Je WordPress-site onderhouden: wat je elke week, maand en jaar doet

Je site draait. Niemand klaagt. In het dashboard staat een rood bolletje met een 14 erin, maar dat staat er al een tijdje. Zolang alles werkt, voelt onderhoud als iets voor later.

Dat later komt meestal op een slecht moment. Een plugin met een bekend lek, een hoster die de PHP-versie ophoogt, een formulier dat al weken niets meer verstuurt. In dit artikel staat wat onderhoud aan een WordPress-site echt inhoudt, hoe vaak je wat doet en waar het misgaat als je het laat liggen.

Wat er gebeurt als je het laat liggen

WordPress zelf is goed beveiligd. De zwakke plekken zitten in wat je erbij installeert: plugins, je thema en losse stukjes code. Komt er in een populaire plugin een lek aan het licht, dan wordt dat openbaar gemaakt zodra er een update is. Vanaf dat moment scannen bots het internet af op sites die die update nog niet hebben. Ze kijken niet of jouw site interessant is. Ze kijken alleen of hij kwetsbaar is.

Het tweede risico is minder zichtbaar. Een site die lang niet is bijgewerkt, loopt steeds verder achter op de server waar hij op draait. Hosters zetten de PHP-versie op een gegeven moment hoger, omdat oude versies geen beveiligingsupdates meer krijgen. Een plugin van drie jaar oud kan daar zomaar op omvallen. Dan zie je er is een kritieke fout opgetreden in plaats van je homepage.

En hoe langer je wacht, hoe groter de sprong. Tien plugins die elk vier grote versies achterlopen, tegelijk bijwerken, is iets heel anders dan elke week twee kleine updates. Bij die grote sprong weet je achteraf niet meer welke update wat kapotmaakte.

Elke week: updates, met een back-up vooraf

Dit is de kern. De rest is belangrijk, maar zonder dit heeft de rest weinig zin.

1. Maak eerst een back-up. Niet die van vannacht, maar een verse, net voordat je begint. Dan kun je precies terug naar het moment voor de update.
2. Werk plugins een voor een bij. Begin met de kleine. De grote, zoals WooCommerce, een paginabouwer of je formulierplugin, doe je los. Lees bij een grote versiesprong even wat er veranderd is.
3. Werk je thema bij. Gebruik je een child theme, dan blijven je eigen aanpassingen staan. Heb je direct in het hoofdthema aanpassingen gedaan, dan ben je die bij een update kwijt.
4. Werk WordPress zelf bij. Kleine versies, zoals een beveiligingsrelease, installeert WordPress standaard automatisch. Grote versies doe je zelf.
5. Controleer je site. Klik de homepage, een paar belangrijke pagina’s en je contactpagina door. Verstuur een testformulier. Heb je een webshop, plaats dan een testbestelling.

Die laatste stap wordt het vaakst overgeslagen. Een update die je site niet laat omvallen, kan nog steeds je formulier of je afrekenpagina breken. Dat zie je alleen als je kijkt.

Automatische updates: wel of niet?

Sinds WordPress 5.5 kun je per plugin automatische updates aanzetten. Voor kleine, simpele plugins is dat prima. Voor alles waar je omzet of aanvragen van afhangen, zou ik het niet doen. De update draait dan ’s nachts, en je hoort pas dat er iets mis is als een klant belt. Wil je toch automatisch updaten, zorg dan in elk geval voor een back-up vooraf en een melding als de site daarna een fout geeft.

Elke maand: kijken of alles nog klopt

• Test je back-up. Een back-up die je nooit hebt teruggezet, is een hoop. Zet er eens een terug op een testomgeving. Klopt de database? Staan de afbeeldingen erin? Bewaar back-ups ook niet alleen op dezelfde server als je site. Gaat die server stuk, dan ben je ze allebei kwijt.
• Loop je plugins na. Op de pluginpagina van wordpress.org staat wanneer een plugin voor het laatst is bijgewerkt. Een plugin die al een jaar of langer stilstaat, wordt waarschijnlijk niet meer onderhouden. Zoek dan een vervanger voordat er een lek in gevonden wordt.
• Verwijder wat je niet gebruikt. Een gedeactiveerde plugin staat nog steeds op de server. De bestanden zijn bereikbaar en een lek erin kan nog steeds misbruikt worden. Gebruik je hem niet, verwijder hem dan. Dat geldt ook voor oude thema’s. Houd er één standaardthema naast, zodat WordPress iets heeft om op terug te vallen.
• Kijk wie er kan inloggen. Onder Gebruikers staan vaak nog accounts van een oud-medewerker, een stagiair of het bureau dat de site ooit bouwde. Haal weg wat niet meer nodig is, en geef niet iedereen de rol beheerder.
• Kijk in Sitestatus. Onder Gereedschap, Sitestatus geeft WordPress zelf aan wat er niet goed staat: een verouderde PHP-versie, een ontbrekende paginacache, inactieve plugins.

