Database

1. Het pakket staat uitgepakt. De nieuwe versie staat in wp-content/upgrade/ onder een voorspelbare naam en zonder index.php.
2. De aanvaller roept de installer aan. Een script vraagt setup-config.php of install.php in die map op en voert de setup uit met een database die de aanvaller zelf beheert. Dat geeft hem PHP-uitvoering op je server en daarmee volledige overname van de site^[12].
3. WordPress ruimt op. De werkmap verdwijnt en de update rondt normaal af. Je ziet in het dashboard niets bijzonders.

De aanvaller heeft geen wachtwoord, geen account en geen klik van jou nodig. Hij hoeft alleen op het goede moment het goede pad op te vragen. Stap 4 maakt het lastig te merken: na afloop staat de map er niet meer, maar de schade is dan al gedaan.

WooCommerce, PrestaShop en Magento draai je zelf op je eigen hosting. Je kiest je eigen plugins en betaalprovider, en je klant- en bestelgegevens staan op een server die jij kiest. Daar staat tegenover dat je zelf updates bijhoudt, of iemand inhuurt die dat doet. De rest van dit artikel gaat over deze tweede groep, met WooCommerce als voorbeeld.

Wat een webshop anders maakt dan een gewone website

Een blogpagina is voor iedere bezoeker hetzelfde, dus de server maakt hem één keer en serveert daarna een kopie uit de cache. Een webshop heeft pagina's die per bezoeker uniek zijn: de winkelwagen, de checkout en "mijn account". Die zijn niet te cachen^[6]. Elke klik daar start PHP en stelt vragen aan de database.

Zie het als een restaurant. De menukaart ligt klaar op tafel (cache), maar elke bestelling gaat langs de keuken (PHP en database). Een drukke avond merk je dus in de keuken, niet bij de menukaarten.

Een goede WordPress-back-up bevat twee delen: je bestanden (wp-content, wp-config.php) en je database. Je maakt hem via je hostingpaneel, met een plugin zoals UpdraftPlus of handmatig via FTP en phpMyAdmin. Goed is hij pas als er een kopie buiten je server staat en je één keer hebt getest dat terugzetten lukt.

Die back-up heb je vaker nodig dan je denkt. In 2025 kwamen er 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem bij, en 91% daarvan zat in plugins^[1].

Samenvatting: WordPress backup maken

Zet altijd bestanden én database veilig. Kies één van drie routes: je hosting (bij KeurigOnline JetBackup in DirectAdmin), een plugin als UpdraftPlus (4+ miljoen actieve installaties^[5]) of handmatig via FTP en phpMyAdmin. Bewaar volgens de 3-2-1-regel minstens één kopie extern, maak een back-up vlak vóór elke update en zet hem één keer per maand terug op een testomgeving.