Een nieuwe WordPress-site lanceren — wat te controleren

Een nieuwe WordPress-site lanceren zonder grondige pre-launch review is alsof u een winkel opent zonder te controleren of de deuren op slot kunnen of de lichten werken. Veel problemen die na de lancering opduiken, van beveiligingskwetsbaarheden tot SEO-misconfiguraties, zijn aanzienlijk moeilijker en gênanter op te lossen zodra echte bezoekers en zoekmachines al zijn gearriveerd. Deze checklist behandelt alles wat u moet verifiëren voordat u de schakelaar omzet, georganiseerd op categorie. Een enkele InspectWP-scan kan de meeste van deze items automatisch controleren.

Pre-launch WordPress-beveiligingschecklist

Beveiligingsgaten bij de lancering zijn bijzonder problematisch omdat geautomatiseerde bots scannen op nieuwe WordPress-installaties en standaardconfiguraties binnen enkele uren kunnen misbruiken.

• SSL-certificaat geïnstalleerd en geverifieerd: Open uw site in de browser en bevestig dat het hangslotpictogram verschijnt. Klik erop om te verifiëren dat het certificaat geldig is, niet verlopen en uitgegeven voor het juiste domein. Test zowel https://example.com als https://www.example.com (welke u ook gebruikt).
• HTTP-naar-HTTPS-redirect werkt: Typ handmatig http://uwdomein.com in de browser en bevestig dat het omleidt naar de HTTPS-versie met een 301 (permanente) redirect, niet een 302 (tijdelijke). Test met zowel www- als non-www-varianten.
• Beveiligingskoptekst geconfigureerd: Verifieer dat de volgende koptekst aanwezig is in uw server-responses: HSTS (Strict-Transport-Security), X-Frame-Options, X-Content-Type-Options, Referrer-Policy en Permissions-Policy. Een Content-Security-Policy is optioneel bij de lancering, maar zou op uw routekaart moeten staan. InspectWP controleert al deze automatisch.
• WordPress core, alle plug-ins en alle thema's volledig bijgewerkt: Zelfs als u alles een week geleden hebt geïnstalleerd, controleer op updates. WordPress- en plugin-ontwikkelaars brengen regelmatig beveiligingspatches uit. Ga naar Dashboard > Updates en zorg ervoor dat alles actueel is.
• Standaard "admin"-gebruikersnaam gewijzigd: Als u het initiële gebruikersaccount hebt aangemaakt met de gebruikersnaam "admin", maak dan een nieuw beheerdersaccount aan met een andere gebruikersnaam, ken alle content opnieuw toe en verwijder het oude "admin"-account. Aanvallers proberen deze gebruikersnaam als eerste bij brute-force-aanvallen.
• Sterke, unieke wachtwoorden voor alle accounts: Elk gebruikersaccount moet een wachtwoord hebben dat ten minste 16 tekens lang is, willekeurig gegenereerd en niet hergebruikt van een andere site. Gebruik een wachtwoordmanager. Schakel tweefactorauthenticatie (2FA) in voor alle beheerdersaccounts.
• XML-RPC uitgeschakeld indien niet vereist: Tenzij u Jetpack of de WordPress mobiele app gebruikt, schakel XML-RPC volledig uit. Het is een veelvoorkomend doelwit voor brute-force-versterkingsaanvallen. Blokkeer het op serverniveau of met een beveiligingsplug-in.
• REST API-gebruikerseindpunt beperkt: Test door uwdomein.com/wp-json/wp/v2/users in uw browser te bezoeken. Als het een lijst met gebruikersnamen retourneert, moet u dit eindpunt beperken tot alleen geauthenticeerde gebruikers.
• Bestandsbewerking in admin uitgeschakeld: Voeg define('DISALLOW_FILE_EDIT', true); toe aan uw wp-config.php. Dit voorkomt dat iedereen (inclusief aanvallers die admin-toegang verkrijgen) thema- of pluginbestanden via het WordPress-dashboard kan bewerken.
• debug.log niet publiekelijk toegankelijk: Navigeer naar uwdomein.com/wp-content/debug.log in uw browser. Als u loguitvoer ziet, verwijder het bestand of blokkeer toegang ertoe via uw serverconfiguratie. Stel in productie WP_DEBUG in op false en WP_DEBUG_LOG op false in uw wp-config.php.
• Onnodige standaardcontent verwijderd: Verwijder het voorbeeldbericht "Hello World", de voorbeeldpagina en de voorbeeldreactie. Verwijder ongebruikte thema's (houd alleen uw actieve thema en één standaardthema als reserve). Verwijder eventuele plug-ins die u hebt geïnstalleerd voor testen maar in productie niet nodig hebt.
• Back-upoplossing geconfigureerd en getest: Stel geautomatiseerde back-ups in vóór de lancering, niet erna. Configureer een plug-in zoals UpdraftPlus om back-ups te maken naar een off-site locatie (Amazon S3, Google Drive, Dropbox). Voer een testback-up uit en verifieer dat u ervan kunt herstellen.

