Hoe onderhoud je een website? De checklist voor beginners [Gids 2026]

Kort samengevat

• Een website is software. Deze heeft regelmatig patches, back-ups en inhoudscontroles nodig, anders gaat de kwaliteit stilletjes achteruit.
• De minimale routine is 30 minuten per maand: updates één voor één na een back-up, een controle van de site en de formulieren vanuit het perspectief van een bezoeker, een blik op de back-upstatus, monitoring van de uptime en Search Console.
• Voeg per kwartaal één sessie van twee tot drie uur toe voor een hersteltest, een toegangsaudit, een prestatiecontrole en een inhoudscontrole.
• De meeste beveiligingsinbreuken bij kleine bedrijven beginnen met een verouderde plug-in, niet met de kern van het CMS. Het verwijderen van wat je niet gebruikt is net zo belangrijk als het updaten van wat je behoudt.
• In België zijn cookie-toestemming, toegankelijkheid en drie taalversies onderhoudspunten, geen punten die bij de lancering aan de orde komen.
• De goedkoopste verzekering is eigendom: domein, hosting, code en accounts op jouw naam, met tweefactorauthenticatie en een gedocumenteerde wachtwoordoverdracht.

Inleiding

Je website is opgeleverd, de factuur is betaald en een paar maanden lang leek alles in orde. Toen stopte een formulier plotseling met het versturen van e-mails. Drie weken lang merkte niemand iets. Of je certificaat verliep op een zondag en Chrome begroette elke bezoeker met een rode waarschuwingspagina. Of een pagina die vroeger op de eerste pagina stond, zakte stilletjes naar de derde pagina omdat de laatste inhoudswijziging in 2024 plaatsvond.

Dit zijn geen dramatische mislukkingen. Het is de normale achteruitgang van software waar niemand naar omkijkt. Een website is geen brochure die je één keer afdrukt. Hij draait op een server, op een contentmanagementsysteem, op plug-ins, certificaten en DNS-records, die allemaal veranderen zonder dat je er iets over te zeggen hebt.

Het goede nieuws is dat het onderhoud van een website voor een klein bedrijf geen technische discipline is. Het is een routine van ongeveer dertig minuten per maand plus één langere sessie per kwartaal, en het grootste deel daarvan bestaat uit het doorklikken van zaken die je al begrijpt. Deze gids biedt je die routine in de vorm van een checklist die je daadwerkelijk kunt bijhouden, met de Belgische specifieke kenmerken die erin thuishoren.

Waarom een website überhaupt onderhoud nodig heeft

Als je een auto koopt, accepteer je dat die olie, banden en een jaarlijkse keuring nodig heeft. Met software is het net zo, behalve dat niemand je daar een herinnering voor stuurt. Volgens W3Techs draait ongeveer 40% van alle websites op WordPress, en elk van die installaties is afhankelijk van kernbestanden, een thema en vaak een tiental plug-ins, elk met een eigen releasecyclus.

Drie factoren zorgen ervoor dat een verwaarloosde website achteruitgaat:

Beveiligingspatches. Er worden voortdurend kwetsbaarheden ontdekt in de kern van het CMS en in plug-ins. Er wordt een patch gepubliceerd en binnen enkele dagen worden de details van wat er is verholpen openbaar gemaakt. Bots scannen het hele internet op zoek naar de exacte versie die nog steeds het lek bevat. Je site hoeft niet interessant te zijn om te worden aangevallen; hij hoeft alleen maar verouderd te zijn.

Tijdsgebonden vervaldata. SSL-certificaten, domeinregistraties, hostingpakketten, inloggegevens van betalingsproviders, API-sleutels voor je boekingswidget. Aan elk zit een datum vast, en elk faalt stilletjes totdat het luidruchtig misgaat.

Verouderde inhoud. Prijzen veranderen, personeel vertrekt, openingstijden verschuiven, een leverancier verdwijnt. Elk verouderd detail is een klein vertrouwenslek, en zoekmachines belonen pagina’s die aantoonbaar actueel zijn.

