# AI code beveiligingsreview WordPress: de drie passes URL: https://noonwp.com/nl/journal/ai-code-beveiligingsreview-wordpress Type: blog Locale: nl Published: 2026-08-04 Updated: 2026-08-12 --- > Een AI code beveiligingsreview is een vast onderdeel van elk serieus opleverproces voor WordPress-plugins. Dit folio behandelt drie tools, hun blinde vlekken en een driepass-checklist. Een AI code beveiligingsreview WordPress is inmiddels een vast onderdeel van mijn opleverproces. Niet omdat AI alles onderschept, maar omdat het de mechanische kwetsbaarheden sneller vindt dan vermoeide ogen na een lange sprintsessie. Het proces kost circa 60 minuten per plugin en heeft twee keer een incident voorkomen dat ik zelf niet had gezien vóór oplevering. In de praktijk verdienen drie tools een vaste plek in dat proces. Dit folio behandelt wat elk afzonderlijk oppikt, wat ze allemaal missen, en een driepass-checklist die past bij een realistisch solo-werkvolume. ## Vibe coding creëert een specifieke soort beveiligingsschuld in WordPress Het getal waar u even bij stil moet staan: beveiligingsonderzoekers koppelden AI-statische analyse aan geautomatiseerde verificatie en brachten meer dan 300 kritieke zero-days aan het licht in het WordPress-pluginecosysteem, in ongeveer 72 uur. Geen obscure randplugins. Plugins met significante installatiecijfers die dagelijks door duizenden sites worden gebruikt. Wat drijft dit aan? Het korte antwoord is vibe coding: ontwikkelaars die door een LLM gegenereerde plugincode verzenden die ze niet volledig hebben gelezen. Het model produceert snel functionele logica. De developer commit de code zonder de invoersanering, de nonce-controles of de capaciteitsverificatie grondig te controleren. Het resultaat is een dubbel vertrouwensprobleem: de developer vertrouwt de AI-uitvoer, en die AI-uitvoer vertrouwt vervolgens de gebruikersinvoer zonder voldoende validatie. Een agentschapsaudit van een vibe-coded plugin bracht meer dan 100 afzonderlijke beveiligingsproblemen aan het licht in één codebase. Dat is geen randgeval. Het is een patroon dat terugkeert bij elke audit van snel opgeleverde LLM-plugins. Op een brochurewebsite zijn de gevolgen van een gemiste sanering beperkt. Op een WooCommerce-installatie die echte transacties verwerkt, of een multisite-netwerk met sub-sites van klanten, is een gemiste `esc_html()`-aanroep of een ontbrekende `current_user_can()`-controle een serieuze blootstelling. Klantdata, betalingsstromen en beheerderstoegang staan dan open voor aanvallers die weten wat ze zoeken. Dit is geen pleidooi tegen AI-ondersteunde ontwikkeling. Het is een argument om de beveiligingsrevisstap te behandelen als niet-optioneel, in plaats van als een nice-to-have die men erbij doet als er nog tijd over is. De snelheid die vibe coding oplevert, wordt snel tenietgedaan door één incident na oplevering. ![PHP code-editor met donker thema en syntaxismarkering die de WordPress-pluginstructuur toont](https://fdzlnqpwsaniezitwiuw.supabase.co/storage/v1/object/public/cms-media/noonwp/2026-08/2ca468-inline1.webp) ## Wat AI-reviewers daadwerkelijk oppikken in WordPress PHP AI-beveiligingsreviewtools scannen codestructuur, geen runtimegedrag. Dit onderscheid is het eerste wat u moet internaliseren voordat u het in een opleverworkflow integreert. Een tool die de structuur leest, ziet nooit hoe twee functies met elkaar interageren op het moment van uitvoering. Waar deze tools betrouwbaar presteren bij WordPress PHP: ontbrekende `esc_html`-, `esc_url`- en `wp_kses`-aanroepen; onbeveiligde AJAX-handlers zonder `check_ajax_referer` of capaciteitscontroles; ruwe `$wpdb->query`-aanroepen met geïnterpoleerde variabelen; onveilige bestandsbewerkingen met door de gebruiker opgegeven paden; onbeveiligde `update_option`-aanroepen die globale instellingen overschrijven. Waar ze consequent onbetrouwbaar zijn: logische fouten in de bedrijfsvoering bij WooCommerce-orderverwerking, race-condities in voorraadbeheer, kwetsbaarheden in authenticatiestromen die afhankelijk zijn van de uitvoeringsvolgorde, en contextspecifieke problemen in multisite- of hostingconfiguraties. Al deze gevallen vereisen begrip van intentie en context, niet alleen van syntaxis. Mentaal model: een AI-beveiligingsreview is een eerste filter. Het verhoogt de vloer, niet het plafond. Dat is precies de waarde ervan: sneller dan handmatig een eerste laag mechanische fouten verwijderen, zodat u uw handmatige tijd kunt concentreren op de gevallen die echt oordeel vragen. ## Drie tools die een vaste plek verdienen in een beveiligingscontrole **SonarQube Community Edition** is gratis zelf te hosten en heeft een solide regelengine voor WordPress-kwetsbaarheidspatronen en kwaliteitspoorten voor CI. De beperking: de setupoverhead maakt het onpraktisch voor eenmalige projectreviews zonder een bestaande gedeelde instantie. Voor agentschappen die meerdere plugins per maand opleveren en al een CI-pipeline hebben, is het de investering waard. De kwaliteitspoorten bieden ook een heldere meetlat bij het opleveren: u kunt aantonen dat de code bepaalde drempelwaarden haalt. **Cursor** laat beveiligingsreviews plaatsvinden binnen de ontwikkeltool via agentmodus. Geef het een volledige plugin-map als context met een kwetsbaarheidsgerichte prompt. Vraag specifiek om een inventarisatie van AJAX-handlers zonder nonce-validatie, ruwe databasequery's en bestandsbewerkingen met gebruikersinvoer. De gratis laag is functioneel; Pro kost circa 20 dollar per maand voor regelmatig reviewwerk. Het voordeel ten opzichte van losstaande tools: u hoeft de context niet te exporteren. De code staat al in uw editor. **Tabnine** biedt on-premises- en air-gapped-implementatie voor vertrouwelijkheid van klantcode. De juiste keuze wanneer NDA's of de gevoeligheid van klantdata het gebruik van in de cloud gehoste AI-tools verbiedt. De detectiekwaliteit is vergelijkbaar met andere tools in deze categorie; de inzetwijze is het onderscheidende kenmerk. Bij klanten in de financiële sector of de gezondheidszorg is dit doorgaans de enige acceptabele optie. **Claude Code** voert agentische reviews uit van volledige plugin-mappen en levert gestructureerde uitvoer die overzichtelijk genoeg is om rechtstreeks met klanten te delen. Het model is goed in het formuleren van bevindingen in begrijpelijke taal, wat het nuttig maakt voor rapportages naar niet-technische opdrachtgevers. Er is een niet-verwaarloosbaar percentage fout-positieven bij WordPress PHP: elke bevinding vraagt handmatige verificatie voordat u het opneemt in een klantrapport. ## Wat AI consequent mist, en de aansprakelijkheid die dit meebrengt Logische fouten in de bedrijfsvoering, zoals coupon-stacking in WooCommerce of het omzeilen van minimumdrempels bij bestellingen, zijn onzichtbaar voor statische analyse. Hetzelfde geldt voor kwetsbaarheden in authenticatiestromen die afhankelijk zijn van de volgorde van uitvoering. Geen enkel AI-model beschikt over het oordeel dat nodig is om te begrijpen of twee functies, elk op zichzelf correct, samen een beveiligingslek