Pre-launch WordPress-SEO-configuratie

SEO-misconfiguraties bij de lancering kunnen blijvende gevolgen hebben. Als zoekmachines uw site in de eerste weken onjuist indexeren, kan het maanden duren om te herstellen.

• XML-sitemap aangemaakt en ingediend: Installeer een SEO-plug-in (Yoast SEO, Rank Math of SEOPress) en bevestig dat deze een sitemap genereert. Dien de sitemap-URL in bij Google Search Console. Als uw site nog niet in Search Console staat, voeg deze nu toe en verifieer eigenaarschap.
• robots.txt bekeken: Bezoek uwdomein.com/robots.txt en verifieer dat deze geen belangrijke content blokkeert. Een veelgemaakte fout is het laten staan van staging-omgevingsregels die alle crawling blokkeren. Uw robots.txt moet een verwijzing naar uw sitemap bevatten.
• "Zoekmachines ontmoedigen" is UITGEVINKT: Ga naar Instellingen > Lezen in uw WordPress-admin. Zorg ervoor dat "Zoekmachines ontmoedigen om deze site te indexeren" niet is aangevinkt. Dit vinkje wordt vaak ingeschakeld tijdens de ontwikkeling en bij de lancering vergeten. Wanneer ingeschakeld, voegt WordPress een noindex-meta-tag toe aan alle pagina's en blokkeert het zoekmachines via robots.txt.
• Meta-beschrijvingen ingesteld voor alle belangrijke pagina's: Schrijf minimaal unieke meta-beschrijvingen voor uw homepage, over-pagina, dienst-/productpagina's en andere pagina's met hoge prioriteit. Dit zijn de snippets die in zoekresultaten verschijnen en direct van invloed zijn op de doorklikratio.
• Eén H1-tag per pagina met correcte koppenhiërarchie: Controleer uw homepage en alle belangrijke pagina's. Zorg ervoor dat elke pagina precies één H1 heeft (meestal de paginatitel) en dat koppen de juiste hiërarchie volgen (H1 > H2 > H3, niet overslaan). Sommige thema's en paginabouwers veroorzaken koppenproblemen die niet duidelijk zijn in de visuele editor.
• Canonieke tags aanwezig op alle pagina's: Verifieer dat elke pagina een <link rel="canonical">-tag bevat die naar de eigen URL verwijst. De meeste SEO-plug-ins handelen dit automatisch af, maar controleer enkele pagina's om dit te bevestigen. Onjuiste canonieke tags kunnen ervoor zorgen dat zoekmachines uw pagina's volledig negeren.
• JSON-LD gestructureerde gegevens toegevoegd: Voeg minimaal Organization-schema (voor uw bedrijf of merk) en Article-schema (voor blogposts) toe. Breadcrumb-schema is ook waardevol voor navigatiezware sites. Test uw gestructureerde gegevens met de Rich Results Test-tool van Google.
• Open Graph- en Twitter Card-tags geconfigureerd: Deel een link naar uw site op Facebook en Twitter (X) en verifieer dat de preview er correct uitziet: juiste titel, beschrijving en uitgelichte afbeelding. Gebruik de Sharing Debugger van Facebook en de Card Validator van Twitter om te testen en caches te wissen indien nodig.
• Permalinks ingesteld op SEO-vriendelijke structuur: Ga naar Instellingen > Permalinks en selecteer "Berichtnaam" (de structuur /%postname%/). Vermijd op datum gebaseerde of numerieke structuren. Als u deze instelling wijzigt nadat content is gepubliceerd, stel dan 301-redirects in van de oude URL's naar de nieuwe.
• Geen onbedoelde noindex-tags: Controleer de HTML-broncode van uw belangrijkste pagina's op <meta name="robots" content="noindex">. Sommige SEO-plug-ins staan het instellen van noindex op afzonderlijke pagina's toe, en dit wordt soms per ongeluk toegepast tijdens contentcreatie.