Voor een Belgische kmo staat er veel op het spel. LUCID, het bewustmakingscentrum van het Centrum voor Cybersecurity België, meldt dat 42% van de Belgische KMO’s al te maken heeft gehad met een cyberincident, en uit gegevens van BlackFog uit 2026 blijkt dat KMO’s ongeveer 67% van de slachtoffers van ransomware uitmaken. Geautomatiseerde aanvallen kijken niet naar je personeelsbestand voordat ze gaan scannen.

Wat er daadwerkelijk misgaat als niemand oplet

De fouten die ik op websites van kleine bedrijven zie, volgen een voorspelbare volgorde, en bijna allemaal zijn ze goedkoop te voorkomen maar duur als ze te laat worden ontdekt.

Een contactformulier dat stilletjes niet meer werkt, komt het meest voor. De mailserver verscherpt een regel, de plug-in wordt bijgewerkt, en ingevulde formulieren verdwijnen of belanden in de spamfolder. Je blijft betalen voor verkeer dat nooit tot conversies leidt.

Verlopen certificaten komen op de tweede plaats. Gratis certificaten van Let’s Encrypt zijn 90 dagen geldig en worden automatisch verlengd, totdat het verlengingsproces misgaat na een hostmigratie. Bezoekers zien een browserwaarschuwing die de hele pagina vult en vertrekken.

Op de derde plaats staat de opeenstapeling van verlaten plug-ins. Een plug-in die de oorspronkelijke ontwikkelaar niet meer onderhoudt, verdwijnt niet; hij blijft draaien, zonder patches, met alle toegangsrechten die hem waren toegekend. De meeste inbreuken op CMS-systemen beginnen bij een verouderde plug-in in plaats van bij het kernplatform, omdat plug-ins het onderdeel zijn dat niemand controleert.

Ten vierde is er de verslechtering van de prestaties. Afbeeldingen worden geüpload met een breedte van 4000 pixels, er wordt een chatwidget toegevoegd, een trackingscript wordt twee keer ingevoegd, en een site die voorheen in 1,4 seconden laadde, doet er nu 4,8 seconden over via mobiele data. De drempels van Google zijn niet veranderd: Largest Contentful Paint onder de 2,5 seconden, Interaction to Next Paint onder de 200 milliseconden, Cumulative Layout Shift onder de 0,1. Een site die deze drempels overschrijdt, verliest zowel het geduld van bezoekers als zijn positie in de zoekresultaten.

De vijfde is de stille: niemand weet meer waar wat zich bevindt. Het domein staat op naam van een voormalige medewerker, het hostingaccount gebruikt een gedeeld wachtwoord en de back-ups zijn nooit getest. Als er dan iets misgaat, duurt het herstel dagen in plaats van een uur.

De maandelijkse basisroutine van 30 minuten

Als je verder niets doet, voer dan deze vijf dingen uit op de eerste werkdag van elke maand. Zet een terugkerende afspraak in je agenda en beschouw het als een vaste vergadering met je website.

1. Pas de updates toe, in de juiste volgorde. Eerst de kern, dan het thema, daarna de plug-ins, één voor één. Maak een back-up voordat je begint. Als je host een testomgeving aanbiedt, pas de updates daar dan eerst toe en klik door de belangrijkste pagina’s voordat je ze live zet. Eén voor één is belangrijk: wanneer vijf plug-ins tegelijk worden bijgewerkt en er iets misgaat, heb je geen idee welke de oorzaak was.

2. Controleer de site als bezoeker. Open de site op je telefoon, via mobiele data in plaats van via de wifi op kantoor, en op een desktop. Verstuur het contactformulier en controleer of de e-mail aankomt. Klik op de hoofdnavigatie. Doe vervolgens hetzelfde op een Franse of Nederlandse versie, als je die hebt, want vertalingen kunnen onafhankelijk van elkaar kapotgaan.