vormen. De mediane tijd van openbaarmaking tot uitbuiting: ongeveer vijf uur. Dat betekent dat er bij een publiek gemaakte kwetsbaarheid in een plugin die u heeft opgeleverd, praktisch geen reactietijd is voordat aanvallers de installaties van uw klanten proberen te bereiken. Voer een beveiligingsreview uit vóór oplevering, niet als reactie op een kwetsbaarheidsrapport. ![Freelance ontwikkelaar die geprinte codepagina's controleert met rode pen aantekeningen aan een houten bureau](https://fdzlnqpwsaniezitwiuw.supabase.co/storage/v1/object/public/cms-media/noonwp/2026-08/5e9561-inline2.webp) Voor developers die werken aan WooCommerce-installaties met echte transacties of multisites met klantdata, schept dit geen theoretisch risico maar een concreet aansprakelijkheidsprobleem. Als een kwetsbaarheid wordt uitgebuit in code die u hebt geleverd en er geen aantoonbaar reviewproces bestaat, is uw juridische positie zwak. Dat geldt zeker in een context waarbij de EU-regelgeving explicieter wordt over de verantwoordelijkheden van software-leveranciers richting eindgebruikers. 52 procent van de plugin-developers verzond geen patch vóór de publieke openbaarmaking van een kwetsbaarheid, volgens onderzoek uit 2025. Dat getal zegt iets over de sector. Het zegt ook iets over de kansen voor developers die wél een gedocumenteerd reviewproces hanteren bij oplevering. ## Een pre-opleverchecklist die werkt in de praktijk Deze driepass-aanpak past in elk opleverproces zonder de planning te verstoren. Het is geen audit; het is een gestructureerde controle die mechanische kwetsbaarheden oppikt en u dwingt de grenzen van elke plugin handmatig te doorlopen. **Pass 1 (15 minuten):** PHP_CodeSniffer met de WordPress-VIP-Go-regelset, of SonarQube. Verhelp alle kritieke bevindingen voordat u verdergaat. Sla geen bevinding over omdat ze u onwaarschijnlijk lijkt: als de tool het markeert, noteert u het en beslist u bewust. **Pass 2 (20 minuten):** Cursor of Claude Code, gerichte prompt op invoerverwerking, AJAX-beveiliging, databasequery's, bestandsbewerkingen en optiebeheer. Leg alle bevindingen vast, inclusief afgewezen fout-positieven. Een gedocumenteerde fout-positief is geen verloren tijd: het is bewijs dat u de bevinding hebt overwogen. **Pass 3 (25 minuten):** Handmatige grensreview van elk AJAX-eindpunt, REST-eindpunt en admin-action-hook. Controleer voor elk punt of de nonce-controle aanwezig en correct gepositioneerd is, of de capaciteitscontrole de juiste capaciteit hanteert, en of de invoer wordt gesaneerd vóór verwerking en geëscaped vóór uitvoer. Dit kan niet worden geautomatiseerd. Doe het met de hand, regel voor regel. In totaal kost dit circa 60 minuten per plugin van gemiddelde omvang. Voor een brochure-plugin met minimale server-side logica is de drempel lager. Voor een plugin met authenticatie, orderverwerking of bestandsuploads is dit het minimum, niet het maximum. ## De EU-compliancedeadline waar de meeste freelancers nog niet op hebben geanticipeerd Vanaf september 2026 verplicht de EU een programma voor kwetsbaarheidsmelding voor plugin- en theme-developers die distribueren aan EU-gebruikers. Een gedocumenteerd proces, een gedefinieerd reactietijdvenster en een aangewezen beveiligingscontact zijn verplicht. Dit geldt ook voor privé- en single-client-plugins, niet alleen voor plugins in de publieke WordPress-directory. Voor Nederlandse en Belgische developers is dit geen abstract beleidsdocument. Het is een praktische verplichting met een deadline die dichtbij is. Developers