WordPress plugin checker
Van de 7.966 lekken die Patchstack in 2024 in het WordPress-ecosysteem vond, zat 96% in plugins. WordPress zelf had er zeven. Vul een webadres in en je ziet welke plugins we in de broncode vinden, met per plugin de nieuwste versie en of hij nog wordt onderhouden.
Of plak je eigen pluginlijst
Nog niets gecheckt
Vul hierboven een adres in. Is het je eigen site, plak dan liever je pluginlijst: die is volledig.
Waarom zie je niet elke plugin?
Van buitenaf zie je alleen wat de homepage meestuurt. Een plugin die op de homepage geen CSS of JavaScript laadt, zoals een back-upplugin of een redirectplugin, laat daar geen spoor achter. Een cache- of optimalisatieplugin die alle bestanden samenvoegt, wist de sporen ook. Wat je ziet is dus een ondergrens.
De versie halen we uit het ?ver= achter een bestand. Meestal is dat de pluginversie, maar niet altijd. Sommige plugins zetten er de WordPress-versie neer, of een eigen nummer voor één los script. Valt dat getal samen met de WordPress-versie van de site, dan zeggen we dat erbij en trekken we geen conclusie. Daarom is het oordeel bij een webadres voorlopig: "lijkt actueel" of "mogelijk achter". Zeker weten doe je het in wp-admin of met WP-CLI; plak die lijst hierboven en je krijgt een vast oordeel.
| Waar | Hoe |
|---|---|
| Met WP-CLI | wp plugin list; plak de uitvoer hierboven bij "Of plak je eigen pluginlijst". Elke plugin komt erin, ook de uitgeschakelde. |
| In wp-admin | Open Plugins → Geïnstalleerde plugins. Per plugin staan daar de versie en of er een update klaarstaat. |
| Via Sitediagnose | Gereedschap → Sitediagnose → Info, kopje "Actieve plugins". Met de knop om de site-informatie naar het klembord te kopiëren, heb je de hele lijst in één keer. |
Gesloten op WordPress.org: geen updates meer
WordPress.org kan een plugin sluiten. Dan is hij niet meer te downloaden en niet meer te installeren via wp-admin. Wie hem al heeft, houdt hem, maar krijgt via WordPress.org geen updates meer. Na zestig dagen noemt WordPress.org daarbij een reden, in grote lijnen, zonder details. Is een plugin pas net dicht, dan zie je dus vaak nog geen reden. Bij een beveiligingsprobleem (security issue) is het duidelijk: zoek een vervanger of check bij de maker of er een gerepareerde versie is. Zo ging WP Blog and Widgets op 7 april 2026 dicht om een beveiligingsprobleem; plak wp-blog-and-widgets 2.6 hierboven en je ziet het. Een plugin kan ook dicht gaan omdat de maker ermee stopt, omdat hij in WordPress zelf is opgenomen, of om een overtreding van de regels.
Staat een plugin hieronder als "niet op WordPress.org", dan is hij daar nooit geweest of heeft hij een andere naam. Vaak gaat het om een betaalde plugin of een eigen plugin van de bouwer. Die updates lopen via de maker zelf; deze check kan daar niets over zeggen.
"Niet getest met de laatste 3 hoofdversies"
Op de pagina van een plugin op WordPress.org staat een gele melding als de maker hem niet heeft getest met de laatste drie hoofdversies van WordPress. Dat betekent volgens WordPress.org dat de plugin misschien niet meer wordt onderhouden en problemen kan geven met nieuwere versies. Dezelfde regel gebruikt deze checker: we vergelijken "getest tot" met de drie nieuwste hoofdversies uit de lijst van WordPress.org.
Zo'n plugin is niet meteen onveilig. Het is wel een plugin waar je op moet letten: komt er een lek, dan is de kans kleiner dat iemand het repareert.
Een plugin bijwerken zonder je site te slopen
- Maak een back-up die je kunt terugzetten, met database en bestanden.
- Lees bij een grote sprong (bijvoorbeeld van 4.x naar 5.x) de changelog op WordPress.org. Daar staat wat er verandert.
- Werk bij via Dashboard → Updates of het scherm Plugins. Klik daarna je belangrijkste pagina's en formulieren langs.
- Zet automatische updates aan voor plugins die je vertrouwt. Dat kan per plugin sinds WordPress 5.5.
Draait WordPress zelf ook achter? Kijk bij WordPress-versie checken of je versie als onveilig staat. Weet je niet zeker of een site WordPress gebruikt, check dan eerst welk cms gebruikt een website. Welk thema erop draait en of dat bijgewerkt is, zie je met de WordPress theme detector.
Waar de check op rust
- Per plugin: nieuwste versie, laatst bijgewerkt, getest tot, minimale PHP-versie en actieve installaties uit de Plugins API van WordPress.org (info/1.2). Voor een gesloten plugin geeft die API de sluitingsdatum en de reden.
- Wat sluiten betekent: WordPress.org, Plugin Developer FAQ, "What happens when a plugin is closed?" (ook de zestig dagen tot de reden zichtbaar wordt). Voorbeeld: WP Blog and Widgets, gesloten op 7 april 2026, reden Security Issue.
- De melding over de laatste drie hoofdversies staat op de pluginpagina's zelf, bijvoorbeeld bij Social Warfare (gezien op 12 oktober 2026). De hoofdversies halen we uit api.wordpress.org/core/stable-check.
- Lekken in het WordPress-ecosysteem in 2024 (7.966, waarvan 96% in plugins, 4% in thema's en zeven in WordPress zelf): Patchstack, State of WordPress Security in 2025.
- Automatische updates per plugin: Plugin and themes auto-updates. Sitediagnose: Site Health Screen.
Rekenregels: we halen alleen de homepage op (of het adres dat je invult), volgen hooguit vier doorverwijzingen en lezen paden als /wp-content/plugins/<naam>/. Een ?ver= telt alleen als het op een versienummer lijkt; tekenreeksen als 9ff481a negeren we. Komt een plugin met meerdere versies voor, dan nemen we de versie die het vaakst voorkomt. Versies vergelijken we per getal, met een achtervoegsel als -beta vóór de uitgave zelf. Gegevens per plugin bewaren we twaalf uur. Hooguit tien checks per minuut.