Elk jaar: de dingen die je vergeet

• De PHP-versie. Die pas je niet aan in WordPress, maar in je hostingpaneel. Controleer eerst of je plugins en thema de nieuwe versie aankunnen. Doe het bij voorkeur eerst op een testomgeving, of in elk geval met een verse back-up en op een rustig moment.
• Licenties van premium plugins. Verloopt een licentie, dan blijft de plugin werken, maar komen er geen updates meer. Ook geen beveiligingsupdates. Dat merk je pas als je er last van krijgt.
• Het beheerdersadres. Onder Instellingen, Algemeen staat het adres waar WordPress noodmeldingen naartoe stuurt. Op veel sites is dat nog het adres van degene die de site gebouwd heeft.
• Je domein en je SSL-certificaat. Een certificaat wordt meestal automatisch verlengd, maar dat kan stilletjes misgaan, bijvoorbeeld na een verhuizing of een DNS-wijziging. Je domein verlengen is ook zoiets dat goed gaat tot de betaalgegevens verlopen zijn.
• Je database. Revisies, verlopen tijdelijke gegevens en verwijderde reacties stapelen zich op. Met een opschoonplugin of WP-CLI maak je de database weer kleiner. Altijd met een back-up vooraf.

Wat je daarnaast laat meekijken

Sommige dingen kun je niet met de hand bijhouden. Daar zijn tools voor.

• Uptime-monitoring. Een dienst die elke paar minuten kijkt of je site bereikbaar is, en je een bericht stuurt als hij dat niet is. Dan weet je het voordat een klant het zegt.
• Foutmeldingen. Een site kan bereikbaar zijn en toch fouten geven op één pagina. Met WP_DEBUG en een logbestand zie je PHP-fouten die bezoekers niet te zien krijgen.
• Uitgaande mail. Komen er minder aanvragen binnen dan je verwacht, kijk dan eerst of je formuliermail nog aankomt. WordPress-mail die niet aankomt is een van de meest voorkomende stille problemen.
• Een centraal dashboard. Beheer je meerdere sites, dan wil je niet op elke site apart inloggen. Met een beheertool zie je alle updates, back-ups en monitoring op één plek. Zelf gebruik ik daarvoor de Hub van WPMU DEV voor de sites die ik onderhoud.

Waar het meestal misgaat

• Alles in één keer bijwerken. Na een half jaar niets doen alle updates tegelijk aanklikken. Gaat het mis, dan weet je niet welke het was.
• Back-up op dezelfde server. De back-up staat in een map naast je site. Gaat de server onderuit of wordt je site gehackt, dan is de back-up ook weg of besmet.
• Niet controleren na de update. De site laadt, dus het is goed. Tot er na drie weken iemand vraagt waarom je niet reageert op zijn aanvraag.
• Gedeactiveerd in plaats van verwijderd. Een plugin uitzetten voelt als opruimen, maar de bestanden staan er nog.
• Het blijft bij goede voornemens. Onderhoud werkt alleen als het een vast moment in de week heeft. Een keer per kwartaal als je eraan denkt, is te weinig.

Tot slot

Onderhoud is geen groot project, maar een gewoonte. Elke week bijwerken met een back-up vooraf, elke maand kijken of alles nog klopt, en een paar keer per jaar de dingen die je anders vergeet. Dan blijft je site veilig en weet je bij een probleem precies waar je moet zoeken.

Heb je daar zelf geen tijd of zin in? Met WordPress onderhoud neem ik het van je over. Ik draai de updates zelf, met een back-up vooraf, en controleer daarna of je site en formulieren het nog doen.