De klantensite is misvormd. De klant belt de host. De gastheer verwijst het bureau door. Het bureau zegt dat het onderhoudscontract geen beveiliging omvat. De klant betaalt drie providers en niemand heeft het runbook. Deze chaos is niet technisch – het is de afwezigheid van geschreven grenzen.
Er zijn drie spelers bij betrokken: hoster (infrastructuur, netwerk, soms besturingssysteem), agency of integrator (site, code, soms exploitatie), klant (inhoud, bedrijfsgegevens, sectorale compliance). De Accommodatievoorwaarden beperken de aansprakelijkheid van de verhuurder; uw agentuurcontract moet een aanvulling zijn en geen veronderstelling.
Vereenvoudigde RACI-matrix
| Domein | Gastheer | Agentschap | Klant |
|---|---|---|---|
| Beschikbaarheid datacenter/hypervisor | R | ik | ik |
| Besturingssysteem / patches (beheerde VPS) | R/A volgens aanbieding | C | ik |
| CMS, plug-ins, thema | ik | R/A | C |
| Door bedrijven geteste back-ups | C | R/A | Een |
| SSL-certificaat (Let's Encrypt auto) | R | C | ik |
| Gepubliceerde inhoud (tekst, afbeeldingen) | ik | C | R/A |
| AVG / DPA-register | ik | C | R/A |
| Incidentcommunicatie | C | R | Een |
| Misbruikrapportage | Technische R | C | R redactioneel |
R = verantwoordelijk, A = goedkeurder, C = geraadpleegd, I = geïnformeerd — aanpassen aan uw daadwerkelijke contract.
Beheerde aanbiedingen: lees de diepte
- Gedeeld — host: platform, PHP, beperkte berichtenuitwisseling. Jij: site, updates, zakelijke back-ups.
- Onbeheerde VPS — jij of het bureau: alles behalve de hypervisor.
- VPS of beheerde server — systeemreparaties, infrastructuurmonitoring — niet noodzakelijkerwijs WordPress-code.
- Beheerde WordPress — kernupdates soms inbegrepen — plug-ins van derden vaak uitgesloten.
Vergelijk op de overzicht door een kruisverwijzing te maken naar het type aanbod en de interne vaardigheden. Voor gedeelde toegang, zie Team SFTP-toegang.
Vermijd grijze gebieden
- Geschreven document — een “wie doet welk incident”-pagina.
- Toegang — geen enkel account gedeeld tussen bureau en klant.
- Catering getest driemaandelijks – benoemd tot manager.
- Escalatie — host-, bureau- en klantnummers in één bestand.
Elk grijs gebied wordt een geschil na een incident. De rechtbanken beslissen niet op filosofische wijze: zij lezen de algemene voorwaarden van de hostingorganisatie en het bestelformulier van het bureau.
Een klant die “all-inclusive hosting” tekent zonder de algemene voorwaarden te lezen, ontdekt na een hack vaak dat WordPress-updates niet gedekt waren. Het bureau dat belooft dat de site kant-en-klaar wordt opgeleverd zonder een onderhoudsclausule na de lancering, bevindt zich in de frontlinie – zonder vergoeding voor de interventie.
De top: “alles inclusief” bestaat niet – alleen “allemaal vaag”
Dit is wat het woord ‘all-inclusive’ eigenlijk verbergt.
Beslis en ga vooruit zonder blinde vlek
Gedurende een halve dag kunt u de grenzen verduidelijken:
- Schrijf een RACI-matrix van één pagina.
- Algemene hostingvoorwaarden, agentuurcontract en klantverwachtingen.
- Test een herstel- en incidentcommunicatie.
- Bekijk elke keer dat u uw aanbieding wijzigt (gedeeld → VPS).
Begin met een bijeenkomst met drie partijen (klant, bureau, host indien mogelijk) om te valideren wie patcht, wie herstelt en wie communiceert. Zonder deze geschreven pagina wordt elk incident een pingpong van verantwoordelijkheid. Zie ook het hervattingsplan om back-ups te formaliseren.
Veelgestelde vragen
Is de host verantwoordelijk voor het hacken van WordPress?
Over het algemeen niet voor applicatiecode- en CMS-updates, tenzij er sprake is van een bewezen infrastructuurfout aan de hostzijde. De opdrachtgever of het bureau onderhoudt de applicatie; de host levert het besturingssysteem of de hypervisor, afhankelijk van het aanbod waarop is geabonneerd.
Wie moet de back-ups maken?
Dubbele waakzaamheid: de “best effort”-back-up van de host staat niet gelijk aan bedrijfscontinuïteit. De verantwoordelijke voor de verwerking of de klant moet over een regelmatig getest exemplaar beschikken.
Webbureau: welke huidige reikwijdte?
Implementatie, thema, plug-ins, soms onderhoud: zelden volledige uitbesteding van infrastructuur, behalve een expliciet MSP-contract. Maak de scope duidelijk in de inkooporder, niet na het incident.
Illegale inhoud gemeld: wie reageert?
De site-editor (klant) eerst; de host treedt op als technisch tussenpersoon (herroeping, opschorting) volgens de LCEN en de Algemene Voorwaarden. Zie de gids over misbruik melden.
Vóór de volgende storing een drievoudige vraag: wie updatet, wie herstelt, wie communiceert? Als iedereen naar de anderen kijkt, heb je geen drie serviceproviders; je hebt niemand.