3. Controleer de back-upstatus. Welke back-uptool je ook gebruikt, controleer of de meest recente run is geslaagd en een datum binnen de afgelopen 24 uur weergeeft. Een back-up waar je nog nooit naar hebt gekeken, is een hoopje hoop, geen back-up.

4. Bekijk de uptime en fouten. Als je nog geen monitoring hebt, kost een gratis uptime-checker die je site elke vijf minuten pingt en je een e-mail stuurt wanneer deze uitvalt, niets en is deze binnen tien minuten ingesteld. Die ene tool zorgt ervoor dat de meeste storingen veranderen van “een klant vertelde het ons” in “we wisten het eerder dan wie dan ook”.

5. Werp een blik op Search Console. Google Search Console is gratis en vertelt je de twee dingen die ertoe doen: of pagina’s geïndexeerd zijn en of er crawlfouten of handmatige acties zijn opgetreden. Als de dekking plotseling daalt, wil je dat nog in dezelfde maand weten, niet pas in hetzelfde kwartaal.

Dat is echt alles. Dertig minuten, geen ontwikkelaar nodig.

De driemaandelijkse sessie, twee tot drie uur

Reserveer elke drie maanden wat meer tijd. Dit is het moment om de sluipende problemen op te sporen.

Test een herstel, niet alleen een back-up. Kies één bestand en één databasetabel en herstel deze naar een testomgeving. De 3-2-1-regel is de standaard: drie kopieën van je gegevens, op twee verschillende media, waarvan één buiten de locatie. Voor een kleine site betekent dat meestal back-ups van de host plus een onafhankelijke kopie ergens anders, idealiter in een ander land of bij een andere provider.

Controleer accounts en toegangsrechten. Maak een lijst van iedereen met een beheerders- of redacteursaccount. Verwijder iedereen die is vertrokken, verlaag de toegangsrechten van iedereen die alleen mag publiceren, en schakel tweefactorauthenticatie in voor elk overgebleven account. Als je domein of hosting nog steeds op het persoonlijke account van een voormalige ontwikkelaar staat, los dat dan dit kwartaal op. Het eigendom van het domein, de hosting en de code moet je schriftelijk vastleggen, en dit is het meest voorkomende aspect waarvan MKB-bedrijven ontdekken dat ze het niet hebben.

Controleer de prestaties op een echte pagina. Voer PageSpeed Insights uit op je drie belangrijkste URL’s, niet alleen op de startpagina. Vergelijk de resultaten met die van het vorige kwartaal. Als de LCP is gestegen van 2,1 naar 3,4 seconden, is er iets zwaarder geworden, en meestal gaat het om een script of een niet-geoptimaliseerde hero-afbeelding.

Voer een inhoudscontrole uit. Prijzen, openingstijden, teampagina, telefoonnummer, dienstbeschrijvingen, juridische pagina. Vraag twee mensen die niet aan de site werken om elk één verouderd gegeven te vinden. Dat zullen ze zeker doen.

Controleer de juridische aspecten. Geeft je cookiebanner nog steeds weer welke tools daadwerkelijk worden geladen? Heb je een aanmeldingsformulier voor de nieuwsbrief toegevoegd en het privacybeleid vergeten? De AVG en cookies horen thuis in de onderhoudskalender, niet in een map uit 2022.

De jaarlijkse evaluatie, een halve dag

Neem eens per jaar afstand van de dagelijkse taken en kijk naar het platform zelf.

Controleer of de softwareversies nog worden ondersteund. PHP-branches worden volgens een gepubliceerd schema buiten gebruik gesteld, en het draaien van een niet-ondersteunde branch betekent dat er helemaal geen beveiligingsupdates meer komen, zelfs als je CMS up-to-date is. Controleer of je hostingpakket nog steeds aansluit bij je bezoekersaantallen en of je de verlengingsprijs kent, aangezien de introductieprijs stilletjes verdubbelt.

