Je website is je etalage, je klantenservice en soms je kassa, dus een inbraak raakt je bedrijf direct. In deze gids lees je hoe je je website stap voor stap beveiligt en met een vast ritme veilig houdt.
Wat website beveiliging precies is
Website beveiliging is het geheel van maatregelen dat je site, je beheeromgeving en de gegevens van je klanten beschermt tegen misbruik. Elke mkb-site heeft dezelfde basis nodig. Denk aan actuele software, sterke unieke wachtwoorden met tweestapsverificatie, HTTPS met een geldig certificaat, back-ups op een tweede plek en een vast moment waarop je alles controleert.
Klinkt dat technisch? HTTPS herken je aan het slotje in de adresbalk en zorgt dat het verkeer tussen bezoeker en site versleuteld reist. Tweestapsverificatie vraagt bij het inloggen om een tweede bewijs naast je wachtwoord, bijvoorbeeld een code op je telefoon.
Jij als ondernemer hoeft daarvoor weinig te programmeren. Wat telt, is regelmaat. Een site die je elke maand nakijkt, biedt aanvallers veel minder houvast dan een site die jaren stilstaat.
Website beveiliging is vooral een kwestie van vaste gewoontes.
Waarom ook een kleine site een doelwit is
Herken je de gedachte dat jouw site te klein is om op te vallen? Volgens het CBS komen cybersecurityincidenten vaker voor bij grote bedrijven, een samenhang met bedrijfsgrootte. Toch loopt ook een kleine site risico.
Dat komt door de werkwijze van aanvallers. Zij zetten bots in, programma's die dag en nacht het hele internet afzoeken op bekende lekken. Zo'n bot kijkt welke software een site draait en welke versie. Vindt hij een oude versie met een bekend gat, dan probeert hij dat gat meteen.
Vergelijk het met iemand die door een woonwijk loopt en aan elke deurklink voelt. Wie er woont, maakt hem weinig uit. Hij zoekt de deur die openstaat.
Wat levert een kleine site een aanvaller op? Je server kan spam versturen, je pagina's kunnen bezoekers doorsturen richting nepwinkels en je formulieren bevatten klantgegevens. Ook een inlogscherm met een zwak wachtwoord trekt zo'n bot direct aan.
Wat beveiliging met je vindbaarheid te maken heeft
Beveiliging en je plek in Google hangen nauw samen. Google kan pagina's of sites met een beveiligingsprobleem met een waarschuwingslabel tonen in de zoekresultaten. In de browser kan daarnaast een waarschuwingspagina verschijnen, meldt dezelfde helppagina.
Stel je voor dat een klant je bedrijfsnaam intypt en meteen zo'n waarschuwing ziet. De kans is groot dat die klant verder kijkt bij een ander. Al je werk aan teksten en posities levert op dat moment weinig op.
Ook HTTPS speelt een rol. Google schrijft dat de systemen HTTPS al meewogen als signaal voor paginabeleving, de manier waarop een bezoeker je pagina ervaart. Zie een geldig certificaat dus als basis voor vertrouwen, minder als snelle sprong omhoog in Google.
Wil je weten hoe de rest van de techniek ervoor staat? Bij technische SEO bekijkt ons team onder meer hoe Google je pagina's leest en hoe snel ze laden.
Hoe beveilig je je website in zes stappen
Wie zoekt op beveiliging website, vindt lange lijsten met tips. De basis past in zes vaste stappen. Neem ze één voor één door en vink af wat al klaar is.
Stap 1. Houd je CMS, plug-ins en thema's actueel
Je CMS, het systeem waarmee je je site beheert, krijgt regelmatig nieuwe versies. Plug-ins (uitbreidingen met extra functies) en thema's (de vormgeving van je site) krijgen ook updates. Zo'n update dicht vaak precies het lek waar bots op letten.
Zet beveiligingsupdates zo snel mogelijk door. Maak voor een grote update eerst een back-up en test daarna je formulieren en je belangrijkste pagina's.
Verwijder ook plug-ins en thema's die al tijden uitgeschakeld staan. Uitgeschakelde software staat vaak nog op de server en blijft daar een mogelijke ingang.
Stap 2. Gebruik sterke unieke wachtwoorden
Gebruik voor elk account een eigen, lang wachtwoord. Denk aan je CMS, je hostingaccount, je domeinregistratie en je zakelijke mail. Lekt één wachtwoord uit, dan probeert een aanvaller het direct bij al je andere accounts.
Een wachtwoordmanager onthoudt al die wachtwoorden voor je. Je onthoudt zelf één sterk hoofdwachtwoord. De manager bedenkt voor elk account een lang, willekeurig wachtwoord en vult het voor je in.
Stap 3. Zet tweestapsverificatie aan
Tweestapsverificatie is belangrijk omdat het je beschermt tegen wachtwoordlekken, schrijft Veilig Internetten van de Rijksoverheid. Kent iemand je wachtwoord, dan mist hij nog steeds de code op je telefoon.
