Een gehackte WordPress site herken je vaak aan vreemde redirects, onbekende bestanden, spampagina’s in Google of waarschuwingen van je browser. Malware opruimen doe je door de bron te vinden, besmette bestanden te vervangen door schone versies, wachtwoorden en sleutels te vernieuwen en kwetsbaarheden te dichten. In dit artikel lees je stap voor stap hoe je dit aanpakt en hoe je herinfectie voorkomt.
Hoe herken je dat je site gehackt is
Malware op een WordPress site uit zich op verschillende manieren. Bezoekers worden doorgestuurd naar vreemde websites, je site toont reclame die je er niet op hebt gezet, of Google Search Console meldt dat je site gemarkeerd is als onveilig. Soms merk je het pas als je hostingpartij de site offline haalt vanwege misbruik van serverresources voor spam of phishing.
Controleer de volgende signalen: onbekende gebruikers in je WordPress-admin, nieuwe bestanden in de thema- of pluginmap die je niet zelf hebt geïnstalleerd, trage laadtijden door scripts op de achtergrond, en afwijkende inhoud in de broncode die je niet terugziet in de editor. Een scan met een beveiligingsplugin zoals Wordfence of Sucuri geeft vaak een eerste indicatie, maar vindt niet altijd alles.
Voorbereiding voordat je gaat opruimen
Voordat je begint met opruimen is het belangrijk om de schade niet groter te maken. Zet de site eventueel tijdelijk in onderhoudsmodus zodat bezoekers niet in aanraking komen met besmette content. Maak vervolgens een volledige backup van de huidige (besmette) staat, zodat je altijd kunt teruggaan als er iets misgaat tijdens het opruimen.
Verzamel ook toegang tot alle benodigde plekken: FTP of bestandsbeheer, de WordPress-database, en indien van toepassing je hostingpaneel. In Plesk vind je bestandsbeheer en de databasetoegang overzichtelijk bij elkaar, wat het vergelijken van bestanden met een schone installatie makkelijker maakt.
Stap voor stap malware verwijderen
Hieronder volgt een werkwijze die je bij de meeste WordPress-infecties kunt toepassen.
Vervang WordPress-kernbestanden
Download een schone, actuele versie van WordPress en vervang alle mappen behalve wp-content. Kernbestanden bevatten zelden legitieme aanpassingen, dus vervangen is veiliger dan opschonen.
Controleer thema’s en plugins
Verwijder alle thema’s en plugins die je niet actief gebruikt. Vervang de overgebleven plugins en het actieve thema door verse downloads vanaf de officiële bron, in plaats van de bestaande bestanden te vertrouwen.
Doorzoek uploads en custom bestanden
Malware verstopt zich vaak in de uploads-map of in bestanden met namen die lijken op WordPress-bestanden. Zoek naar functies als eval, base64_decode of gzinflate in de broncode, dit zijn veelgebruikte technieken om kwaadaardige code te verbergen.
Controleer de database
Kijk in tabellen zoals wp_options en wp_posts naar verdachte scripts, onbekende admin-accounts of ongewenste links. Verwijder deze zorgvuldig zonder legitieme content te beschadigen.
Ververs alle wachtwoorden en sleutels
Wijzig alle WordPress-wachtwoorden, FTP-gegevens, databasewachtwoord en de beveiligingssleutels in wp-config.php. Een hacker die eenmaal toegang had, heeft mogelijk inloggegevens buitgemaakt.
Werk je liever niet zelf in bestanden en database, dan kun je dit laten uitvoeren door een specialist of, als je bij een hosting support hebt, dit laten controleren via het supportkanaal van je provider.
Herinfectie voorkomen
Zodra de site schoon is, is het belangrijk om te zorgen dat de malware niet terugkeert. Werk WordPress, thema’s en plugins altijd direct bij als er een update beschikbaar is, want de meeste infecties ontstaan door verouderde, kwetsbare software. Beperk het aantal plugins tot wat je echt gebruikt en kies alleen plugins uit de officiële WordPress-directory of van betrouwbare ontwikkelaars.
Zorg daarnaast voor sterke, unieke wachtwoorden en schakel twee-factor-authenticatie in voor het inloggen op WordPress. Controleer regelmatig gebruikersaccounts op onbevoegde toevoegingen. Een geldig SSL-certificaat hoort hier ook bij, dit voorkomt dat inloggegevens onderschept worden tijdens het versturen.
Dagelijkse backups zijn je laatste redmiddel: als een hack toch doorkomt, kun je razendsnel terug naar een schone versie van voor de infectie. Richt daarnaast je zakelijke e-mail goed in, zodat phishingmails die misbruik maken van je domein minder kans krijgen; een correcte configuratie hiervan regel je via zakelijke e-mail. Wie overweegt over te stappen naar een hostingpartij met dagelijkse backups en monitoring kan via overstappen naar Tandata zien hoe dat in zijn werk gaat.
Veelgestelde vragen
Kan ik malware verwijderen zonder de site offline te halen?
Dat kan, maar het risico bestaat dat bezoekers tijdens het opruimen nog besmette content zien of dat Google de site al als onveilig markeert. Onderhoudsmodus tijdens het opschonen is veiliger.
Waarom komt de malware steeds terug na het verwijderen?
Vaak blijft er een achterdeur (backdoor) ergens in bestanden of database staan, of is een kwetsbare plugin niet bijgewerkt. Controleer daarom altijd alle bestanden en update direct na het opschonen.
Moet ik mijn domeinnaam of hosting opzeggen na een hack?
Nee, dat is niet nodig. Een hack zit in de WordPress-installatie, niet in je domeinnaam of hostingaccount zelf. Na het opschonen en beveiligen kun je gewoon doorgaan.
Hoe weet ik zeker dat alle malware weg is?
Vergelijk bestanden met een schone installatie, controleer logs op verdachte activiteit en draai een volledige scan met een beveiligingsplugin. Bij twijfel kun je dit laten controleren door een specialist.
Helpt een hostingprovider bij het opruimen van malware?
Dit verschilt per provider. Sommige bieden alleen serverondersteuning, andere helpen ook inhoudelijk mee of adviseren via de supportkanalen. Raadpleeg de kennisbank van je provider voor specifieke stappen.
Conclusie
Malware verwijderen uit een gehackte WordPress site vraagt om een gestructureerde aanpak: kernbestanden vervangen, thema’s en plugins controleren, de database doorzoeken en alle wachtwoorden vernieuwen. Minstens zo belangrijk is preventie achteraf, met tijdige updates, sterke wachtwoorden en dagelijkse backups zodat je bij een volgende aanval snel kunt herstellen.