WordPress-säkerhet: 10 vanliga frågor (och svar) för svenska webbplatsägare

WordPress driver omkring 40% av alla webbplatser i världen. Det gör det också till det mest attackerade systemet på webben — inte för att WordPress är osäkert, utan för att skalan gör det till ett rationellt mål.

Den här texten samlar de tio vanligaste säkerhetsfrågorna från svenska webbplatsägare och hur vi tänker kring dem på Webbfabriken Cloud.

Är WordPress säkert?

WordPress core — den centrala installationen — är säker och uppdateras aktivt av WordPress-stiftelsen. När en sårbarhet upptäcks i core kommer en patch ofta inom timmar.

Risken ligger inte i core. Den ligger i ekosystemet: 60 000+ plugins och 10 000+ teman, varav många utvecklas av enskilda utvecklare som kanske inte underhåller koden längre. En WordPress-sajt med 30 plugins är 30 separata kodbaser som alla måste hållas uppdaterade.

I praktiken handlar 95% av WordPress-incidenter om tre saker:

1. Föråldrade plugins eller teman med kända exploits
2. Svaga eller återanvända admin-lösenord (utan 2FA)
3. Ingen eller dålig backup-rutin

Hur ofta ska WordPress uppdateras?

Vår rekommendation:

• Säkerhetsuppdateringar: samma vecka, helst samma dag som de släpps
• Mindre uppdateringar (4.x.y → 4.x.z): månadsvis
• Större versionsuppgraderingar (4.x → 5.0): efter test i staging-miljö
• Plugin-uppdateringar: beroende på risk — säkerhetsuppdateringar omedelbart, funktionsuppdateringar månadsvis

Auto-update för plugins kan vara farligt på affärskritiska sajter. En plugin-uppdatering kan oavsiktligt bryta något i kombinationen med ert tema eller andra plugins. Bättre att schemalägga uppdateringar och testa först.

Vilka plugins är säkra?

Säkrare plugins har ofta:

• 50 000+ aktiva installationer (visar att flera ögon granskar koden)
• Senaste uppdatering inom 6 månader
• Hög rating (4.5+ av 5)
• Aktiv supportforum med svar från utvecklaren
• Tydlig privacy policy om personuppgifter hanteras

Mindre säkra:

• Plugins som inte uppdaterats på över ett år
• Plugins från okända utvecklare med få installationer
• Plugins som installerar andra plugins ("plugin packs")
• Gratis-plugins som lovar samma funktionalitet som etablerade premium-plugins

Behöver jag säkerhets-plugin som Wordfence?

Det beror på vad din host redan erbjuder.

• Om hosten saknar WAF: ja, en plugin som Wordfence eller iThemes Security är bättre än ingenting
• Om hosten har WAF (som WF SecurityCloud): en säkerhets-plugin lägger på ytterligare en nivå men dubblerar funktionalitet och kan påverka prestanda

Vår rekommendation: en bra WAF på serversidan + 2FA-plugin (t.ex. Wordfence Login Security, Two Factor) räcker för de flesta sajter. Du behöver inte ett tjockt all-in-one-säkerhetspaket om hosten gör sitt jobb.

Vad händer om min sajt blir hackad?

Om värsta scenariot inträffar — en hackad WordPress — så är detta arbetsordningen:

1. Ta sajten offline. Sätt en "tillfälligt stängd"-sida. Förhindrar att besökare påverkas och att malware sprids.
2. Identifiera attackvektorn. Gå igenom åtkomst-loggar, FTP-loggar, plugin-listor. Vad hände först?
3. Återställ från ren backup. Inte den senaste — den kan vara komprometterad. Hitta den senaste säkra backupen, ofta 1-3 dagar innan upptäckten.
4. Uppdatera allt. Core, alla plugins, alla teman. Ta bort plugins du inte använder.
5. Byt allt. Alla admin-lösenord, alla databas-lösenord, WordPress security keys (i wp-config.php).
6. Säkerhetsskanning. Verifiera att inga bakdörrar finns kvar med en manuell granskning.
7. Post-mortem. Hur kunde det här hända? Implementera preventiva åtgärder.

Att försöka "rensa" en hackad sajt utan återställning från backup är nästan alltid felval. Du missar ofta saker.

Räcker det med starka lösenord?

Nej. Lösenord är minimum, inte säkerhet. Modern WordPress-säkerhet kräver:

• Multi-faktor autentisering (2FA) på alla admin-konton
• Rate-limiting på inloggningssidan (begränsa antal försök per IP)
• IP-begränsning där möjligt (t.ex. admin endast från fasta IP)
• Separation mellan admin- och redaktörsroller — inte alla behöver vara administratörer
• Regelbunden granskning av användarkonton (ta bort gamla)

Är "wp-admin" på en hidden URL säkert?

Det är "security through obscurity" — det fungerar mot dumma bots som skannar standardsökvägar, men inte mot riktade attacker som kan hitta admin-URL via andra spår.

Dölj gärna admin-URL som ett extra lager (det blockerar bot-trafik och avlastar servern), men förlita dig inte på det som primär försvarslinje. 2FA + WAF + rate-limiting är mycket viktigare.

Vad är XML-RPC och bör det stängas av?

XML-RPC är ett gammalt API i WordPress som tillåter externa applikationer att kommunicera med sajten. Det används av Jetpack, mobilappen, pingbacks och vissa publiceringsverktyg.

Problemet: det är också den vanligaste vektorn för brute-force-attacker. Bots använder XML-RPC för att skicka tusentals login-försök i en enda HTTP-request, vilket bypasser många rate-limit-skydd.

Om du inte aktivt använder Jetpack, mobilappen eller pingbacks: stäng av det. Antingen via plugin (t.ex. "Disable XML-RPC") eller på server-/WAF-nivå. Vi gör det default på alla våra hostade WordPress-sajter.

Hur ofta ska jag ta backup?

Minimum: nattlig full backup. För sajter med transaktioner (e-handel, bokningar): kombinera med tätare databas-backups, t.ex. var 4:e timme.

Det viktigaste är inte hur ofta. Det är att backup testas regelbundet. En backup som inte kan återställas är en illusion. Vi rekommenderar månadsvis återställningstest till en separat miljö.

Behöver små sajter samma säkerhet som stora?

Ja. Bots väljer inte sajt baserat på storlek — de skannar systematiskt. En liten sajt utan skydd blir attackerad lika ofta som en stor; den är bara mindre intressant att rikta sig mot manuellt.

Säkerhetsbasnivån — WAF, backup, uppdateringar, 2FA — bör vara samma oavsett sajtens storlek. Skillnaden ligger i nivån av aktiv övervakning och incidentrespons.

Hur vi tänker

På Webbfabriken Cloud har vi WordPress-säkerhet som en del av WF SecurityCloud™: WAF-regler specifikt för vanliga WordPress-attacker, automatisk blockering av XML-RPC-missbruk, rate-limiting på wp-login.php, och övervakning av admin-aktivitet.

Plus att vi hanterar uppdateringar. Du behöver inte själv hålla koll på vilka plugins som har säkerhetsuppdateringar — det är vårt jobb.

Mer om WF SecurityCloud™ → · Se webbhotellpaketen →