Waarom een website zonder plugins veiliger is

Je hebt een website en je vraagt je af of hij veilig is. Of je wilt er een laten maken en je hoort dat je beter zonder plugins kunt kiezen. Wat betekent dat eigenlijk, en klopt het? In dit artikel leggen we uit waar het risico bij WordPress en Joomla werkelijk zit, wat een website van pure code anders doet, en wat er ook dan overblijft om op te letten. Met cijfers uit onderzoek, en zonder grote woorden.

Waar het risico bij WordPress zit

WordPress zelf is geen onveilig systeem. De kern wordt door een groot team onderhouden en snel gerepareerd als er iets wordt gevonden. Het risico zit vrijwel helemaal in de laag eromheen: de plugins die je installeert voor een formulier, een fotogalerij, een cookiebanner of een snellere site, en het thema dat het uiterlijk bepaalt.

De cijfers laten dat duidelijk zien. Volgens het Patchstack-rapport van 2026, samengevat door Swif, werden in 2025 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem gevonden, 42% meer dan een jaar eerder. Daarvan zat 91% in plugins. In de WordPress-kern zelf werden er slechts 6 gevonden.

Een kwetsbaarheid in een plugin is pas een probleem als die plugin op jouw site staat en niet is bijgewerkt. Precies daar gaat het vaak mis. In een scan van GuardingWP draaide 52,8% van de 424 onderzochte WordPress-sites minstens één plugin met een bekende kwetsbaarheid. Een gemiddelde site draait volgens verschillende samenvattingen 20 tot 30 plugins. Elke plugin is een stuk code van een andere maker, met een eigen updateritme en een eigen kans op fouten.

Aanvallers hoeven jouw site daarbij niet persoonlijk uit te kiezen. Raidboxes beschrijft dat aanvallen tegenwoordig vooral geautomatiseerd zijn: scripts scannen voortdurend het hele internet op bekende gaten. Staat zo'n bekende fout op jouw site, dan wordt die gevonden, ook als je bedrijf klein is en niemand het op jou gemunt heeft.

Joomla: hetzelfde beeld bij extensies

Bij Joomla heten plugins extensies, en ook daar zit het risico. In juli 2026 nam de Amerikaanse CISA, de overheidsdienst voor cyberveiligheid, meerdere kritieke fouten in Joomla-extensies op in de lijst van kwetsbaarheden die actief worden misbruikt, zo meldde SecurityWeek. Het onderzoeksbureau mySites.guru vond in één maand negentien kwetsbaarheden in zeventien populaire extensies. Het bureau wijst erop dat het verschil met WordPress vooral zit in hoeveel aandacht eraan wordt besteed, niet in de techniek.

De les is voor beide systemen dezelfde. Een CMS is veilig zolang iemand het bijhoudt: de kern, het thema en elke uitbreiding, week na week. Zodra dat stopt, bijvoorbeeld omdat de bouwer uit beeld is of omdat niemand weet dat het moet, loopt de site langzaam achter. Niet de software is dan het probleem, maar het onderhoud dat stilviel.

Wat een codewebsite anders doet

Een website van pure code bestaat alleen uit kant-en-klare pagina's: HTML voor de inhoud, CSS voor de opmaak en een klein beetje JavaScript voor bijvoorbeeld het menu. Er is geen CMS, geen database en geen beheeromgeving. Dat klinkt als minder, en dat is precies het punt: er is veel minder dat kan worden aangevallen of kan verouderen.

• Geen database. Zonder database is SQL-injectie niet mogelijk, de aanval waarbij iemand via een invoerveld opdrachten in je database smokkelt.
• Geen inlogpagina. Zonder inlogpagina valt er geen wachtwoord te raden en is er geen dashboard om over te nemen.
• Geen plugins. Zonder plugins is er niets dat achterloopt en niets van een andere maker dat ongemerkt een gat kan openen.
• Nauwelijks updates. Een pagina van pure code veroudert niet zoals software. Wat vandaag werkt, werkt volgend jaar ook.

Daar staat iets tegenover, en dat zeggen we liever vooraf. Zonder beheeromgeving kun je teksten niet zelf aanpassen; bij Zoekbaar.nl lopen wijzigingen via ons. En voor een webshop, een ledenomgeving of een boekingssysteem is pure code niet het juiste product. Daar heb je een systeem met een database voor nodig, en dan hoort goed onderhoud bij de prijs. Meer over die keuze lees je op de pagina over de codewebsite.

Wat ook bij pure code overblijft

Een codewebsite is niet zonder risico, en wie dat beweert maakt het mooier dan het is. Drie dingen blijven altijd over.

De host. Je bestanden staan op een server, en die server moet worden onderhouden, net als de beveiligde verbinding (SSL) en de back-ups. Dat is werk van de hostingpartij, en je wilt weten wie dat doet. Bij Zoekbaar.nl zitten hosting, SSL en onderhoud in één maandbedrag van € 10,58 exclusief btw.

Het domein. Je domeinnaam staat geregistreerd in een account bij een registrar. Wie dat account kan openen, kan je website ergens anders heen sturen. Een sterk wachtwoord en tweestapsverificatie op dat account zijn belangrijker dan welke plugin dan ook.

Het formulier. Een contactformulier stuurt gegevens van bezoekers naar een mailbox. Dat vraagt om bescherming tegen spam en om een duidelijke afspraak over wat je met die gegevens doet en hoe lang je ze bewaart.

Wat je als ondernemer zelf kunt controleren

Je hoeft geen techneut te zijn om een eerste indruk te krijgen van je eigen site. Loop deze vragen langs, of stel ze aan je bouwer.

1. Hoeveel plugins of extensies draait mijn site, en wanneer zijn ze voor het laatst bijgewerkt?
2. Wie doet de updates van kern, thema en plugins, en hoe vaak gebeurt dat?
3. Is mijn inlogpagina voor iedereen bereikbaar, en gebruik ik daar tweestapsverificatie?
4. Maakt mijn host back-ups, en is ooit getest of die terug te zetten zijn?
5. Staat het domein op mijn naam, en is dat account goed beveiligd?
6. Naar welk adres gaat mijn contactformulier, en staat in mijn privacyverklaring wat ik met die gegevens doe?

Kun je een paar van deze vragen niet beantwoorden, dan is dat geen reden voor paniek, maar wel een reden om het uit te zoeken. Veiligheid zit zelden in één slimme tool. Het zit in minder onderdelen, en in iemand die de rest bijhoudt.

Wil je een website die vanaf het begin zo is gebouwd, stel hem dan samen in de wizard.