Je WordPress-website draait probleemloos. In het dashboard zijn geen updates beschikbaar en alles lijkt veilig. Toch kan er ongemerkt een serieus probleem zijn: een verlopen licentie van een premium plugin of thema. Daardoor ontvang je geen beveiligingsupdates meer, terwijl WordPress je daar lang niet altijd voor waarschuwt.
Als hostingprovider komen wij dit regelmatig tegen. Vooral bij websites die ooit door een webdesigner of internetbureau zijn gebouwd, blijkt de licentie verlopen te zijn zonder dat de eigenaar daarvan op de hoogte is.
Beveiligingsplugins zoals WordFence of Defender kunnen dan soms een melding geven als ‘Plugin is out of date’. Kijk je echter in het overzicht van de plugin, dan zie je dat er geen update beschikbaar is.
WordPress zegt dus dat er geen update beschikbaar is, de beveiligingsplugin zegt dat er wel een update is.
Het lijkt tegenstrijdig, maar beide beweringen kloppen.
Plugin- en thema-updates
Veel WordPress websites gebruiken niet alleen gratis plugins, maar ook premium plugins en een premium thema.
Premium plugins en thema’s zijn betaalde software-uitbreidingen voor je website. Ontwikkelaars verkopen ze los of via een lidmaatschap. Ze bieden geavanceerde functies, betere beveiliging en professionele ondersteuning die gratis versies niet hebben.
Gratis plugins en thema’s kun je in een paar muisklikken updaten via het dashboard van WordPress. Dat geldt voor premium thema’s ook, maar alleen zolang de licentie geldig is. Veel licenties moeten elk jaar verlengd en betaald worden.
Doe je dat niet, dan blijft je website gewoon werken, maar je ontvangt geen updates meer voor de plugin of het thema. WordPress laat geen update zien omdat de licentie verlopen is. Omdat de plugin of het thema echter niet up-to-date is, meldt de beveiligingsplugin dat de plugin of het thema een update nodig heeft.
Soms meldt WordPress het ook en zie je in het plugin overzicht een melding als:
There is a new version [nieuw versienummer] of [plugin-naam]. To update directly, register your license key now or purchase a new license key to access all premium features.
Of:
Er is een nieuwe versie van [plugin-naam] beschikbaar. Automatisch updaten is niet beschikbaar voor deze plugin. Please activate your license to update the plugin.
Zie je zoiets, dan weet je dat er wel een update is, maar dat je licentie niet geldig is.
Maar heel vaak is zo’n melding er dus niet en lijkt er geen update beschikbaar te zijn. Er zijn dan geen directe aanwijzingen dat je thema of een plugin een ongeldige licentie heeft.
Je website blijft gewoon werken
Jouw WordPress website blijft in de meeste gevallen gewoon werken als de licentie voor een premium thema of plugin verloopt. WordPress is gebaseerd op open-source software, wat betekent dat de reeds gedownloade code jouw eigendom blijft. Je ontvangt alleen geen updates meer voor de licentieloze plugin of thema.
Uitzonderingen: een klein aantal cloud-gebaseerde plugins (zoals sommige API-koppelingen, premium spamfilters of geavanceerde SEO-tools) stopt direct met werken zodra de licentiecontrole via hun externe server verloopt.
Het gevaar van een verlopen licentie
Hoewel alles op je site gewoon blijft werken als de licentie is verlopen, ontstaan er op de langere termijn wel grote risico’s voor de werking en veiligheid.
Doordat je geen updates meer ontvangt, verlies je de toegang tot nieuwe versies, bugfixes en prestatieverbeteringen. Daarnaast kun je geen gebruik meer maken van de helpdesk van de plugin of het thema. Ontstaat er een probleem, dan kun je meestal geen beroep meer doen op de ontwikkelaar. Veel makers van premium plugins bieden alleen ondersteuning aan klanten met een actieve licentie.
Wanneer je een verlopen licentie voor maanden of jaren laat staan, treden er vrijwel altijd problemen op:
- Beveiligingslekken: hackers zoeken actief naar bekende kwetsbaarheden in oudere plugin-versies. Zonder updates worden deze lekken op jouw site niet gedicht.
- WordPress-conflicten: het WordPress-kernsysteem krijgt meerdere grote updates per jaar. Als je WordPress wel bijwerkt maar je thema of plugins niet, ontstaan er foutmeldingen, waardoor functies uitvallen of je site onbereikbaar wordt (het ‘witte scherm’).
- PHP-updates: webhostingpartijen updaten periodiek de PHP-versie van de server voor betere snelheid en veiligheid. Oude plugins en thema’s zijn vaak niet compatibel met nieuwe PHP-versies, wat leidt tot een volledige crash van de website.
