Website-beveiliging voor ondernemers: HTTPS, updates, back-ups en toegang

Een kleine bedrijfswebsite lijkt geen aantrekkelijk doelwit, maar aanvallen zijn grotendeels geautomatiseerd: bots zoeken zonder onderscheid naar verouderde software, zwakke wachtwoorden en open deuren. Je hoeft geen beveiligingsexpert te zijn om het grootste deel van het risico weg te nemen. Een handvol basismaatregelen, consequent toegepast, doet het meeste werk. Dit artikel loopt ze langs.

1. HTTPS overal

HTTPS versleutelt het verkeer tussen de bezoeker en je website. Volgens web.dev beschermt het drie dingen: vertrouwelijkheid (niemand onderweg kan meelezen), integriteit (niemand kan ongemerkt iets aan de pagina toevoegen of wijzigen) en authenticiteit (de bezoeker weet dat hij met jouw site praat). Een certificaat is bij veel hostingpartijen gratis en wordt automatisch vernieuwd. Controleer daarna drie dingen:

• Alle HTTP-adressen verwijzen permanent door naar HTTPS.
• Er is geen “mixed content”: pagina's die via HTTPS laden maar nog afbeeldingen of scripts via HTTP binnenhalen. MDN legt uit dat browsers zulke content kunnen blokkeren of een waarschuwing tonen.
• Het certificaat verloopt niet ongemerkt. Zet een melding of automatische vernieuwing aan.

HTTPS is daarnaast een basisvoorwaarde bij het verwerken van formulieren en persoonsgegevens: artikel 32 van de AVG vraagt passende technische maatregelen om persoonsgegevens te beveiligen.

2. Houd software bijgewerkt

De meest voorkomende oorzaak van gehackte websites is verouderde software: het CMS, een thema, een plug-in. Kwetsbaarheden worden openbaar en bots testen binnen korte tijd of jouw site ze nog heeft. Wat helpt:

1. Maak een inventaris van alle onderdelen: CMS, thema, plug-ins, server, PHP- of Node-versie.
2. Werk regelmatig bij, en bij beveiligingsupdates zo snel mogelijk.
3. Test updates bij voorkeur eerst op een kopie van de site.
4. Verwijder wat je niet gebruikt. Een uitgeschakelde plug-in die blijft staan, is nog steeds code die kwetsbaar kan zijn.
5. Kies bewust welke plug-ins je installeert: wordt het onderhouden, hoe recent is de laatste update?

Een website zonder database of CMS, die als statische bestanden wordt geserveerd, heeft hier minder risico omdat er minder software draait. Dat is een van de redenen dat we bij CUBO Agency graag lichte, maatwerk-sites bouwen.

3. Back-ups die je echt kunt terugzetten

Een back-up die je nooit hebt getest, is een hoop. Regel:

• Automatisch en regelmatig. Hoe vaak, hangt af van hoe vaak je site verandert: een webshop met bestellingen vraagt vaker dan een brochuresite.
• Op een andere plek dan de server zelf. Staat de back-up op dezelfde machine, dan verdwijnt hij bij een storing of aanval samen met de site.
• Meerdere versies. Een besmetting kan weken onopgemerkt blijven; dan wil je terug naar een eerdere versie.
• Testen. Zet de back-up minstens eens per jaar terug op een testomgeving om te zien dat het werkt en hoe lang het duurt.
• Weten wie wat doet. Leg vast wie het terugzetten uitvoert en wat jouw hostingpartij wel en niet doet.

4. Sterke toegang

Gestolen of makkelijk te raden wachtwoorden zijn een veelgebruikte route naar binnen. Maatregelen:

• Uniek, lang wachtwoord per account, bij voorkeur via een wachtwoordmanager.
• Tweestapsverificatie (2FA) op CMS, hosting, domeinregistratie en e-mail. Het domein en de e-mail zijn belangrijker dan je denkt: wie je mail overneemt, kan wachtwoorden resetten.
• Geen gedeelde accounts. Geef iedereen een eigen login en trek rechten in als iemand vertrekt.
• Minimale rechten. Niet iedereen hoeft beheerder te zijn.
• Geen standaardgebruikersnamen zoals “admin”.

5. Beperk de aanvalsoppervlakte

• Formulieren: gebruik server-side validatie en een spamfilter. Sla niet meer op dan nodig.
• Bestandsuploads: sta alleen toe wat je echt nodig hebt, en controleer type en grootte.
• Beheeromgeving: beperk toegang waar het kan, bijvoorbeeld op IP-adres, en schakel onnodige functies uit.
• Foutmeldingen: toon bezoekers geen technische details.
• Externe scripts: elk extern script dat je laadt, is code van een ander op jouw pagina. Gebruik er weinig en alleen van betrouwbare bronnen.

6. Weet waartegen je bescherming zoekt

OWASP, een internationale non-profit, publiceert de OWASP Top Ten, een overzicht van de meest kritieke beveiligingsrisico's voor webapplicaties, zoals kapotte toegangscontrole en injectie. Als ondernemer hoef je ze niet te kunnen exploiteren, maar het is een goede lijst om aan een ontwikkelaar of hostingpartij voor te leggen: hoe pakt u deze risico's aan? Een goed antwoord is concreet.

7. Bereid je voor op een incident

Ook met goede maatregelen kan iets misgaan. Leg vooraf vast:

1. Wie je belt: hostingpartij, ontwikkelaar, en wie bij jou beslist.
2. Hoe je terugzet: de stappen en de tijd die het kost.
3. Wat je meldt. Als er persoonsgegevens zijn gelekt, geldt volgens artikel 33 van de AVG in veel gevallen een meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur nadat je het lek hebt ontdekt. Controleer je situatie, want niet elk incident valt hieronder.
4. Hoe je klanten informeert, als dat nodig is.

Het Nationaal Cyber Security Centrum (NCSC) publiceert op zijn website informatie en adviezen voor organisaties over digitale veiligheid; het is een goed startpunt als je meer wilt weten.

Een eenvoudige maandelijkse routine

• Updates controleren en uitvoeren.
• Controleren dat back-ups zijn gemaakt en dat de meest recente niet leeg is.
• Gebruikersaccounts nalopen en oude verwijderen.
• Certificaat en domein: verloopdatums controleren.
• Een korte bezoek aan je eigen site op desktop en mobiel: werkt het formulier, laden alle pagina's?

Tot slot

Beveiliging is geen product maar een gewoonte. Bij CUBO Agency verzorgen we hosting en onderhoud met updates, back-ups en monitoring, zodat jij je op je bedrijf kunt richten. Wil je weten hoe veilig jouw huidige site is? Plan een gratis kennismaking. Zie ook cookies en AVG.

Bronnen

Gecontroleerd op 28 oktober 2026 aan de hand van de bronnen hieronder. Regels en richtlijnen veranderen; dit artikel is algemene informatie en geen juridisch of fiscaal advies.

• Why HTTPS matters (web.dev)
• Mixed content (MDN Web Docs)
• OWASP Top Ten (OWASP Foundation)
• Nationaal Cyber Security Centrum (NCSC)
• Verordening (EU) 2016/679, Algemene verordening gegevensbescherming, artikel 32 en 33 (EUR-Lex)

Plan kennismaking