De fleste innbrudd på nettsider skjer ikke med avansert hacking, men gjennom svake passord og utdaterte utvidelser. Her er seks tiltak som gjør WordPress-nettsiden din sikrere.
Oktober 2026 ble en travel måned for alle som jobber med nettsikkerhet. Da ble PHP2Shell kjent: to kritiske sårbarheter i PHP, programmeringsspråket WordPress er laget i. PHP brukes av rundt sju av ti nettsteder der vi vet hvilket programmeringsspråk de bruker (W3Techs). Rettelsen kom 21. oktober, og sårbarhetene ble raskt utnyttet i angrep (BleepingComputer).
Slike hendelser får mye oppmerksomhet, og det med god grunn. Men for de fleste nettsider er truslene mer hverdagslige. Det er faktisk gode nyheter, for dem kan du gjøre noe med.
1. Bruk sterke og unike passord
Den beste tekniske beskyttelsen hjelper lite hvis noen logger inn med et passord som er lett å gjette. Mange innbrudd skjer fortsatt på denne måten. Et annet problem er passord som brukes flere steder. Lekker passordet fra en nettbutikk, prøver angriperne det samme passordet på nettsiden din.
Sørg for at alle som logger inn, bruker et langt passord som bare brukes på nettsiden. En passordbehandler som 1Password eller Bitwarden gjør jobben enkel: Den lager passordene og husker dem for deg.
2. Innfør tofaktorinnlogging (2FA)
Tofaktorinnlogging betyr at du bekrefter innloggingen på to måter: med noe du vet, som passordet, og noe du har, som mobilen. Et lekket passord er da ikke nok til å komme inn.
Bekreftelsen er som regel en engangskode. Koden kan komme fra en app på mobilen eller fra passordbehandleren du allerede bruker. Mange passordbehandlere fyller inn koden automatisk, så innloggingen tar nesten like kort tid som før.
WordPress har ikke tofaktorinnlogging innebygd. Det må legges til med en utvidelse og settes opp riktig. Vi anbefaler at det blir påkrevd for alle med administratortilgang. Av alle tiltakene i denne artikkelen er dette det som gir mest sikkerhet for innsatsen.
3. Rydd i brukerne
Hvem har tilgang til nettsiden din i dag? Svaret overrasker ofte. Tidligere ansatte, et byrå dere sluttet å bruke for tre år siden, en sommervikar som skulle oppdatere én side.
Gå gjennom brukerlisten jevnlig og:
- fjern brukere som ikke lenger trenger tilgang
- gi bare administratortilgang til dem som virkelig trenger det
- gi de andre en rolle som passer jobben, for eksempel redaktør eller forfatter
Hver bruker er en mulig vei inn. Jo færre veier, jo bedre.
4. Hold utvidelser og tema oppdatert
Sikkerhetsselskapet Patchstack registrerte over 11 000 nye sårbarheter i WordPress-økosystemet i 2025. Rundt ni av ti lå i utvidelser, ikke i selve WordPress (Patchstack). Mange hostingleverandører oppdaterer WordPress og PHP automatisk, men ikke utvidelsene og temaet. Den jobben må noen ta.
Fjern også utvidelser dere ikke bruker. Det som ikke er installert, kan ikke angripes. Vi har skrevet mer om dette i artikkelen En utdatert nettside er en sikkerhetsrisiko.
5. Ikke gå på falske e-poster
Svindlere sender e-poster som ser ut til å komme fra WordPress, hostingleverandøren eller byrået ditt. Ofte står det at kontoen er sperret, eller at noe må fornyes. Lenken går til en falsk innloggingsside.
En god regel: Gi aldri fra deg innloggingen din i en e-post eller via en lenke i en e-post. Er du i tvil, logg inn som du pleier, eller ring oss.
6. Ta sikkerhetskopi, og sjekk at den virker
En sikkerhetskopi er livsforsikringen til nettsiden. Går noe galt, kan du rulle tilbake til en versjon som virket. Ta sikkerhetskopi før hver oppdatering, og sjekk av og til at den faktisk lar seg gjenopprette. En sikkerhetskopi ingen har testet, er et håp, ikke en plan.
Har du fått en skremmende sikkerhetsrapport?
Flere bedrifter får nå tilsendt «sikkerhetsrapporter» om nettsiden sin fra tjenester som bruker automatiske, ofte KI-genererte, skanninger. Rapportene ser alvorlige ut, med røde varsler og ord som «kritisk». