plugin-updates, een thema-update en een melding dat er een nieuwe WordPress versie beschikbaar is. Wat doe je? Klik je op “Alles bijwerken” en hoop je op het beste? Of negeer je de meldingen en schuif je het voor je uit?

Beide opties zijn riskant. Een WordPress update die je blind uitvoert kan je site breken. Maar updates negeren maakt je site kwetsbaar voor hackers en bugs. In dit artikel lees je precies hoe je elke update veilig uitvoert, wat je moet doen als het misgaat, en wanneer je updates het beste aan professionals kunt overlaten.

Bron: WordPress.org statistieken — circa 43% van alle websites draait op WordPress, wat het een populair doelwit maakt voor aanvallen op verouderde installaties

Waarom een WordPress update ertoe doet

Eerlijk: updaten voelt als een klusje. Maar er zijn drie concrete redenen waarom je het niet kunt negeren.

Beveiliging is verreweg de belangrijkste reden. Verouderde WordPress-installaties, plugins en thema’s zijn de nummer-één oorzaak van gehackte websites. Zodra een beveiligingslek openbaar wordt gemaakt — en dat gebeurt bij elke security release — kunnen kwaadwillenden geautomatiseerd zoeken naar sites die nog niet gepatcht zijn. Dat kan binnen uren gebeuren.

Dan functionaliteit: nieuwe versies brengen verbeteringen mee. Snellere laadtijden, betere editor-functies, compatibiliteit met de nieuwste PHP versie. WordPress 6.x bracht bijvoorbeeld flinke verbeteringen aan de Site Editor en betere prestaties op PHP 8.2+.

En tot slot compatibiliteit. Plugins en thema’s worden ontwikkeld voor de nieuwste WordPress versie. Hoe langer je wacht met updaten, hoe groter de kans dat er conflicten ontstaan. Een plugin die prima werkte op WordPress 6.4 kan problemen geven op 6.2 — simpelweg omdat de ontwikkelaar die oude versie niet meer test.

Het verschil tussen core updates, plugin-updates en thema-updates

Niet elke update is hetzelfde. Het is handig om het verschil te kennen, want de aanpak en het risico verschillen.

Core updates: minor vs. major

WordPress kent twee soorten core updates:

Minor updates (bijvoorbeeld van 6.5.1 naar 6.5.2) bevatten bugfixes en beveiligingspatches. Deze worden standaard automatisch geïnstalleerd. Het risico is minimaal — WordPress test deze uitgebreid vóór release. Je hoeft hier weinig bij te doen.

Major updates (bijvoorbeeld van 6.5 naar 6.6) brengen nieuwe functies en soms wijzigingen in de onderliggende code. Hier zit meer risico aan. Een major update kan ervoor zorgen dat een plugin niet meer werkt of dat je thema er anders uitziet. Deze worden niet automatisch geïnstalleerd, en dat is bewust.

Plugins updaten: het grootste risico

Wist je dat de meeste problemen na een update niet door WordPress zelf komen, maar door plugins? Logisch ook: er zijn meer dan 60.000 plugins in de WordPress-repository, gemaakt door duizenden verschillende ontwikkelaars. De kwaliteit varieert enorm.

Een plugin-update kan:

• Conflicteren met een andere plugin
• Niet compatibel zijn met jouw WordPress versie
• Een bug bevatten die de ontwikkelaar over het hoofd heeft gezien
• Meer serverbronnen vragen dan je hostingpakket aankan

Thema-updates

Thema-updates zijn meestal minder problematisch, tenzij je rechtstreeks in de themabestanden hebt gewerkt. Heb je ooit iets aangepast in functions.php of CSS-bestanden van je thema? Dan worden die wijzigingen overschreven bij een update. Gebruik je een child theme, dan zit je veilig. Gebruik je dat niet? Dan is dit het moment om dat te regelen.

WordPress maatwerk

Voordat je begint: de voorbereiding

Voordat je ook maar één knop aanraakt, doe je drie dingen. Altijd. Geen uitzonderingen.

1. Maak een volledige backup

Dit klinkt vanzelfsprekend, maar je zou versteld staan hoeveel site-eigenaren dit overslaan. Een goede backup bevat:

• Alle bestanden (wp-content, thema’s, plugins, uploads)
• De database (al je pagina’s, berichten, instellingen, WooCommerce-orders)

Gebruik een plugin als UpdraftPlus, BackupBuddy of BlogVault. Of vraag je hostingprovider of ze dagelijkse backups maken. Controleer altijd of je de backup ook daadwerkelijk kunt terugzetten — een backup die je niet kunt herstellen is waardeloos.

Tip: sla je backup op een externe locatie op. Google Drive, Dropbox of Amazon S3. Niet alleen op je eigen server.

2. Controleer de compatibility

Voordat je een WordPress update uitvoert, check je:

• PHP versie: Kijk in je hosting-dashboard welke PHP versie je draait. WordPress 6.5+ vereist minimaal PHP 7.4, maar PHP 8.1 of hoger is aan te raden. Als je nog op PHP 7.4 zit, plan dan eerst een PHP-upgrade.
• Plugin-compatibiliteit: Ga naar de plugin-pagina op WordPress.org en bekijk of de plugin getest is met de nieuwste WordPress versie. Zie je “Niet getest met je versie van WordPress”? Wees dan voorzichtig.
• Changelog lezen: Ja, echt. Klik op “Bekijk details” bij de update en lees wat er veranderd is. Staat er “breaking change” of “deprecated functions”? Dan weet je dat je extra moet opletten.

3. Gebruik een staging-omgeving

Dit is de stap die het verschil maakt tussen professionals en hobbyisten. Een staging-omgeving is een exacte kopie van je live website, waar je updates kunt testen zonder risico.

Veel hostingpartijen bieden tegenwoordig een staging-functie aan. Kinsta, SiteGround, WP Engine — ze hebben het allemaal. Met één klik maak je een kopie, voer je de updates uit, test je of alles werkt, en pas dan zet je het live.

Heb je geen staging via je hosting? Dan kun je een plugin als WP Staging gebruiken. Of je zet lokaal een kopie op met Local by Flywheel.

Ja, het kost extra tijd. Maar die tien minuten besparen je uren aan paniek als je live site plat ligt op maandagmorgen.

WordPress beheer

WordPress update uitvoeren: stap-voor-stap

Goed, je backup staat klaar, je hebt de compatibility gecheckt, en je hebt bij voorkeur een staging-omgeving. Nu gaan we daadwerkelijk updaten.

De juiste volgorde

De volgorde maakt uit. Update altijd in deze reeks:

1. Plugins eerst — Zij veroorzaken de meeste conflicten. Door ze eerst bij te werken, weet je direct of er problemen zijn vóórdat je de core update uitvoert.
2. Thema daarna — Na de plugins, update je je thema.
3. WordPress core als laatste — De core update komt het laatst. Zo weet je zeker dat je plugins en thema al klaar zijn voor de nieuwe versie.

Sommige handleidingen zeggen het tegenovergestelde: eerst core, dan plugins. Wij doen het andersom, omdat je bij een plugin-conflict makkelijker kunt terugdraaien dan bij een core-conflict. Maar eerlijk: in de meeste gevallen maakt de volgorde weinig verschil. Bij grote major updates wel.

Plugins updaten

Ga naar Dashboard > Updates of naar Plugins > Geïnstalleerde plugins.

Update plugins één voor één. Ja, het is verleidelijk om “Alles selecteren” aan te klikken en in één keer te updaten. Maar als er dan iets misgaat, weet je niet welke plugin het veroorzaakte.

Na elke plugin-update:

• Controleer of je site nog laadt (zowel de frontend als het admin-dashboard)
• Test de specifieke functie van die plugin (contactformulier? Caching? WooCommerce?)
• Kijk in de browser-console (F12) of er JavaScript-fouten zijn

Thema updaten

Ga naar Weergave > Thema’s en klik op “Nu bijwerken” bij je actieve thema.

Controleer na de update:

• De homepage — ziet alles er goed uit?
• Een standaardpagina en een blogpost
• Het menu en de footer
• Mobiele weergave (gebruik de responsive-modus in je browser)

WordPress core updaten

Ga naar Dashboard > Updates en klik op “Nu bijwerken”.

WordPress maakt automatisch een onderhoudspagina aan tijdens de update. Je bezoekers zien tijdelijk een “Even geduld, er wordt onderhoud gepleegd”-melding. Bij een normale update duurt dit 10-30 seconden.

Na de core update:

• Log opnieuw in (soms word je uitgelogd)
• Controleer of het dashboard normaal laadt
• Bekijk de frontend van je site
• Test formulieren, winkelwagen, en andere interactieve elementen

Automatische updates: aan of uit?

WordPress heeft sinds versie 5.6 de mogelijkheid om automatische updates per plugin in te schakelen. Handig? Soms. Maar het is genuanceerder dan het lijkt.

Wanneer automatische updates wél slim zijn

• Minor core updates: Laat deze altijd automatisch draaien. Ze bevatten beveiligingspatches en worden uitgebreid getest.
• Vertrouwde plugins van grote ontwikkelaars: Yoast SEO, WooCommerce (met voorbehoud), Wordfence — deze hebben grote teams die zorgvuldig testen.
• Simpele sites zonder maatwerk: Heb je een standaard bedrijfssite met een handvol plugins? Dan is het risico van automatische updates laag.

Wanneer automatische updates uit moeten staan

• WooCommerce-webshops met maatwerk: Een automatische update om 3 uur ’s nachts die je checkout breekt? Dat wil je niet. Elke dag dat je checkout niet werkt, kost je omzet.
• Sites met veel plugin-afhankelijkheden: Hoe meer plugins, hoe groter de kans op conflicten. Handmatig updaten geeft je controle.
• Maatwerkthema’s of custom plugins: Als je ontwikkelaar specifieke code heeft geschreven die afhangt van bepaalde plugin-functies, kan een automatische update die code breken.

Automatische updates configureren

In je dashboard ga je naar Plugins > Geïnstalleerde plugins. Bij elke plugin zie je de optie “Automatische updates inschakelen”. Je kunt dit per plugin aan- of uitzetten.

Wil je meer controle? Voeg deze regel toe aan je wp-config.php:

// Alleen minor core updates automatisch
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

Of via WP-CLI als je toegang hebt tot de command line:

wp config set WP_AUTO_UPDATE_CORE minor --type=constant

WordPress onderhoud

Wat als een update je site breekt?

Het gebeurt. Zelfs bij ervaren ontwikkelaars. Je klikt op “Bijwerken” en ineens — een wit scherm. Of een foutmelding. Of je site laadt, maar de layout is compleet verknald. Geen paniek. Er zijn concrete stappen die je kunt nemen.

White Screen of Death

Het beruchte witte scherm. Je site toont helemaal niets — geen tekst, geen foutmelding, gewoon wit. Dit komt bijna altijd door een PHP-fout in een plugin of thema.

Stap 1: Schakel debug-modus in. Voeg dit toe aan wp-config.php (via FTP of je hosting-bestandsbeheer):

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Bekijk daarna het bestand wp-content/debug.log. Daar staat precies welke fout het probleem veroorzaakt en in welk bestand.

Stap 2: Deactiveer de schuldige plugin. Kun je niet inloggen? Hernoem de plugin-map via FTP. Ga naar /wp-content/plugins/ en hernoem de map van de plugin die je zojuist updatet (bijvoorbeeld van contact-form-7 naar contact-form-7-disabled). WordPress deactiveert de plugin automatisch.

Stap 3: Herstel vanuit je backup. Werkt het bovenstaande niet? Dan is dit het moment om die backup terug te zetten. Daarom maakte je die.