Zet het aan op elk account dat het aanbiedt, te beginnen bij je CMS, je hoster en je mail. Gebruik je een authenticatie-app, een app die inlogcodes maakt? Bewaar dan de geheime sleutel ervan in je wachtwoordmanager, raadt dezelfde pagina aan.
Stap 4. Geef elke gebruiker de minste rechten
Wie mag wat op je site? Geef elke gebruiker de minste rechten die bij zijn taak passen. Een tekstschrijver kan prima berichten plaatsen, terwijl instellingen en plug-ins bij de beheerder blijven.
Ruim daarnaast oude accounts op. Denk aan een oud-medewerker, een stagiair of de webbouwer van drie jaar geleden. Elk vergeten account is een extra sleutel die ergens rondslingert.
Stap 5. Zorg voor HTTPS met een geldig certificaat
Het certificaat achter HTTPS heeft een vervaldatum. Verloopt het, dan toont de browser je bezoekers een waarschuwing in plaats van je homepage. Kreeg je daar al een melding over van je hoster? Pak die dan dezelfde dag op.
Laat het certificaat automatisch verlengen en controleer of dat ook lukt. Stuur daarnaast elk oud adres met http door richting de https-versie, zodat iedere bezoeker op een beveiligde pagina uitkomt.
Stap 6. Maak back-ups en oefen het terugzetten
Een back-up is een volledige kopie van je bestanden en je database, de opslag van je teksten, bestellingen en instellingen. Bewaar meerdere kopieën en zet er minstens één buiten je eigen server.
Waarom buiten de server? Valt die server uit of raakt hij besmet, dan wil je je kopieën veilig elders hebben. Vergelijk het met een reservesleutel die bij de buren ligt in plaats van onder de bloempot naast je voordeur.
Oefen ook het terugzetten. Zet elk kwartaal een back-up terug op een testomgeving, een afgeschermde kopie van je site. Zo weet je zeker dat de kopie compleet is en hoe lang het terugzetten duurt.
Een back-up telt pas echt als je hem een keer hebt teruggezet.
Formulieren en klantgegevens beschermen
Je contactformulier, offerteformulier of klantenportaal verzamelt namen, mailadressen en soms meer. Die gegevens verdienen extra zorg.
Bots vullen formulieren graag met spam of misbruiken ze voor eigen berichten. Zet daarom een onzichtbare spamcontrole aan of een korte vraag die een mens makkelijk beantwoordt. Beperk ook het aantal inzendingen per minuut.
Vraag alleen de gegevens die je echt gebruikt en ruim oude inzendingen op zodra je ze hebt afgehandeld. Bewaart je portaal of webshop klantgegevens, zet die dan achter een inlog met tweestapsverificatie voor elke beheerder.
Wat je nooit opslaat, kan ook nooit uitlekken.
Lekken er toch persoonsgegevens uit, dan geldt een meldplicht volgens de AVG, de Europese privacywet. Een datalek meld je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, schrijft het NCSC.
Hoe vaak komt dat voor? Bij de Autoriteit Persoonsgegevens kwamen in 2025 39.407 meldingen van datalekken binnen, tegen 37.839 in 2024. Bij 2.428 meldingen lag er een cyberaanval aan ten grondslag, volgens hetzelfde rapport. Die cijfers gaan over alle organisaties samen.
Twijfel je of iets als datalek telt of wat je precies moet melden? Juridische vragen zijn in goede handen bij een jurist of privacyspecialist. Die kent de regels tot in detail en helpt je de juiste keuze te maken.
Hosting, serversoftware en headers
Je site draait op een server bij je hoster. Op die server staat ook software, zoals de programmeertaal waarin je CMS geschreven is en de webserver die je pagina's uitlevert. Ook die software krijgt updates en heeft een einddatum.
Vraag je hoster of de serversoftware van je pakket actueel is en of beveiligingsupdates automatisch worden doorgevoerd. Kreeg je bericht over een verouderde versie? Plan de overstap dan op korte termijn en test je site daarna grondig.
Beveiligingsheaders
Beveiligingsheaders zijn korte instructies die je server bij elke pagina meestuurt richting de browser. Ze zeggen bijvoorbeeld dat je site uitsluitend via HTTPS mag laden of dat je pagina's alleen op je eigen site in beeld verschijnen.
Je hoster of webbouwer zet ze meestal met een paar regels aan. De gratis test verderop in deze gids laat zien welke headers je al hebt.
Een security.txt voor wie een lek vindt
Soms ontdekt een beveiligingsonderzoeker een lek op jouw site. Fijn als die persoon dan meteen weet bij wie hij terechtkan. Daarvoor dient security.txt, een klein tekstbestand in de map .well-known van je site met contactgegevens voor meldingen.
Zet er een mailadres in dat iemand echt leest en een datum waarop het bestand verloopt. Zo landt een melding bij de juiste persoon in plaats van in een vergeten inbox.
