WordPress driver över 43% av alla webbplatser på internet – vilket gör det till det mest angripna CMS på marknaden. En sida som inte underhålls aktivt är snarare en fråga om när den hackas, inte om.
Den goda nyheten: de allra flesta attacker kan förhindras med relativt enkla åtgärder. Här går vi igenom de viktigaste stegen.
Varför hackare älskar WordPress
Det handlar sällan om att just du är måltavla. Attacker mot WordPress är oftast automatiserade – robotar scannar internet efter kända sårbarheter i föråldrade plugins, teman och WordPress-versioner. Om din sajt har en känd sårbarhet hittar de den.
De vanligaste angreppen är:
- Brute force – robotar försöker gissa ditt lösenord genom tusentals inloggningsförsök
- Plugin-sårbarheter – föråldrade plugins med kända hål utnyttjas automatiskt
- SQL-injektioner – angrepp mot din databas via formulär eller URL:er
- Malware-injektion – skadlig kod göms i din sajts filer
- DDoS-attacker – din server överbelastas med trafik tills den går ner
10 konkreta steg för bättre WordPress-säkerhet
1. Håll WordPress, plugins och teman uppdaterade
Det enskilt viktigaste du kan göra. När en säkerhetsbrist hittas i ett plugin släpps en uppdatering – ofta inom dagar. Om du inte uppdaterar snabbt är du sårbar.
Aktivera automatiska uppdateringar för små säkerhetsuppdateringar. För större uppdateringar, testa alltid på staging innan du uppdaterar live-sajten.
2. Ta bort plugins och teman du inte använder
Inaktiva plugins och teman är fortfarande en säkerhetsrisk. Ta bort dem helt istället för att bara inaktivera. Ju färre plugins, desto mindre attackyta.
3. Använd starka lösenord och tvåfaktorsautentisering
"admin" som användarnamn och "password123" som lösenord är fortfarande lösenord folk använder. Använd ett unikt, långt lösenord på minst 16 tecken och aktivera 2FA (tvåfaktorsautentisering) på alla adminanvändare.
4. Begränsa inloggningsförsök
Blockera IP-adresser som försöker logga in upprepade gånger. Plugins som Limit Login Attempts Reloaded gör detta automatiskt och eliminerar i princip brute force-attacker.
5. Ändra standard-inloggnings-URL:en
Som standard når man WordPress-inloggningen via /wp-admin eller /wp-login.php. Det vet alla hackare. Plugins som WPS Hide Login låter dig ändra den till något unikt.
6. Installera ett säkerhetsplugin
Wordfence och Sucuri är de mest använda säkerhetspluginsarna. De erbjuder brandvägg, malware-skanning, realtidsövervakning och blockering av misstänkt trafik.
7. Välj ett säkert webbhotell
Hostingen är grunden. Ett bra WordPress-hostingföretag erbjuder automatiska backuper, serversidig brandvägg, malware-skanning och isolerade miljöer så en komprometterad sajt inte påverkar andra på samma server.
8. Ta regelbundna backuper
Oavsett hur säkert du bygger kan något gå fel. En aktuell backup är din sista försäkring. Ta backup dagligen och förvara kopiorna utanför servern – i exempelvis Google Drive eller Amazon S3.
9. Använd SSL (HTTPS)
SSL krypterar tråden mellan webbläsaren och din server och är numera ett grundkrav. Google varnar aktivt besökare när en sajt saknar SSL. De flesta hosts erbjuder gratis SSL via Let’s Encrypt.
10. Övervaka och granska regelbündet
Använd Google Search Console för att kontrollera att din sajt inte är markerad som skadlig. Granska dina användarkonton regelbündet och ta bort inaktiva konton. Kontrollera dina plugins mot Wordfence Intelligence för kända sårbarheter.
Vad händer om din WordPress-sajt hackats?
Symptom på att du blivit hackad: sajten omdirigerar till en annan sida, Google varnar besökare, din hosting-leverantör stänger av sajten, du ser okända användarkonton eller ovanlig trafik i Analytics.
Om det hänt: bryt kontakten (ta sajten offline), återställ från en ren backup, scänna med Wordfence eller Sucuri, ändra alla lösenord och kontrollera filsystemet efter okända filer. Kontakta din hosting-leverantör direkt.
Slösa inte tid – börja idag
WordPress-säkerhet är inget du gör en gång och sedan glömmer. Det kräver löpande uppmärksamhet – uppdateringar, övervakning och regelbündna backuper.
Om du saknar tid eller kompetens för det tar vårt WordPress supportavtal hand om allt – uppdateringar, säkerhetsövervakning, backuper och teknisk support. Läs även mer om hur vi bygger WordPress-hemsidor med säkerhet som grundprincip, eller kontakta oss för en genomgång.