Bekijk je lijst met plug-ins met de instelling ‘eerst verwijderen’. Elke plug-in die je deactiveert en verwijdert, is één afhankelijkheid minder om te patchen en één toegangspunt minder. Kijk vervolgens waar de site voor dient: het aantal aanvragen, het conversiepad, de pagina’s die verkeer genereren versus de pagina’s waarvan je dacht dat ze belangrijk waren. Onderhoud zonder deze jaarlijkse evaluatie komt neer op het in stand houden van zaken die hun bestaansrecht niet meer hebben.

Hoe je updates uitvoert zonder de site te verstoren

De reden waarom veel eigenaren stoppen met updaten is een slechte ervaring: een update heeft de lay-out ooit een keer verstoord, waardoor updates riskant werden en men ermee stopte. Drie gewoontes lossen dat op.

Maak vlak voor elke update handmatig een back-up en zorg dat je weet hoe je deze kunt terugzetten. Voer updates uit op dinsdagochtend in plaats van vrijdagmiddag, zodat je tijdens werkuren kunt reageren. En weersta de neiging om voor elke kleine wens een plug-in te installeren; elke plug-in voegt een afhankelijkheid toe die je jarenlang zult moeten onderhouden.

Als je website op een modern framework draait in plaats van op een CMS, geldt dezelfde discipline voor het bijwerken van afhankelijkheden en het upgraden van het framework: hetzelfde ritme, dezelfde testfase, meestal via een ontwikkelaar. Er bestaat geen versie van een website die geen onderhoud nodig heeft. Er is alleen een versie waarbij het onderhoud gepland is in plaats van dat het een noodmaatregel is.

Het inhoudsonderhoud dat niemand inplant

Beveiliging krijgt de aandacht. Inhoud is wat daadwerkelijk geld oplevert, en die veroudert sneller.

Google beloont pagina’s die actueel zijn, en bezoekers beoordelen je op basis van hetzelfde signaal. Een blogpost uit 2023 met een dode link en een prijs die inmiddels is verdubbeld, geeft een potentiële klant het signaal dat er niemand thuis is. Bouw een lichte contentcyclus in je maandelijkse planning in: één pagina vernieuwen, één kapotte link repareren, één verouderd feit corrigeren. Het repareren van een link is geen cosmetische ingreep; het is het verschil tussen een bezoeker die blijft en een bezoeker die vertrekt.

Houd een korte lijst bij van je tien belangrijkste pagina’s en werk deze afwisselend bij. Vernieuw de pagina’s met verkeer, schrap de pagina’s die niemand leest en voeg de interne link van de nieuwe pagina toe aan de relevante servicepagina. Dat is 80% van het contentonderhoud voor de website van een klein bedrijf.

Zelf doen, een freelancer of een onderhoudsplan

Je hebt drie opties, en welke de juiste is, hangt af van hoeveel tijd je hier per week aan wilt besteden.

Zelf doen is haalbaar voor een brochurewebsite op een gangbaar CMS, en kost je tijd: ongeveer één uur per maand plus drie uur per kwartaal, zodra de routine is opgezet. Je hebt toegang tot het hostingpaneel nodig, een back-uproutine en de discipline om je aan de planning te houden.

Een onderhoudsabonnement bij een freelancer of bureau omvat doorgaans updates op de staging-omgeving, back-ups, monitoring van de uptime, een maandelijks rapport en een vast aantal kleine wijzigingen. Op de Belgische markt kun je ervan uitgaan dat het instapniveau voor een kleine brochurewebsite in de lage honderden euro’s per maand ligt, terwijl e-commerce en maatwerktoepassingen duurder zijn, omdat het te onderhouden oppervlak groter is en de kosten van downtime in bestellingen worden gemeten. Vraag wat er buiten kantooruren gebeurt, of het plan inhoudelijke aanpassingen omvat of alleen technisch werk, en of je de eigendom van alles behoudt als je weggaat. Voor een diepgaander overzicht van wat de site zelf beschermt, zie onze gids over websitebeveiliging, SSL en WAF.