Pre-launch WordPress-prestatieoptimalisatie

Eerste indrukken tellen. Als bezoekers bij de lancering op een trage site aankomen, vertrekken ze en komen mogelijk niet terug.

• Caching-plug-in geïnstalleerd en geconfigureerd: Pagina-caching is de meest impactvolle prestatieoptimalisatie. Installeer WP Rocket, LiteSpeed Cache of WP Super Cache en verifieer dat het werkt door de response-koptekst of paginabron te controleren op cache-indicatoren. Zie de prestatiehandleiding (KB-58) voor gedetailleerde installatie-instructies.
• Gzip- of Brotli-compressie ingeschakeld: Controleer uw response-koptekst op Content-Encoding: gzip of Content-Encoding: br. De meeste caching-plug-ins schakelen compressie automatisch in. Zo niet, configureer het op serverniveau.
• Afbeeldingen geoptimaliseerd vóór de lancering: Laat alle geüploade afbeeldingen door een optimalisatie-plug-in lopen (ShortPixel, Imagify, Smush). Converteer waar mogelijk naar WebP-formaat. Schakel lazy loading in voor afbeeldingen onder de fold. Verifieer dat er geen te grote afbeeldingen worden geserveerd door de afbeeldingsafmetingen te controleren in de browser-developertools.
• HTTP/2 ingeschakeld: Dit is meestal automatisch wanneer HTTPS actief is. Verifieer door de protocolkolom in het netwerktabblad van uw browser te controleren of door een InspectWP-scan uit te voeren. Als u nog op HTTP/1.1 zit, neem contact op met uw hostingprovider.
• Geen onnodige plug-ins geïnstalleerd: Bekijk uw pluginlijst nog een laatste keer. Verwijder eventuele plug-ins die zijn geïnstalleerd voor ontwikkelings-, test- of evaluatiedoeleinden. Elke onnodige plug-in voegt laadtijd toe, vergroot uw aanvalsoppervlak en creëert onderhoudsoverhead.
• Core Web Vitals geslaagd: Test uw belangrijkste pagina's met Google PageSpeed Insights. Streef naar Largest Contentful Paint (LCP) onder 2,5 seconden, Interaction to Next Paint (INP) onder 200 ms en Cumulative Layout Shift (CLS) onder 0,1. Los grote problemen op vóór de lancering.
• CSS en JavaScript geminificeerd: Schakel minificatie in uw caching-plug-in in en verifieer dat uw site nog steeds correct functioneert. Test formulieren, sliders, accordeons en andere interactieve elementen om er zeker van te zijn dat minificatie de JavaScript-functionaliteit niet heeft verbroken.

Pre-launch GDPR- en privacy-compliance

Privacy vanaf dag één goed regelen is cruciaal. Retroactieve oplossingen na een klacht of boete zijn veel duurder en stressvoller dan dingen vanaf het begin correct opzetten.

• Cookietoestemmingsbanner geïnstalleerd en correct geconfigureerd: Installeer een consent management plug-in (Complianz, Real Cookie Banner of Cookiebot). Verifieer dat niet-essentiële cookies en scripts daadwerkelijk worden geblokkeerd voordat toestemming wordt gegeven. Test door uw site te openen in een incognitovenster, alle cookies te weigeren en het netwerktabblad van de browser te controleren op third-party verzoeken.
• Google Fonts lokaal gehost: Open het netwerktabblad van uw browser en zoek naar verzoeken aan fonts.googleapis.com of fonts.gstatic.com. Als er enige verschijnen, schakel over op lokaal gehoste lettertypen. Plug-ins zoals OMGF of Local Google Fonts handelen dit automatisch af.
• Gravatar uitgeschakeld of ingesteld op op toestemming gebaseerd laden: Controleer Instellingen > Reageren. Schakel Gravatar volledig uit of gebruik een plug-in die een lokale placeholder toont en Gravatar-afbeeldingen pas na toestemming laadt.
• Privacybeleidpagina gepubliceerd en gelinkt: Maak een uitgebreid privacybeleid dat alle gegevensverwerking op uw site dekt. Link het vanuit de footer van elke pagina en vanuit eventuele formulieren die persoonsgegevens verzamelen. Stel het in als de privacybeleidpagina onder Instellingen > Privacy.
• Imprint / Juridische kennisgevingspagina gepubliceerd (Duitsland/Oostenrijk): Als uw site zich richt op Duitse of Oostenrijkse bezoekers, moet u een Impressum-pagina hebben met uw volledige juridische naam, postadres, e-mail en telefoonnummer. Maak het toegankelijk vanaf elke pagina via een footer- of header-link.
• Geen externe bronnen die zonder toestemming laden: Naast Google Fonts en Gravatar, controleer op CDN-gehoste jQuery, Font Awesome, Google Analytics, Google Maps, Facebook pixel, ingesloten YouTube-video's en andere externe diensten. Elke dienst heeft een toestemmingsmechanisme of een lokaal hostingalternatief nodig.
• Contactformulieren bevatten privacyaankondigingen: Elk formulier dat persoonsgegevens verzamelt, moet een uitgevinkt vinkje bevatten met een link naar uw privacybeleid. Configureer uw formulier-plug-in om een toestemmingsveld voor gegevensverwerking op te nemen.