- Database-updates: nieuwe versies voeren soms database-updates uit. Loop je jaren achter, dan wordt het alsnog upgraden ineens een stuk spannender, omdat je het risico loopt dat de update je site ‘breekt’.
Websites die door een bureau zijn gebouwd
Heb je een website laten maken door een webdesignbureau, dan heeft dat bureau vaak de licenties gekocht. Meestal staan die licenties dan niet op jouw naam. Veel webdesigners hebben bijvoorbeeld voor Elementor Pro een agency‑licentie die ze onbeperkt mogen gebruiken. Zolang de webdesigner hiervoor betaalt, blijft de licentie op jouw website dan actief. Als de webdesigner stopt, of de licentie niet verlengt, kan jouw Elementor Pro ineens gedeactiveerd worden.
Soms stelt de ontwikkelaar van je website extra eisen. Bijvoorbeeld dat de licentie alleen actief blijft als je de domeinnaam en hosting ook bij het bureau afneemt. Of alleen als je het onderhoud van de website ook door hen laat doen.
We zien ook vaak dat de webdesigner een licentie voor alleen jouw website heeft gekocht. De designer koopt het thema of de plugin speciaal voor jouw project en activeert de unieke licentiecode op jouw WordPress-dashboard. Als de licentie onbeperkt geldig is, is er geen probleem, maar de licentie staat waarschijnlijk wel geregistreerd op het persoonlijke ThemeForest-account van de designer, waardoor je afhankelijk van hem/haar blijft.
Soms is de licentie een jaar geldig en wordt na afloop van dat jaar niet verlengd door de webdesigner. Voor vrijwel alle premium plugins betaal je een jaarlijks bedrag om de licentie te verlengen. Ligt de licentie bij de webdesigner en verlengt deze de licentie niet, dan is je licentie na afloop van het jaar niet meer geldig. De plugin blijft meestal wel gewoon werken, maar je ontvangt geen updates meer.
De meeste licenties zijn strikt geldig voor één enkele website. Een scenario dat we helaas ook wel eens zien is dat de designer één keer een thema of plugin koopt en dit installeert op meerdere websites van klanten. De website werkt in de basis prima, maar de designer kan de officiële licentiecode (API-key) maar op één site tegelijk valideren. Jouw site draait dan zonder actieve registratie. Je ontvangt daardoor geen automatische updates in je WordPress-dashboard. Soms lost de designer dit op door handmatig updates te installeren zolang je klant bent. Als je weggaat loopt je website direct gevaar. Zonder updates zal het thema binnen een paar maanden onveilig zijn omdat lekken worden ontdekt waar hackers misbruik van kunnen maken.
Enkele maanden geleden zagen we hoe het op een andere manier mis ging bij een aantal klanten. Hun webdesigner had een Elementor Pro licentie voor 100 sites en deze gebruikt op een groot aantal sites, waaronder enkele die bij ons zijn ondergebracht. Twee jaar daarna besloot de webdesigner ermee te stoppen en zijn account bij ThemeForest op te heffen. Iedere klant raakte daardoor ineens de updates kwijt omdat de licentie niet meer geldig is.
Hoe je kunt controleren of jouw premium plugins nog updates ontvangen?
Thema
Log in op je WordPress-dashboard en ga in het linkermenu naar de instellingen van je thema (vaak te herkennen aan de naam van het thema, of onder Weergave > Thema’s). Zoek naar een tabblad genaamd ‘License’, ‘Registration’ of ‘Purchase Code’.
Staat hier een groen vinkje of ‘Activated’? Dan is je thema-licentie geldig. Staat er een melding zoals ‘Please register your theme to get updates’? Dan heeft je thema geen geldige licentie.
Niet bij elk thema is dit te controleren. Sterker nog: bij de meeste thema’s zie je nergens een melding over een licentie. Als je klikt op het actieve thema zie je het versienummer van je thema en ook wordt de naam van de ontwikkelaar vermeld. Klik op de naam van de ontwikkelaar en je komt op diens website terecht. Hier kun je zoeken naar informatie over wat de meest recente versie is van het thema. Als alternatief kun je op internet zoeken of er een updategeschiedenis wordt bijgehouden van het thema. Zoek bijvoorbeeld op ‘divi changelog’ om de geschiedenis van het thema Divi te vinden en het laatste versienummer.
Plugins
Ga naar Dashboard > Updates. Zie je daar plugins staan met een melding zoals ‘Update package niet beschikbaar’ of ‘Activeer uw licentie om updates te ontvangen’? Dan is de licentie niet (meer) geldig.
Net als bij de thema’s kun je niet elke plugin op deze manier controleren. Loop je plugins een voor een na en controleer of bij een plugin staat ‘Bezoek plugin site’. Dit duidt er vaak op dat het een premium plugin betreft. Klik op de link en zoek op de website van de ontwikkelaar naar de meest recente versie en controleer of die overeenkomt met jouw versie.