Een managed hostingplatform houdt het midden: u behoudt de controle, de provider zorgt voor patches, back-ups en certificaten. Dit is geschikt voor eigenaren die de technische kant uit handen willen geven, maar wel zelf hun content willen publiceren.

De vergelijking die ertoe doet, is niet de maandelijkse vergoeding tegenover nul. Het is de maandelijkse vergoeding tegenover één gehackte site, één week aan gemiste aanvragen of één noodherstel. Het herstel van een gecompromitteerde website van een klein bedrijf kost doorgaans een veelvoud van een jaar onderhoud.

De Belgische punten die op de agenda thuishoren

Een aantal verplichtingen is specifiek voor het opereren in België, en deze horen thuis in de driemaandelijkse planning in plaats van op een eenmalige lanceringschecklist.

Cookies en toestemming. De Belgische Gegevensbeschermingsautoriteit heeft naleving van de cookiewetgeving tot een handhavingsprioriteit gemaakt. Toestemming moet worden gegeven voordat niet-essentiële cookies worden geladen, deze moet gedetailleerd zijn en weigeren moet even gemakkelijk zijn als accepteren. Een banner met een grote ‘accepteren’-knop en een verborgen ‘weigeren’-link voldoet niet aan die eis. Controleer de banner telkens wanneer je een nieuwe tool toevoegt.

Toegankelijkheid. WCAG 2.2 niveau AA is de referentienorm, en de Europese toegankelijkheidswet is sinds 28 juni 2025 van toepassing op een reeks consumentgerichte diensten, waaronder e-commerce. Micro-ondernemingen die diensten verlenen, zijn vrijgesteld, maar de vrijstelling is beperkt en het commerciële argument is breder: toegankelijke websites zijn simpelweg gemakkelijker te gebruiken op een telefoon bij slecht licht.

Taal. Belgische bezoekers verwachten dat de website in hun taal is. Het onderhouden van drie taalversies betekent dat de onderhoudsroutine drie keer moet worden uitgevoerd, en dat is precies de reden waarom vertaalde pagina’s als eerste verouderen. Plan de controle van de FR- en NL-versies in de maandelijkse onderhoudscyclus.

Facturering en wettelijke vermeldingen. Uw ondernemingsnummer, btw-nummer en wettelijke gegevens moeten correct blijven, en als u via de website factureert, hebben de regels voor e-facturering die in heel België geleidelijk worden ingevoerd invloed op wat de afreken- en bevestigingsmails moeten bevatten.

Volgende stappen

1. Deze week: reserveer elke eerste werkdag van de maand een terugkerend blok van 30 minuten in je agenda en stel een gratis uptime-monitor in op je startpagina.
2. Deze maand: maak een back-up, voer alle openstaande updates één voor één door en verstuur je eigen contactformulier om te controleren of het goed werkt.
3. Dit kwartaal: voer een hersteltest uit, maak een lijst van alle beheerdersaccounts en verwijder de accounts die er niet meer thuishoren, en controleer of het domein en de hosting op jouw naam staan.
4. Dit jaar: bekijk het platform, de lijst met plug-ins en de verlengingsprijzen, en beslis of zelfbeheer, managed hosting of een onderhoudsabonnement het beste past bij de tijd die je daadwerkelijk hebt.

Hulp nodig bij het opzetten van deze routine? Neem contact op met Omnistack en wij zullen je site controleren en samen met jou een schema opstellen.

Onderhoud is niet het interessantste onderdeel van het hebben van een website, en dat is precies waarom het vaak wordt overgeslagen. Maar het verschil tussen een site die blijft werken en een site die stilletjes stopt, zit zelden in talent of budget. Het is een agendapunt en dertig minuten aandacht.

Begin kleiner dan je denkt dat nodig is. Eén maandelijks tijdsblok, vijf controles, één back-up die je daadwerkelijk hebt teruggezet. Zodra dat een kwartaal lang standhoudt, voeg je de rest toe. Je site zal sneller laden, stabieler scoren in de zoekresultaten en je niet meer op het slechtst mogelijke moment voor verrassingen stellen.