Waarom een contactformulier-plugin een risico is?
De meeste contactformulieren op het web zijn een plugin: Contact Form 7, WPForms, Forminator, of iets vergelijkbaars. Handig, tot het misgaat.
In 2025 en 2026 doken bij net die plugins herhaaldelijk kwetsbaarheden op: onbeveiligde bestandsuploads die uitdraaiden op remote code execution, CSRF-lekken, en formulieren die stiekem als mail-relay werden misbruikt om spam te versturen vanaf jouw domein. Telkens hetzelfde patroon: het formulier zelf staat mét de rest van je website op dezelfde server, dus een zwakke plek erin is een zwakke plek in heel je site.
Dat hoeft niet. Een contactformulier heeft geen bestanden nodig, geen database op je hosting, en zeker geen uploadfunctie: het moet gewoon een bericht van A naar B krijgen. Zet je dat apart, dan valt dat hele aanvalsoppervlak weg.
Ik bouwde de contactformulier tool als een klein, op zichzelf staand stukje techniek: een paar regels HTML op je website, en de eigenlijke verwerking (validatie, spamfilter, e-mail) op een eigen, apart beveiligde server. Werkt op WordPress, Shopify, Craft CMS of gewoon een statische site: overal waar je een stukje HTML kan plakken.
| Gewone contactform-plugin | Dit contactformulier | |
|---|---|---|
| Bestanden op jouw hosting | Ja — de hele plugin | Nee, enkel 3 regels HTML |
| Kwetsbaar bij een plugin-lek | Ja, rechtstreeks | Nee — er draait niets van jou zelf |
| Waar de inzendingen staan | Meestal in jouw database | Op een apart beveiligde server, nooit publiek bereikbaar |
| Bestandsuploads (het gangbare lek) | Vaak wel aanwezig | Bewust niet ingebouwd |
| Anti-spam | Wisselend, vaak Google reCAPTCHA | Honeypot + tijdval + optioneel Cloudflare Turnstile (geen Google-tracking) |
| GDPR-bewaartermijn | Zelf regelen | Automatisch, per formulier instelbaar |
✔️ Stapsgewijs formulier (één vraag per scherm) in jouw huisstijlkleuren
✔️ Werkt op elk platform: WordPress, Shopify, Craft, statische HTML
✔️ E-mailmeldingen naar jou, optioneel bevestiging naar de invuller
✔️ Herkenbare Google Analytics-events (bekeken, gestart, per stap, verzonden, afgehaakt)
✔️ Origin-allowlist: enkel jouw domein mag het formulier gebruiken
✔️ Automatische GDPR-bewaartermijn voor oude inzendingen
✔️ Kmo’s en zelfstandigen met een eigen website
✔️ Iedereen die van een WordPress-pluginformulier af wil
✔️ Websites op Shopify of Craft CMS (geen eigen bestanden mogelijk/gewenst)
✔️ Wie sowieso al bij mij hoster of een site laat bouwen
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
En ja, dit formulier rechts is gemaakt met mijn eigen tool.