Bundels
Wanneer je een premium thema aanschaft, zitten de licenties voor de bijbehorende premium plugins vaak al inbegrepen in de prijs. Je installeert ze dan met één klik via het installatiescherm van het thema zelf. De plugins worden samen met het thema up-to-date gehouden.
Hier zit de belangrijkste adder onder het gras. Je krijgt updates, maar niét rechtstreeks via het normale WordPress-updatescherm. Je moet wachten op de themabouwer: wanneer de makers van de plugin een update uitbrengen, moet de bouwer van jouw thema die update downloaden, testen en verwerken in een nieuwe versie van het thema. Hier zit vaak een behoorlijke vertraging in van weken of maanden. Als de nieuwe versies van de plugin zijn verwerkt in jouw thema, kun jij je thema updaten met de nieuwe plugin-versies. Hoewel dit een goedkope manier is om premium software te gebruiken, brengt het dus een veiligheidsrisico met zich mee. Als er een kritiek beveiligingslek in de plugin wordt gevonden, moet je wachten tot jouw themabouwer een update uitrolt. Als die themabouwer traag is (of stopt met support), blijft jouw website kwetsbaar.
Vooral als je website door een webbureau is gemaakt, ben je je vaak niet van bewust dat je website gebruik maakt van een thema met bundel. Vraag ernaar bij de ontwikkelaar van je website. Vaak kun je het ook zien bij de instellingen van het thema. Daar worden vaak de meegeleverde plugins genoemd.
Wat je moet doen als de licentie op naam van het webbureau staat?
Thema
Als je niet afhankelijk wilt zijn van het webbureau voor je licenties, vraag dan de webdesigner om de ‘Purchase Code’ (aankoopcode) van het thema. Dit is een lange cijfer- en lettercombinatie. Als de designer deze netjes voor jouw site heeft gekocht, horen zij deze code zonder problemen aan jou te overhandigen. Mocht je ooit weggaan, dan kun je met die code altijd de updates garanderen.
Als ze de code niet willen of kunnen geven, kun je het thema het beste zelf eenmalig aanschaffen op bijvoorbeeld ThemeForest (meestal tussen de $40 en $80). Je voert dan simpelweg je eigen code in en bent direct onafhankelijk.
Plugins
Voor bijna alle plugins betaal je een jaarlijks abonnement. Je betaalt niet voor het gebruik van de plugin, maar voor de doorlopende updates en support. Omdat WordPress constant verandert, moeten plugin-makers hun code regelmatig bijwerken. Daarnaast worden er regelmatig bugs en lekken gevonden in plugins. Een WordPress-website kan hierdoor onveilig kan worden zonder dat je het merkt.
Staat de licentie op naam van het webbureau, dan moet het webbureau jaarlijks de licentie verlengen. We zien op onze hostingservers regelmatig dat deze licenties niet worden verlengd. We raden daarom aan om de licentie op jouw naam te zetten en hier zelf jaarlijks voor te betalen, rechtstreeks bij de ontwikkelaar van de plugin of bij het platform waar de plugin wordt aangeboden.
Nulled thema’s en plugins
Belangrijke waarschuwing: vermijd GPL of ‘Nulled’ websites!
Als je zoekt naar premium plugins, kom je gegarandeerd websites tegen die deze software aanbieden voor een paar euro of zelfs gratis (zogenaamde nulled of GPL sites). Begin hier niet aan. Hoewel ze beweren dat het legaal is, stoppen deze partijen bijna altijd kwaadaardige code, malware of achterdeurtjes in de bestanden. Hierdoor kan je website worden gehackt, volgezet worden met spam, of kunnen je klantgegevens op straat komen te liggen. Koop altijd via de officiële kanalen.
Conclusie
Een verlopen licentie voor een premium WordPress-plugin of -thema lijkt op het eerste gezicht onschuldig. Je website blijft immers gewoon werken en WordPress laat vaak geen update meer zien. Toch ontvang je geen beveiligingsupdates, bugfixes en compatibiliteitsverbeteringen meer. Daardoor neemt het risico op storingen en beveiligingsproblemen steeds verder toe.
Vooral wanneer een website door een webdesigner of internetbureau is gebouwd, is het verstandig om na te gaan wie de licentie beheert en of deze nog actief wordt verlengd. Laat belangrijke licenties bij voorkeur op je eigen naam registreren, zodat je niet afhankelijk bent van derden voor updates.
Twijfel je of jouw WordPress-website nog updates ontvangt voor alle premium plugins en thema’s? Controleer dan de versies of vraag je webdesigner of hostingprovider om dit voor je na te kijken. Een kleine controle kan voorkomen dat je website maanden of zelfs jaren ongemerkt kwetsbaar blijft.