Onbekende admin-accounts, vreemde redirects, Japanse of Chinese spamtekst in Google-zoekresultaten, hosting-account geschorst voor spam-uitstoot, of de Wordfence/Sucuri-melding die rood oplicht? Een gehackte WordPress is geen ramp — wel een race tegen je domein-reputatie. Ik ruim dagelijks WordPress-hacks op: detectie, complete schoonmaak, hardening en Google-herindexering.
Een gehackte site ziet er voor jou vaak nog normaal uit. Aanvallers verstoppen hun activiteit met cloaking, gerichte redirects en hidden user-accounts. Herken je een van deze zes signalen? Bel meteen, niet morgen.
Search Console heeft mogelijk al een Manual Action geplaatst. Bezoekers haken massaal af — elk uur kost ranking en vertrouwen. Vaak gepaard met Japanse, Chinese of Pharma-spam.
Open Users → All Users en zie accounts die je niet aanmaakte — vaak wpadmin, support of admin1234 met buitenlandse mailadressen. Klassieke persistentie-truc die blijft bestaan na een wachtwoord-reset.
Klik je vanaf Google op je eigen site, dan word je doorgestuurd naar een buitenlandse webshop, casino of pornosite. Bij directe URL-invoer werkt 't normaal. Klassieke "first-visit redirect" die zoekverkeer kaapt en monetiseert.
Mail van TransIP, Hostnet of Antagonist: "verdachte uitgaande mail-activiteit". Vaak met deadline van 24–48 uur. Site stuurt duizenden spam-mails vanaf jouw domein. Volledig stappenplan →
Plotse melding: file-integrity-checks vinden gewijzigde core-bestanden, scans tonen malware-signaturen, of excessief veel mislukte login-pogingen. Detecteren doet de plugin — opruimen vraagt handwerk en kennis van WP-internals.
De uploads-map hoort alleen afbeeldingen te bevatten. Vind je daar .php-bestanden of random-named scripts? Vrijwel altijd webshells — backdoors waarmee aanvallers terugkomen na elke cleanup die dit mist.
De eerste minuten na ontdekking zijn cruciaal. Niet uit paniek slechte keuzes maken, niet voortijdig bestanden weggooien, niet de aanvaller laten terugkomen. Volg deze stappen, dan kan ik daarna efficiënt opruimen.
wp-config.php staat een blok met AUTH_KEY, SECURE_AUTH_KEY, NONCE_KEY etc. Genereer nieuwe via api.wordpress.org/secret-key/1.1/salt/ en vervang het hele blok. Iedereen wordt uitgelogd, gestolen sessies zijn ongeldig.
maintenance.html via .htaccess. Niet nodig bij stille hacks (alleen SEO-spam) — daar maakt offline het reputatie-herstel juist moeilijker.
Een goede WordPress-cleanup is geen "verwijder de duidelijke spam" — het is forensisch werk. Aanvallers laten typisch 3-7 verschillende toegangspunten achter. Allemaal vinden, opruimen, en daarna dichten. Anders komt 't binnen weken terug.
Forensische backup, logs scannen (access_log, error_log, debug.log), file-integrity-check tegen schone WordPress-baseline, database-sweep op spam-injecties en hidden admins. Lockdown van de site zodat verdere schade voorkomen wordt tijdens de cleanup.
Alle malware, webshells, backdoors, geïnjecteerde admin-accounts, sitemap-injecties en database-spam grondig verwijderen. Core, plugins en themes opnieuw installeren vanaf schone bron. Custom code vergelijken met laatste schone backup.
Toegangspunten dichten: 2FA, sterke wachtwoorden, secret keys, plugin-audit, uploads-map vergrendelen, file-editing in wp-admin uit. Search Console-herindexering aanvragen voor ranking-herstel. Monitoring zodat een volgend incident in dagen wordt opgemerkt, niet maanden.
Vier varianten dekken samen ongeveer 80% van de WordPress-hacks die ik dagelijks zie. De symptomen verschillen, de aanpak is grotendeels dezelfde: detect, contain, clean, harden. Klik door voor diepe technische uitleg per variant.
Een opruiming zonder hardening is uitstellen, niet oplossen. Aanvallers vonden je site al — komen ze terug? Dat hangt af van hoe deze vijf basisregels zijn ingericht.
Een gestolen wachtwoord werkt niet meer als de tweede factor nodig is. Plugin als WP 2FA of Wordfence Login Security, gekoppeld aan Google Authenticator of Authy. Geen "ik gebruik een sterk wachtwoord, dat is genoeg" — dat is het niet.
Dit is dé route waar aanvallers via een kwetsbare plugin een webshell uploaden. Een .htaccess in wp-content/uploads/ die .php-bestanden weigert breekt 80% van alle automatische aanvallen. Eén regel, gigantische impact.
In wp-config.php: define('DISALLOW_FILE_EDIT', true);. Wie eenmaal binnen is via een gestolen admin-account kan dan niet direct in plugin- of theme-files schrijven. De aanval-keten breekt op het laatste moment.
Een gedeactiveerde plugin is geen veilige plugin. De code staat nog op de server en kan via een direct request kwetsbaarheden bieden. Niet meer in gebruik? Volledig verwijderen. Hetzelfde voor themes — alleen de actieve plus één fallback.
