# WordPress: je eerste stappen

> Inloggen, eigen maken en veilig houden.

Source: https://veldhost.eu/nl/docs/wordpress-getting-started

De WordPress-stack gekozen? Je site is geleverd met WordPress al geïnstalleerd en draaiend.

## Eerste keer inloggen: twee logins na elkaar

1. Je sitepagina in het portaal toont het beheerdersadres (`/wp-admin/`), de gebruikersnaam en een gegenereerd wachtwoord — we tonen het 7 dagen, dus sla het nu op.
2. Open `/wp-admin/`. Je **browser** vraagt eerst om een login: dat is de **admin gate**, een extra slot dat we vóór de WordPress-login zetten (HTTP basic auth). De gebruikersnaam en het wachtwoord staan op het tabblad **Settings** van je sitepagina ("Admin gate" — klik op *Reveal password*).
3. Daarna verschijnt de vertrouwde WordPress-loginpagina: log in met de WordPress-gebruikersnaam en het wachtwoord uit de eerste stap, ga naar **Gebruikers → Profiel** en stel je eigen wachtwoord in.

Waarom twee? Bots proberen de hele dag elke WordPress-loginpagina op internet. De gate wordt aan onze rand gecontroleerd, vóórdat het verzoek WordPress bereikt, dus die scripts komen nooit bij je loginpagina of je plugins. Je bezoekers merken er niets van, en `admin-ajax.php` (gebruikt door formulieren en winkelplugins) en de geplande taken blijven gewoon werken. Op het tabblad Settings kun je de gebruikersnaam en het wachtwoord van de gate wijzigen, opnieuw genereren of de gate uitzetten — elke keer dat het wachtwoord wordt getoond, komt in het auditlogboek van je account.

## Wat we voor je blokkeren

- `/wp-json/batch/v1` — het "batch"-REST-endpoint van WordPress is op elke WordPress-site geblokkeerd, ongeacht de methode. Eén verzoek kan er vele bevatten; het werd onlangs in het wild misbruikt om langs rate limits en plugincontroles te glippen, en niets dat je installeert heeft het nodig.
- `/xmlrpc.php` — de oude interface voor publiceren op afstand antwoordt met 403. Het is een favoriet voor het raden van wachtwoorden (honderden pogingen in één aanroep) en moderne apps gebruiken de REST API. Staat een plugin erop, vraag het dan aan support.
- `/wp-login.php` is onder de gate ook per adres begrensd in snelheid, als tweede laag.

## Maak hem van jou

- **Weergave → Thema's** — kies een uiterlijk; de thema-customizer toont een voorbeeld voordat je publiceert.
- **Pagina's** — hier staan je home-, over-ons- en contactpagina.
- **Instellingen → Algemeen** — sitetitel en taal.

## Gezond houden

- WordPress installeert zijn eigen beveiligingsupdates van de core automatisch, en wij draaien echte geplande taken (geen cron die van bezoekers afhangt). **Plugins zijn jouw verantwoordelijkheid**: minder is beter, houd ze bij, verwijder wat je niet gebruikt. Beveiligingsoplossingen zijn de uitzondering: elke dag controleren wij je plugins en thema’s op bekende kwetsbaarheden en installeren wij de veilige versie voor je, met automatisch terugzetten als de site stukgaat. Onder Instellingen → WordPress security kun je een site op *Alleen melden* zetten.
- Druk vóór je gaat experimenteren op **Back up now** op het tabblad "Files" — herstellen is één klik.
- Geeft de site een wit scherm na een plugin-update, bekijk dan het tabblad **Logs** en herstel daarna.