{"id":138,"date":"2025-02-20T00:00:00","date_gmt":"2025-02-19T23:00:00","guid":{"rendered":"https:\/\/helloblog.io\/nl\/wordpress-6-8-bcrypt-standaard-wp-password-bcrypt-uitfaseren\/"},"modified":"2026-01-20T06:32:48","modified_gmt":"2026-01-20T05:32:48","slug":"wordpress-6-8-bcrypt-standaard-wp-password-bcrypt-uitfaseren","status":"publish","type":"post","link":"https:\/\/helloblog.io\/nl\/wordpress-6-8-bcrypt-standaard-wp-password-bcrypt-uitfaseren\/","title":{"rendered":"WordPress 6.8 maakt bcrypt standaard: tijd om wp-password-bcrypt uit je stack te halen"},"content":{"rendered":"\n

WordPress wachtwoorden zijn jarenlang een punt geweest waar je als developer liever zelf net wat extra\u2019s regelde. Niet omdat core het \u201cslecht\u201d deed, maar omdat modern password hashing nu eenmaal een moving target is en WordPress extreem veel legacy moet ondersteunen. Met WordPress 6.8 verandert dat: bcrypt wordt de standaard hashingmethode in core<\/strong>. Dat is goed nieuws voor de security baseline van WordPress \u2014 en het betekent meteen dat een bekende workaround overbodig wordt.<\/p>\n\n\n\n

Gebruik je in je project (vaak via Composer\/Bedrock) het pakket wp-password-bcrypt<\/code> van Roots? Dan is dit het moment om je dependency-lijst op te schonen. Roots heeft aangekondigd dat ze het pakket gaan uitfaseren nu WordPress zelf bcrypt omarmt.<\/p>\n\n\n\n

Even scherp: wat is bcrypt (en waarom wil je dit)?<\/h2>\n\n\n\n

bcrypt<\/code> is een password hashing-algoritme dat ontworpen is om traag<\/em> te zijn (in de goede zin). Dat maakt brute-force aanvallen veel duurder, zeker als je database ooit lekt. In tegenstelling tot \u201csnelle\u201d hashes helpt bcrypt je om de impact van credential stuffing en offline cracking te beperken, omdat elke gok meer CPU kost.<\/p>\n\n\n\n

In WordPress-land draaide dit onderwerp vaak om de balans tussen backwards compatibility, performance op shared hosting en het upgraden van security zonder bestaande installaties te breken. Dat bcrypt nu standaard in core komt, is een duidelijke stap vooruit: een sterkere default zonder dat jij er als sitebouwer of agency een extra plugin of mu-plugin voor hoeft te onderhouden.<\/p>\n\n\n\n

Wat gebeurt er met wp-password-bcrypt?<\/h2>\n\n\n\n

Roots introduced wp-password-bcrypt<\/code> ooit om WordPress-projecten sneller naar een modernere hashing-setup te trekken, ruim voordat core die stap maakte. Met WordPress 6.8 wordt die extra laag in de praktijk redundant. Roots heeft daarom aangekondigd dat ze het pakket gaan afbouwen.<\/p>\n\n\n\n

    \n\n
  • Het pakket wordt als abandoned<\/strong> gemarkeerd op Packagist.<\/li>\n\n\n
  • Verwijzingen worden verwijderd uit Bedrock en gerelateerde documentatie.<\/li>\n\n\n
  • De GitHub-repository wordt gearchiveerd.<\/li>\n\n<\/ul>\n\n\n\n

    Wat betekent dit concreet voor jouw WordPress project?<\/h2>\n\n\n\n

    De belangrijkste praktische boodschap: draait je site op WordPress 6.8 of hoger, dan heb je wp-password-bcrypt<\/code> niet meer nodig<\/strong>. Je kunt het pakket verwijderen zonder dat je een aparte migratie hoeft te plannen.<\/p>\n\n\n\n

    Belangrijk detail: volgens Roots blijven bestaande wachtwoorden gewoon werken. WordPress core neemt de afhandeling van bcrypt (waar van toepassing) over, waardoor je niet ineens een \u201cmass reset password\u201d-moment cre\u00ebert.<\/p>\n\n\n\n

    \n\n

    Waarom dit zo\u2019n fijne wijziging is<\/h4>\n\n\n

    Minder moving parts in je auth-stack: geen extra package dat diep in login\/verify haakt, minder onderhoud, minder kans op edge cases bij upgrades \u2014 terwijl je security baseline omhoog gaat.<\/p>\n\n<\/div>\n\n\n\n

    Hoe verwijder je wp-password-bcrypt (typische Bedrock\/Composer setup)<\/h2>\n\n\n\n

    De meeste teams die dit gebruiken, hebben het als Composer dependency opgenomen. Dan is opruimen vooral dependency management + even checken of er geen mu-plugin of autoload entry achterblijft.<\/p>\n\n\n\n

      \n\n
    1. Controleer of je project daadwerkelijk op WordPress 6.8+ zit (en plan de core update als dat nog niet zo is).<\/li>\n\n\n
    2. Verwijder roots\/wp-password-bcrypt<\/code> uit je composer.json<\/code> (of gebruik composer remove<\/code>).<\/li>\n\n\n
    3. Deploy, en verifieer dat login, password reset en user creation flows normaal werken.<\/li>\n\n<\/ol>\n\n\n\n
      <\/circle><\/circle><\/circle><\/g><\/svg><\/span>