Backup is herstel, geen security. Wordfence of Sucuri scannen continu op gewijzigde core- en plugin-bestanden. Bij toekomstige compromittering: melding binnen uren in plaats van weken — en weken-vroege detectie scheelt vaak het verschil tussen 1 uur opruimen en een volledige rebuild.
Hosting-support, security-plugins en je oorspronkelijke webbouwer — allemaal nuttig op hun manier, maar zelden de juiste partij voor een complete hack-cleanup. Hier wat elk wel en niet doet.
In de praktijk zie ik gehackte sites die door een security-plugin zijn "schoongemaakt" maar binnen 2-3 weken opnieuw besmet zijn. De plugin vond de duidelijke malware, maar miste de drie webshells in een uploads-submap, de cron-job die elke 30 minuten een backdoor opnieuw uploadde, en de hidden admin-account met buitenlandse e-mail. Die complete uitkam-cyclus is waar mijn werk zit.
Wat klanten in deze paniek-momenten meestal eerst vragen.
Ik reageer op werkdagen. 's Avonds en in het weekend ben ik bereikbaar met een toeslag die ik vooraf bespreek.
Een typische opruiming kost 3-8 uur werk: forensische analyse, complete cleanup, hardening en monitoring-setup. Eenvoudige scenario's (één SEO-spam-variant + standaard hardening) zijn vaak 2-4 uur. Complexe scenario's met meerdere monetisaties (SEO-spam + mailer-misbruik + backdoors) of grote sites kunnen 6-12 uur kosten. Diagnose is altijd kosteloos en geeft je een prijsschatting voordat we beginnen.
Een typische opruiming is binnen één werkdag klaar — vaak 4-6 uur. Bij grote of zwaar gecompromitteerde sites kan 't 1-2 dagen duren. Tijdens de opruiming zet ik je site soms tijdelijk in onderhoudsmodus om verdere schade te voorkomen. Volledige Google-herindexering en ranking-herstel duurt daarna nog 1-4 weken — daar kan ik niet aan versnellen, maar URL Inspection in Search Console helpt prioriteren.
Niet als de hardening goed is. Een opruiming zonder dichten van het toegangspunt is wachten op herhaling — daarom is hardening standaard onderdeel van mijn aanpak. Concrete stappen: alle wachtwoorden vernieuwen, secret keys roteren, 2FA aanzetten, plugins/themes auditen, file-integrity monitoring, hosting-firewall. 30 dagen garantie: komt 'ie binnen die termijn terug, dan los ik 't kosteloos op.
In vrijwel alle gevallen, ja — mits de cleanup grondig was. Google haalt geïnjecteerde pagina's vanzelf weg zodra ze opnieuw crawlen. Voor versnelling: schone sitemap.xml indienen in Search Console, URL Inspection → Request Indexing voor de belangrijkste pagina's, en bij een Manual Action een Review aanvragen. Volledig herstel: typisch 2-6 weken. Bij langdurige hack (> 3 maanden) kan herstel langer duren omdat Google's vertrouwen herstellen tijd kost.
Technisch kan het — maar 80% van zelf-opruimingen mist één of meer backdoors, waardoor de hack binnen weken terugkomt. Aanvallers laten typisch 3-7 verschillende toegangspunten achter (webshells, cron-jobs, gewijzigde core-files, hidden admin-users). Plus: hardening na opruiming is een specialisme. Voor kleine eenvoudige hacks op niet-bedrijfskritische sites kun je m'n kennisbank-artikelen volgen; voor commerciële sites is professionele hulp meestal de meer kosteneffectieve route.
Komt regelmatig voor — vaak met een deadline van 24-48 uur om aan te tonen dat 't is opgelost. Ik werk dan onder tijdsdruk: directe communicatie met hosting-support, snel-pad-cleanup, bewijs leveren dat alle vectoren zijn gedicht. In de meeste gevallen krijg je je account binnen een paar uur terug zodra hosting ziet dat de bron echt is verwijderd.
Idealiter: SSH/SFTP-toegang plus WordPress-admin. Met SSH kan ik snel error_logs scannen, file-changes detecteren en backdoors vinden. Heb je geen SSH? Dan FTP plus hosting-control-panel volstaat ook, alleen iets trager. Ik behandel toegangsgegevens vertrouwelijk en wijzig wachtwoorden direct na afronding zodat de toegang dichtgaat.
Drie klassieke SEO-spam-varianten. Japanse spam toont namaak Louis Vuitton/Gucci/Yeezy-listings; Chinese spam toont generieke Chinese productpagina's; Pharma hack toont Viagra/Cialis. Alle drie zijn cloaking-hacks waar Googlebot andere content krijgt dan jij. Ik ken alle drie de patronen en heb specifieke detectie- en cleanup-procedures. Volledig herstel inclusief Google-reindex: typisch 2-4 weken.
Bellen of WhatsApp is bij urgente zaken het snelst — meestal reageer ik zo snel mogelijk. Ook mailen of een bericht via het formulier op de homepage kan altijd.
Website Technical Support Specialist
WordPress · Drupal · Joomla · OpenCart · CMS Made Simple
Spoed buiten werkuren? Bel altijd — bij echte noodgevallen neem ik zo snel mogelijk contact op.