Wat gebeurt er met een website die niemand onderhoudt?
5 min lezen · Bijgewerkt op 20 oktober 2026
Een website staat online en lijkt gewoon te werken. Toch verandert er van alles om de site heen. Zonder onderhoud ontstaan er gevaren die je pas merkt als het misgaat.
Kwetsbare software
De meeste websites draaien op een CMS zoals WordPress, met plugins en een thema. In die software worden steeds nieuwe kwetsbaarheden gevonden.
Patchstack telde in 2025 ruim 11.000 nieuwe kwetsbaarheden in het WordPress-ecosysteem. Daarvan zat 91 procent in plugins en 9 procent in een thema. Voor 46 procent was er nog geen update beschikbaar toen de kwetsbaarheid openbaar werd. De meest aangevallen kwetsbaarheden werden vaak binnen enkele uren misbruikt.
Een site die niemand bijwerkt, blijft dus open staan voor bekende aanvallen. Een plugin die niet meer wordt onderhouden, krijgt zelfs nooit meer een update.
Domeinnaam en certificaat
Wordt de registratie van je domeinnaam niet verlengd, dan gaat je site offline en werkt je e-mail niet meer. Bij een .nl-domein volgt na opheffing een quarantaine van 40 dagen. In die periode kun alleen jij de naam terughalen. Daarna kan een ander de naam registreren.
SIDN waarschuwt dat verkeer naar een domeinnaam vaak nog jaren doorgaat na opheffing. Krijgt een ander de naam, dan ontvangt die dat verkeer en de informatie die er, soms per ongeluk, naartoe wordt gestuurd.
Het TLS-certificaat wordt bij de meeste hostingpartijen automatisch verlengd. Controleer wel of dat ook echt gebeurt, zeker na een verhuizing van je site.
DNS, formulieren en inhoud
- DNS en e-mail: records voor SPF, DKIM en DMARC kloppen niet meer als je een andere maildienst of nieuwsbriefdienst gaat gebruiken. Je mail komt dan in de spam terecht.
- Contactformulier: een formulier zonder bescherming trekt spam aan. Verandert er iets bij je hoster of mailinstellingen, dan komen berichten soms ongemerkt niet meer aan.
- Inhoud: oude openingstijden, prijzen of medewerkers die al weg zijn, zorgen voor verwarring.
- Privacyverklaring: je moet bezoekers duidelijk vertellen wat je met hun gegevens doet, waarom, met wie je ze deelt en hoe lang je ze bewaart. Voeg je een formulier, analysetool of chatfunctie toe, dan moet de verklaring daarbij passen.
security.txt verloopt ook
Met een security.txt-bestand vertel je onderzoekers waar ze een beveiligingsprobleem kunnen melden. Het bestand staat in de map /.well-known/ van je site. Het is vastgelegd in RFC 9116.
Het veld Expires is verplicht. De standaard raadt een datum aan die minder dan een jaar in de toekomst ligt. Na die datum geldt de inhoud als verouderd. Volgens de RFC is geen bestand beter dan een bestand met verouderde informatie.
Statische sites en een jaarlijkse controle
Een statische site zonder database en zonder plugins heeft minder bewegende delen. Het risico op een gehackte site is daardoor kleiner. Domeinnaam, DNS, certificaat, formulieren, inhoud en security.txt vragen ook dan aandacht.
Minimaal een keer per jaar:
- Controleer of CMS, plugins en thema bijgewerkt zijn, en verwijder wat je niet gebruikt.
- Controleer de vervaldatum en automatische verlenging van je domeinnaam.
- Controleer of het certificaat geldig is en automatisch wordt verlengd.
- Controleer SPF, DKIM en DMARC na elke wijziging in je mail- of nieuwsbriefdiensten.
- Verstuur een testbericht via elk contactformulier.
- Lees de hele site door op verouderde informatie.
- Leg de privacyverklaring naast wat je site echt doet.
- Werk de Expires-datum in security.txt bij.