Een website is geen document dat u op de dag van de lancering in een lade opbergt. Het is een installatie die permanent met de buitenwereld verbonden is: hosting, een certificaat, modules, browsers die elke maand veranderen. Zonder onderhoud valt een site bijna nooit in één keer uit. Hij gaat stukje bij beetje achteruit, en u merkt het pas op de dag dat een klant zegt dat hij nooit antwoord heeft gekregen op zijn bericht.

Het tempo ligt hoger dan vroeger. Volgens Patchstack, dat de kwetsbaarheden in het WordPress-ecosysteem in kaart brengt, werden daar in 2025 11 334 nieuwe kwetsbaarheden gepubliceerd, 42 % meer dan in 2024, waarvan 91 % in externe uitbreidingen. Het Centre for Cybersecurity Belgium registreerde van zijn kant 556 cyberincidenten in 2025, 58 % meer dan het jaar voordien, en stelt vast dat de gemiddelde termijn tussen de bekendmaking van een lek en de eerste actieve uitbuiting gezakt is tot vijf dagen, waarbij een derde binnen de 24 uur wordt misbruikt.

Voor een kmo of zelfstandige gaat het niet om de angst voor een spectaculaire hack. Het is prozaïscher: een formulier dat niets meer aflevert, een pagina die acht seconden nodig heeft op een smartphone, een vervallen certificaat dat uw prospecten een rode waarschuwing toont. Geen van die incidenten kondigt zich aan. Ze zijn alle drie op enkele minuten per maand op te sporen, als iemand ernaar kijkt.

Wat achteruitgaat als niemand kijkt

Lekken gaan sneller dan agenda's

Het meest sprekende cijfer uit het rapport 2025 van het Centre for Cybersecurity Belgium is niet het aantal incidenten, maar de snelheid: gemiddeld vijf dagen tussen de bekendmaking van een kwetsbaarheid en de eerste effectieve uitbuiting. Een update die naar volgende maand wordt geschoven, is dus geen kleine administratieve vertraging meer, het is een open venster.

Tweede punt dat vaak over het hoofd wordt gezien: volgens Patchstack had 46 % van de in 2025 gepubliceerde kwetsbaarheden op het moment van bekendmaking nog geen beschikbare patch. Met andere woorden, updates uitvoeren volstaat niet altijd. U moet ook weten welke modules op uw site staan, welke niet langer door hun ontwikkelaar worden onderhouden, en welke vervangen of gewoon verwijderd kunnen worden. Een ongebruikte module die blijft staan, blijft een open deur.

Certificaten moeten steeds vaker vernieuwd worden

Dit is de meest concrete verandering van de komende jaren, en buiten technische teams heeft bijna niemand het erover. In april 2025 stemde het CA/Browser Forum, de organisatie die browsers en certificaatautoriteiten verenigt, voor een geleidelijke inkorting van de levensduur van TLS-certificaten (het bekende slotje). De kalender ligt vast: maximaal 200 dagen sinds 15 maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029.

Het praktische gevolg is eenvoudig: één manuele vernieuwing per jaar wordt onhoudbaar. De vernieuwing moet geautomatiseerd én opgevolgd worden, anders krijgen uw bezoekers vroeg of laat een waarschuwingsscherm te zien in plaats van uw startpagina. Waarom dat slotje ook op uw vindbaarheid weegt, leest u in ons artikel over HTTPS en het vertrouwen van bezoekers.

De snelheid brokkelt ongemerkt af

Een site die snel is op de dag van de oplevering, blijft dat niet. Er komen niet-gecomprimeerde foto's bij, een trackingscript, een banner, een reviewwidget, en de pagina wordt maand na maand zwaarder. De metingen van de Web Almanac (HTTP Archive), gepubliceerd in januari 2026 op basis van cijfers uit juli 2025, tonen dat slechts 48 % van de sites groen scoort op de drie Core Web Vitals bij mobiel surfen. Dat is één site op twee die een ervaring biedt die Google onvoldoende vindt, meestal zonder dat de eigenaar het weet. Meer daarover in ons artikel over laadsnelheid en de commerciële gevolgen.

De zes controlepunten van een levende site

Nuttig onderhoud komt neer op zes controles. Ze vragen geen vast technisch team, wel een routine.

1. De updates: kern, modules, thema, hosting. Minstens maandelijks, en onmiddellijk zodra een kritiek lek wordt aangekondigd.

2. De back-ups: automatisch, extern bewaard (niet op dezelfde server als de site) en vooral getest. Een back-up die nooit werd hersteld, is een veronderstelling, geen zekerheid.

3. Het certificaat en de domeinnaam: automatische vernieuwing actief, een waarschuwing minstens 30 dagen voor de vervaldag, facturatiegegevens up-to-date.

4. De formulieren: stuur één keer per maand een echte test, vanaf een toestel buiten het bedrijf, en controleer of het bericht in de inbox belandt en niet bij de ongewenste post.