Plugin conflicten opsporen

Soms is het niet één plugin, maar een conflict tússen plugins. Zo spoor je het op:

1. Deactiveer alle plugins (via FTP: hernoem de hele plugins-map naar plugins-backup)
2. Activeer ze één voor één weer
3. Test na elke activering of het probleem terugkomt
4. Zo vind je de conflicterende plugin

Dit kost tijd, maar het is de betrouwbaarste methode. Er bestaan plugins als Health Check & Troubleshooting die dit proces vereenvoudigen door je een “troubleshooting-modus” te geven waarin alleen jij de plugins ziet — je bezoekers zien de normale site.

Handmatig een plugin terugdraaien (rollback)

Heb je een specifieke plugin-update die problemen geeft? Je kunt terugdraaien naar de vorige versie:

1. Ga naar de plugin-pagina op WordPress.org
2. Klik op “Geavanceerde weergave”
3. Onderaan vind je “Vorige versies” — download de versie die je eerder had
4. Deactiveer en verwijder de huidige versie via je dashboard
5. Upload de oude versie als .zip via Plugins > Nieuwe plugin > Plugin uploaden

Er is ook een plugin genaamd WP Rollback die dit proces automatiseert. Maar in een noodsituatie is de handmatige methode betrouwbaarder.

WP-CLI: updaten en rollback via de command line

Heb je SSH-toegang tot je server? Dan is WP-CLI je beste vriend. Het is sneller, geeft meer controle, en je kunt het scripten.

wp core update

wp plugin update --all

wp plugin update woocommerce

wp plugin install contact-form-7 --version=5.8 --force

wp core update-db

wp core check-update
wp plugin list --update=available

WP-CLI is vooral handig als je meerdere WordPress-sites beheert. Je kunt een script schrijven dat al je sites in één keer update — met een backup vooraf, uiteraard.

Prioriteiten bij meerdere updates

Je opent je dashboard en ziet: 2 core updates, 8 plugin-updates en 1 thema-update. Waar begin je?

Prioriteit 1: Beveiligingsupdates. Staat er bij een plugin of core update dat het een security release is? Die gaat voor. Alles wat met beveiliging te maken heeft, moet dezelfde dag nog worden doorgevoerd.

Prioriteit 2: Plugins die je daadwerkelijk gebruikt. Een update voor WooCommerce, je SEO-plugin of je formulierenplugin is belangrijker dan een update voor die plugin die je drie maanden geleden hebt geïnstalleerd en eigenlijk niet meer gebruikt. Sterker nog: die laatste kun je beter verwijderen.

Prioriteit 3: Grote major updates. Deze vergen de meeste voorbereiding. Plan ze in op een rustig moment — niet op vrijdagmiddag voor een druk weekend.

Prioriteit 4: Thema-updates. Tenzij het een beveiligingsupdate is, kan een thema-update meestal even wachten. Zeker als je een child theme gebruikt.

Een updateschema dat werkt

“Ik update als ik eraan denk” is geen strategie. Stel een vast schema in:

• Wekelijks: Check op plugin-updates. Voer security releases direct uit.
• Maandelijks: Voer alle overige plugin- en thema-updates uit in je staging-omgeving. Test, en zet live.
• Bij major WordPress releases: Plan een apart moment in. Test uitgebreid in staging. Wacht eventueel 1-2 weken na release tot de eerste bugfix (point release) uit is.

Houd een logboek bij van wat je wanneer hebt geüpdatet. Klinkt overdreven, maar als er twee weken later een probleem opduikt, weet je precies wanneer welke update is uitgevoerd. Een simpel spreadsheet volstaat.

WordPress onderhoud kosten

Veelgemaakte fouten bij een WordPress update

Na jaren honderden WordPress-sites te hebben onderhouden, zien we steeds dezelfde fouten terugkomen.

“Ik klik gewoon op Alles bijwerken.” Al besproken, maar het kan niet vaak genoeg gezegd worden. Eén voor één updaten bespaart je uren debug-werk.

“Ik heb geen backup nodig, er gaat vast niks mis.” Dat dacht de ondernemer ook die ons belde nadat zijn WooCommerce-shop drie uur plat lag zonder backup. De kosten van die downtime waren een veelvoud van wat een backupoplossing had gekost.