Pre-launch functionaliteitstesten

Technische perfectie betekent niets als basisfuncties niet werken voor uw bezoekers.

• Alle interne links werken: Klik systematisch door uw site of gebruik een tool zoals Broken Link Checker om 404-fouten te vinden. Besteed speciale aandacht aan navigatiemenu's, footer-links en in-content links. Repareer of leid gebroken URL's om.
• Contactformulieren versturen e-mails correct: Dien testinzendingen in via elk formulier op uw site. Controleer of bevestigingsmails de beoogde inbox bereiken (niet de spammap). Test met meerdere e-mailproviders (Gmail, Outlook, zakelijke e-mail). Als formulier-e-mails niet aankomen, installeer dan WP Mail SMTP om e-mails via een goede SMTP-server te routeren in plaats van PHP mail.
• Mobiel responsive design geverifieerd op echte apparaten: Vertrouw niet uitsluitend op browser-developertools voor mobiel testen. Test waar mogelijk op echte telefoons en tablets. Controleer of tekst leesbaar is zonder in te zoomen, knoppen groot genoeg zijn om te tikken en er geen horizontaal scrollen plaatsvindt. Test zowel staande als liggende oriëntaties.
• Cross-browser-testen voltooid: Test uw site minimaal in Chrome, Firefox, Safari en Edge. Besteed aandacht aan lettertypen, lay-out, formulieren en JavaScript-functionaliteit. Als uw publiek zakelijke gebruikers omvat, overweeg dan oudere browserversies te testen.
• Back-upoplossing geconfigureerd en eerste back-up voltooid: Lanceer niet zonder een werkende back-up. Configureer geautomatiseerde dagelijkse back-ups naar een off-site locatie. Voer de eerste back-up handmatig uit en verifieer dat het back-upbestand volledig en downloadbaar is. Test waar mogelijk het herstellen naar een staging-omgeving.
• Analytics geconfigureerd met juiste toestemming: Stel Google Analytics, Matomo of uw favoriete analyticstool in achter uw cookietoestemmingsmechanisme. Verifieer dat tracking pas activeert nadat de bezoeker toestemming geeft. Controleer dat paginaweergaven correct worden geregistreerd door uw site te bezoeken en het realtime analytics-dashboard te bekijken.
• 404-foutpagina aangepast: De standaard WordPress 404-pagina is generiek en niet behulpzaam. Maak een aangepaste 404-pagina die uw sitenavigatie, een zoekbalk en links naar uw belangrijkste content bevat. Dit helpt bezoekers vinden waar ze naar op zoek zijn in plaats van te vertrekken.
• E-mailmeldingen geconfigureerd: Verifieer dat de WordPress admin-e-mail correct is (Instellingen > Algemeen). Test of u meldingen ontvangt voor formulierinzendingen, gebruikersregistraties, updatewaarschuwingen en meldingen van beveiligingsplug-ins. Deze meldingen zijn uw vroegtijdig waarschuwingssysteem voor problemen.

Voer een InspectWP-scan uit voordat u live gaat

Voordat u de schakelaar omzet, voer een uitgebreide InspectWP-scan uit op uw site. Het controleert SSL-configuratie, HTTP-beveiligingskoptekst, WordPress-versie en -configuratie, geïnstalleerde plug-ins, SEO-meta-tags en koppenstructuur, prestatiestatistieken inclusief compressie en HTTP-versie, GDPR-relevante externe bronnen en nog veel meer. Allemaal in één scan die minder dan een minuut duurt. Dit geeft u een complete gezondheidscheck van uw site voordat echte bezoekers arriveren, zodat u eventuele resterende problemen kunt oplossen terwijl de inzet nog laag is. Stel na de lancering automatische scans in om uw site continu te monitoren en meldingen te ontvangen wanneer er iets verandert.