Een website bouwen kost geld. Een website onderhouden ook. Maar een website die na de lancering aan zijn lot wordt overgelaten, kost meestal het meest, en die kost verschijnt op geen enkele factuur. Ze verschijnt pas als er iets misloopt, en dan meestal op het slechtste moment.
Ik ben geen voorstander van bangmakerij over websites. De meeste KMO-sites draaien jarenlang zonder incident, en er wordt veel verkocht op basis van angst. Maar er is een verschil tussen een site die je bewust met rust laat en een site waar niemand meer naar omkijkt. Dat verschil zit niet in de techniek, het zit in de vraag of er iemand verantwoordelijk is.
Beveiliging is zelden het eerste dat misloopt
Het klassieke verhaal is de gehackte site die spam verstuurt of bezoekers doorstuurt naar iets schadelijks. Dat gebeurt, en jij bent aansprakelijk als het via jouw domein gebeurt. Maar in de praktijk gaat er eerst iets anders mis: de updates blijven liggen omdat niemand weet of hij ze mag doen.
Dat is het echte patroon. De bouwer is drie jaar geleden gestopt met factureren, de zaakvoerder denkt dat het onderhoudscontract dat nog loopt, en het onderhoudscontract dekt hosting maar geen updates. Niemand liegt, er is gewoon nooit iemand aangeduid. Ondertussen loopt de site achter, niet omdat iemand nalatig is maar omdat er geen eigenaar is.
Twee dingen wegen zwaarder dan de updates zelf. Werkt je back-up, en heeft iemand ooit geprobeerd die terug te zetten? Een back-up die nog nooit getest is, is een aanname, geen zekerheid. En krijg je een melding als er iets misgaat, of merk je het pas als een klant belt?
Wie heeft de sleutels van je website?
Dit is het risico waar ik het vaakst iets moet rechtzetten, en het heeft niets met beveiliging in technische zin te maken. Vier zaken horen op naam van je vennootschap te staan: de domeinnaam, de hosting, de DNS-instellingen en het beheerdersaccount van je site.
In de praktijk staat de domeinnaam vaak op de privénaam van de bouwer, gaan de vervaldagen naar een mailadres dat niemand nog leest, en heeft niemand bij jou ooit ingelogd op de hosting. Zolang de relatie goed is, merk je daar niets van. Het loopt mis bij een verhuis, bij een discussie over een factuur, of als die persoon van beroep verandert. Dan blijkt dat je jaren op andermans grond hebt gebouwd, wat ik uitgebreider beschreef in het stuk over wat platformafhankelijkheid met een bedrijf doet.
Beheer uitbesteden is verstandig. Eigenaarschap uitbesteden is dat nooit.
De oplossing is niet spannend maar wel effectief: vraag vandaag per mail bevestiging op wiens naam die vier zaken staan, en zorg dat er minstens één administratieve toegang bij jou ligt. Een goede partner heeft daar geen enkel probleem mee. De reactie op die vraag zegt trouwens vaak meer dan het antwoord zelf.
Wat het WordPress-conflict je leert over dat het toch draait
Je hoeft geen enkele interesse te hebben in de ruzies van softwarebedrijven om hier iets uit te halen. Het conflict tussen Automattic en WP Engine loopt nog altijd, met een derde aangepaste klacht op 10 februari 2026. Eind 2024 verplichtte een rechter Automattic al om de toegang van WP Engine tot WordPress.org te herstellen, en ongeveer twintig core-bijdragers vroegen in een open brief om een hervorming van het bestuur. Medio 2026 is Matt Mullenweg nog steeds zowel CEO van Automattic als steward van het project. In april 2025 kondigde het project nog één grote release per jaar aan wegens de juridische druk, om in december 2025 met een voorstel voor drie releases in 2026 te komen.
Wat betekent dat voor jou? Bijna niets op korte termijn. WordPress gaat niet verdwijnen en je site draait morgen nog. Maar het toont wel dat de voorspelbaarheid van een platform kan wijzigen zonder dat jij iets deed. Dat is geen reden om te vluchten, en zeker geen reden om op een verkoopgesprek in te gaan dat met deze ruzie begint. Het is wel een reden om je content en je data exporteerbaar te houden, en om te weten hoe je zou verhuizen als het ooit moet. Welk platform in jouw situatie past, staat in mijn overzicht van de websiteplatformen voor een KMO.
Het stille risico: informatie die niet meer klopt
Dit is het minst dramatische en het vaakst voorkomende. Een dienst die je niet meer aanbiedt, staat er nog. Een prijs van twee jaar geleden staat er nog. Er staan foto's van mensen die hier niet meer werken, en de laatste nieuwsberichten dateren van drie jaar terug. Niemand hackt je, maar elke bezoeker trekt zijn conclusie.
Daar hangt ook een juridische kant aan. Een cookiebanner plaatsen is niet hetzelfde als in orde zijn met de privacyregels. Als er trackingcode meedraait die je nooit hebt aangevraagd, of als je contactformulier gegevens bewaart zonder dat iemand weet waar ze naartoe gaan, dan is dat een openstaand punt. Het is meestal een configuratiekwestie en geen bouwproject, wat het net makkelijk maakt om aan te pakken. Als je meerdere van deze zaken herkent, loop dan ook even de bredere signalen door die aangeven dat je digitale setup fout zit.
Laten doorlichten is net goedkoper geworden
Eén beleidswijziging speelt hier in je voordeel. Sinds 1 februari 2026 kan je voor de dienst advies van de kmo-portefeuille nog maar één onderwerp indienen, en dat is cybersecurity. Alle andere adviesthema's vielen weg. Voor cybersecurity geldt een verhoogd steunpercentage van 45 procent voor een kleine onderneming en 35 procent voor een middelgrote, met een plafond van 7.500 euro steun per jaar en een minimum projectbedrag van 500 euro.
Met andere woorden: net het thema dat de meeste zaakvoerders vooruitschuiven, is vandaag het enige adviesthema dat nog ondersteund wordt. Dat is geen reden om iets te laten doen wat je niet nodig hebt, want een project dat je enkel doet omdat er steun voor is, blijft meestal het verkeerde project. Dat argument werk ik verder uit in waarom digitaliseringssubsidies zelden het verschil maken. Maar als een doorlichting sowieso op je lijstje stond, is dit het moment.
De jaarlijkse controle in vijf punten
1. Staan domein, hosting, DNS en het beheerdersaccount op naam van je bedrijf, met een mailadres dat iemand leest?
2. Wie doet de updates, en wanneer gebeurde de laatste?
3. Bestaat er een back-up, en is die ooit getest door hem effectief terug te zetten?
4. Klopt alles wat er nog op de site staat: diensten, prijzen, mensen en contactgegevens?
5. Kan je je content en je contactgegevens vandaag exporteren zonder hulp van derden?
Waar je vanavond mee kan beginnen
Neem één blad papier en schrijf vier namen op: wie is eigenaar van het domein, wie host de site, wie doet de updates en wie schrijft de teksten. Als je bij twee of meer vragen moet raden, weet je meteen wat je eerste taak is. Dat is geen technisch werk, dat is een mail van vier regels.
Ga daarna pas na of er echt iets vernieuwd moet worden. In de meeste gevallen is het antwoord nee en volstaat beheer, wat ik uitwerkte in het artikel over of je echt een nieuwe website nodig hebt. Een site die goed beheerd wordt, gaat verrassend lang mee. Een site die niemand beheert, is na drie jaar altijd een probleem, ongeacht hoe goed hij gebouwd is.