“Die update staat er al weken, het loopt wel.” Hoe langer je wacht, hoe meer updates zich opstapelen, en hoe groter het risico op conflicten. Een update van versie 5.0 naar 5.1 is één ding. Van 5.0 naar 5.9 is iets heel anders.

“Mijn site werkt prima, waarom zou ik updaten?” Omdat je site er aan de buitenkant prima uit kan zien terwijl er achter de schermen een bekende kwetsbaarheid open staat. Hackers scannen geautomatiseerd op verouderde software. Je merkt pas dat je gehackt bent als Google je site blokkeert of je klanten spam-mails ontvangen.

Updaten op vrijdagmiddag. Ga er niet vanuit dat alles goed gaat. Update op een moment waarop je tijd hebt om problemen op te lossen. Dinsdagochtend is ideaal: je bent scherp, de week is net begonnen, en je hebt de rest van de week om eventuele issues te verhelpen.

PHP versie en WordPress: een vaak vergeten factor

Je WordPress-site draait op PHP — de programmeertaal achter WordPress. En PHP heeft ook versies. Een verouderde PHP versie kan net zo gevaarlijk zijn als een verouderde WordPress versie.

Op dit moment is PHP 8.2 of 8.3 de aangeraden keuze voor WordPress. PHP 7.4 heeft al sinds november 2022 geen security-updates meer. Draai je daar nog op? Dan is een PHP-upgrade minstens zo belangrijk als je WordPress update.

Let op: een PHP-upgrade kan ook compatibiliteitsproblemen veroorzaken. Oudere plugins gebruiken soms functies die in nieuwere PHP-versies zijn verwijderd. Test dit dus altijd eerst in een staging-omgeving.

Controleer je PHP versie via Dashboard > Gereedschap > Sitegezondheid > Informatie > Server. Of via WP-CLI:

wp eval "echo phpversion();"

WordPress SEO

Wanneer je updates beter kunt uitbesteden

Niet iedereen heeft de tijd, kennis of zin om elke week updates te controleren en uit te voeren. En dat is prima. Updaten is technisch werk dat bij een verkeerde stap je site kan breken.

Overweeg het uitbesteden als:

• Je een WooCommerce-webshop hebt met maatwerk
• Je meer dan 15-20 plugins gebruikt
• Je site zakelijke inkomsten genereert en downtime geen optie is
• Je niet weet wat FTP, WP-CLI of een staging-omgeving is (en het ook niet wilt leren)
• Je al eens een update hebt uitgevoerd die je site brak

Een WordPress-bureau als Red Factory neemt dit volledig uit handen. Wij voeren updates uit in een staging-omgeving, testen alles, maken altijd eerst een backup, en monitoren je site na de update. Zo hoef jij je er niet druk over te maken.

Wil je weten wat dat kost en wat er precies bij komt kijken? Neem gerust contact met ons op voor een vrijblijvend gesprek.

een WordPress website laten maken

Samenvatting: je WordPress update checklist

Ter afsluiting een beknopte checklist die je kunt volgen bij elke update:

• Backup gemaakt en gecontroleerd
• PHP versie gecheckt en actueel
• Changelogs en compatibiliteit bekeken
• Staging-omgeving klaargezet (bij major updates)
• Plugins één voor één geüpdatet en getest
• Thema geüpdatet en visueel gecontroleerd
• WordPress core geüpdatet
• Frontend en admin-dashboard getest
• Formulieren, checkout en interactieve elementen getest
• Logboek bijgewerkt

Een WordPress update hoeft niet spannend te zijn. Met de juiste voorbereiding en een gestructureerde aanpak is het een routineklus van 15-30 minuten per week. De sleutel zit in discipline: maak altijd een backup, test altijd in staging bij grote wijzigingen, en update niet blindelings alles tegelijk.

Je site verdient het om veilig, snel en up-to-date te zijn. Of je dat zelf doet of uitbesteedt — zorg dat het gebeurt.

Bron: WordPress.org — officiële documentatie over het updateproces en automatische updates Bron: Sucuri — jaarlijkse website threat reports over gehackte WordPress-sites

Neem contact op voor een vrijblijvend gesprek: https://redfactory.nl/contact/