Website beveiligen tegen hackers met monitoring
Monitoring betekent dat je site in de gaten wordt gehouden, ook als jij slaapt. Voeg je site toe aan Google Search Console, de gratis omgeving waarin Google laat zien hoe het je site leest.
Daar vind je het rapport Beveiligingsproblemen. Google noemt dat rapport de bron van waarheid voor beveiligingsmeldingen over je site. Open het elke maand, ook als alles rustig lijkt.
Zet daarnaast een melding aan die je waarschuwt zodra je site plat ligt. Veel hosters bieden dat aan en er bestaan gratis diensten die je site elke paar minuten bezoeken. Ligt hij eruit, dan weet je het eerder dan je klanten.
Lees ook de mails van je hoster of webbouwer aandachtig. Een bericht over achterstallige updates of een verlopen certificaat is een vroege waarschuwing en dus de prettigste soort.
Is je site al gehackt? Dan is eerst opruimen aan de orde en daarna pas preventie. Kijk voor die situatie bij hulp na een gehackte website.
Wie meekijkt, ziet een probleem eerder dan een klant.
Test de beveiliging van je website gratis
Hoe staat de beveiliging van je website er nu voor? De openbare test van Internet.nl geeft binnen een paar minuten een helder beeld. Je vult je domeinnaam in en de test controleert onder meer HTTPS, beveiligingsheaders en moderne internetstandaarden.
Je krijgt een score en per onderdeel een uitleg in het Nederlands. Stuur het rapport door richting je webbouwer of hoster, want daar weten ze welke instelling bij elk punt hoort.
Herhaal de test elk kwartaal en na elke grote wijziging aan je site of hosting. Zo zie je meteen of een update iets heeft veranderd. Wil je ook de vindbaarheid van je site laten doorlichten? Dat doet ons team in een SEO-audit.
Checklist per week, maand en kwartaal
Een vast ritme maakt beveiliging overzichtelijk. Hang deze lijst bij je bureau of zet de momenten in je agenda.
Elke week
- Installeer de beveiligingsupdates van je CMS, plug-ins en thema's.
- Controleer of de nieuwste back-up is gelukt.
- Lees de meldingen van je hoster, je webbouwer en Search Console.
Elke maand
- Voer alle overige updates uit en test daarna je formulieren.
- Open het rapport Beveiligingsproblemen in Search Console.
- Controleer de vervaldatum van je certificaat.
- Loop de lijst met gebruikers door en verwijder oude accounts.
Elk kwartaal
- Zet een back-up terug op een testomgeving.
- Doe de openbare test van Internet.nl opnieuw.
- Vraag je hoster of de serversoftware nog actueel is.
- Controleer of het mailadres in je security.txt nog werkt.
- Check of tweestapsverificatie op elk account aanstaat.
Een vast ritme verslaat elke grote schoonmaak.
De basis elke maand op orde met onderhoud
Lukt het je om dit ritme zelf vol te houden? Dan heb je met deze checklist alles in handen. Besteed je je tijd liever aan je klanten, dan kan ons team het werk overnemen.
Met website-onderhoud verzorgt ons team elke maand de updates, back-ups en controles. Zo blijft de basis op orde en hoor je het snel als er iets hapert.
Wil je eerst weten waar je site nu staat? Plan een gesprek met Dominic. Hij bespreekt met je welke stappen al goed gaan en welke als eerste aandacht verdienen.
Veelgestelde vragen over website beveiliging (FAQ)
Hoe website beveiligen als kleine ondernemer?
Begin bij de basis. Houd je CMS, plug-ins en thema's actueel, gebruik unieke wachtwoorden met tweestapsverificatie, geef gebruikers de minste rechten, zorg voor HTTPS en maak back-ups op een tweede plek. Controleer dat daarna in een vast ritme per week, maand en kwartaal.
Is mijn kleine website interessant voor hackers?
Ja. Aanvallers zetten bots in die het hele internet afzoeken op bekende lekken in verouderde software. Zo'n bot let op je software en de versie ervan, de omvang van je bedrijf speelt daarbij een kleine rol. Een actuele site met sterke wachtwoorden biedt weinig houvast.
Wat heeft website beveiliging met mijn vindbaarheid te maken?
Google kan sites met een beveiligingsprobleem met een waarschuwingslabel tonen in de zoekresultaten en in de browser kan een waarschuwingspagina verschijnen. HTTPS weegt Google mee als signaal voor paginabeleving, als onderdeel van een betrouwbare site.
Moet ik een datalek via mijn contactformulier melden?
Lekken er persoonsgegevens uit, dan geldt een meldplicht. Volgens het NCSC meld je een datalek binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Twijfel je of jouw situatie daaronder valt, leg die vraag dan voor aan een jurist of privacyspecialist.
Hoe test ik gratis of mijn website veilig is?
Doe de openbare test van Internet.nl. Je vult je domeinnaam in en krijgt een score met uitleg per onderdeel, zoals HTTPS en beveiligingsheaders. Kijk daarnaast elke maand in Google Search Console bij het rapport Beveiligingsproblemen.