die al een geregistreerd driepass-reviewproces hanteren, zijn beter gepositioneerd om aan die verplichting te voldoen dan developers die beveiligingsreviews ad hoc uitvoeren. Een gedocumenteerde driepass-review maakt deel uit van een verdedigbaar due-diligence-dossier bij eventuele aansprakelijkheidsvragen. Er is ook een commercieel argument. Klanten die vragen naar compliance-documentatie bij oplevering, krijgen van u een reviewlog mee. Dat onderscheidt u van ontwikkelaars die alleen een plugin afleveren. ## Wanneer een gerichte controle proportioneel is en wanneer niet Brochuresite of block-theme zonder aangepaste AJAX of gegevensverwerking: het driepass-proces is voldoende en proportioneel. U hoeft geen formele audit in te kopen voor een statische presentatiesite. Aangepaste plugin met authenticatie, orderverwerking, bestandsuploads of bevoorrechte data: een formele review met gedocumenteerde bevindingen is het juiste bereik. Het driepass-proces is daar het startpunt, niet de eindlijn. Als uw plugin financiële transacties verwerkt of klantgegevens opslaat, vraagt u uzelf af wanneer u voor het laatste een beveiligingscontrole hebt laten uitvoeren door iemand die de code niet zelf heeft geschreven. Het antwoord op die vraag bepaalt uw risicoprofiel als developer. Een geregistreerde driepass-review is een goed startpunt om dat risico te verkleinen en aantoonbaar te maken. ## FAQ ### Welk AI-tool is het meest geschikt voor een WordPress-beveiligingsreview? Voor een solo freelancer is Cursor de praktische keuze: het werkt in de editor zelf, de gratis laag is functioneel en de agentmodus verwerkt volledige plugin-mappen. SonarQube verdient zijn plek in een CI-pipeline van een agentschap. Claude Code produceert de meest deelbare gestructureerde uitvoer voor klantrapportages. ### Kan ik een AI-beveiligingsreview gebruiken in plaats van handmatige code-inspectie? Nee. AI-tools zijn een eerste filter voor mechanische patronen. Ze missen bedrijfslogicafouten, race-condities en uitvoeringscontext-afhankelijke kwetsbaarheden. Pass 3 van de driepass-checklist, de handmatige grensreview, kan niet worden geautomatiseerd. ### Hoeveel tijd kost een volledige beveiligingsreview van een WordPress-plugin? Reken op circa 60 minuten voor een plugin van gemiddelde omvang: 15 minuten statische analyse, 20 minuten AI-agentreview en 25 minuten handmatige grensreview. Grotere plugins of plugins met complexe WooCommerce-integraties vergen meer tijd. ### Geldt de EU-verplichting voor kwetsbaarheidsmelding ook voor freelancers met één klant? Ja. De verplichting geldt voor iedere developer die plugins of themes distribueert aan EU-gebruikers, ook bij privé- of single-client-implementaties. Een gedocumenteerd reviewproces is onderdeel van het vereiste compliance-kader vanaf september 2026. ### Wat zijn de meest voorkomende beveiligingsfouten die AI-tools missen in WordPress PHP? Coupon-stacking-fouten in WooCommerce, auth-flow-kwetsbaarheden die afhankelijk zijn van de volgorde van uitvoering, race-condities in voorraadbeheer en contextspecifieke problemen in multisite-configuraties. Statische analyse heeft geen toegang tot de uitvoeringscontext. ### Wat doet Tabnine anders dan Cursor of Claude Code voor beveiligingsreviews? Tabnine biedt on-premises- en air-gapped-implementatie. Dit is de juiste keuze wanneer NDA's of de gevoeligheid van klantdata het gebruik van cloudgebaseerde AI-tools verbiedt. Het is niet noodzakelijk beter in detectie, maar wel veiliger voor vertrouwelijke codebases.