5. Snelheid en fouten: een driemaandelijkse meting van de Core Web Vitals en van de 404-pagina's, zeker na nieuwe inhoud of gewijzigde beelden.

6. De conformiteit: werkende cookiebanner, actuele juridische vermeldingen en voorwaarden, correcte contactgegevens en ondernemingsnummer.

Wat het kost, en wat het voorkomt

In België wordt het onderhoud van een kmo-website meestal vastgelegd in een bescheiden maandelijks forfait: updates, back-ups, bewaking van de beschikbaarheid en een klein urenpakket voor lopende aanpassingen. De prijs hangt af van het aantal pagina's, de aanwezigheid van een webshop en de verwachte reactiesnelheid, maar de grootteorde blijft niet te vergelijken met de kost van een herstelling achteraf.

De echte kost van een verwaarloosde site staat namelijk zelden op een technische factuur. Hij zit in aanvragen die nooit binnenkomen, in posities die u een jaar hebt opgebouwd en weer kwijtspeelt, in bezoekers die een te traag tabblad sluiten. Er kleurt niets rood in uw boekhouding: de omzetlijn zakt gewoon een trapje.

Voor een eenvoudige, stabiele site volstaat een geplande driemaandelijkse doorlichting, met een geschreven checklist en een verslag, ruimschoots. Minder reactief dan een forfait, maar oneindig veel beter dan wachten tot er iets stukgaat. Staat uw site al meerdere jaren stil, dan is onderhoud niet langer de juiste vraag maar wel een volledige heropbouw, en onze checklist voor een redesign zonder verlies van vindbaarheid helpt de klassieke fouten vermijden.

Veelgestelde vragen

Heb ik echt een onderhoudscontract nodig voor een eenvoudige vitrinesite?

Een contract is niet verplicht, een routine wel. Als niemand in het bedrijf weet waar de hosting staat, wie de domeinnaam vernieuwt en wanneer de laatste back-up werd getest, dan blijft een forfait de eenvoudigste manier om vervelende verrassingen te vermijden. Een kmo met iemand die technisch vlot is, kan de lijst perfect intern bijhouden.

Hoe vaak moet een website worden bijgewerkt?

Een maandelijkse updateronde dekt de meeste situaties, met een onmiddellijke ingreep zodra er een kritiek lek wordt gemeld in een onderdeel dat u gebruikt. Gezien de gemiddelde termijn van vijf dagen tussen bekendmaking en misbruik die het Centre for Cybersecurity Belgium vaststelt, is wachten tot het volgende kwartaal een nutteloze gok.

Wie is verantwoordelijk als mijn site gehackt wordt?

Dat hangt af van wat uw contract zegt, en net daarom leest u het beter vóór het incident. Hostingpartij, dienstverlener en site-eigenaar hebben niet dezelfde verplichtingen. Controleer zwart op wit wie de updates uitvoert, wie de back-ups bewaart en binnen welke termijn een herstelling gegarandeerd is. Twijfelt u over de juridische of verzekeringstechnische gevolgen, laat het contract dan nalezen door uw vaste raadgever.

Hoe weet ik of mijn site nog gezond is?

Drie handelingen van vijf minuten, zonder technische kennis: open uw site op een smartphone via 4G en klok de tijd, stuur een bericht via uw eigen contactformulier, en controleer de vervaldatum van uw domeinnaam. Loopt één van de drie mank, dan verdient de rest een audit.

Prioritair actieplan

1. Maak een inventaris: hostingpartij, registrar van het domein, beheerderstoegang, geïnstalleerde modules. Zet het in een document dat minstens twee mensen kunnen openen.

2. Beveilig de back-ups: activeer een dagelijkse, automatische en externe back-up en test daarna één keer een herstelling. Eén keer volstaat om te weten of ze werkt.

3. Automatiseer het certificaat: controleer of de vernieuwing automatisch verloopt en zet een waarschuwing op 30 dagen, want de kalender van 200 en daarna 100 dagen vergeeft geen vergetelheid.

4. Test uw formulieren deze maand, vanaf een extern adres, en zet een terugkerende herinnering in uw agenda.

5. Plan de routine: een vaste datum per maand voor de updates, een per kwartaal voor snelheid en fouten. Wat niet gepland is, gebeurt niet.

Een goed onderhouden site valt niet op, en dat is precies de bedoeling. Hij laadt snel, hij levert zijn berichten af, hij houdt zijn posities, en hij laat u nadenken over uw vak in plaats van over uw server. De bedrijven die op lange termijn winnen, zijn niet degene die hun site om de twee jaar vernieuwen, wel degene die dat nooit in allerijl hebben moeten doen.

Veroudert uw site zonder dat u weet waar te beginnen? Wij auditen en onderhouden websites van Belgische kmo's, van het bouwen van een website tot de maandelijkse opvolging.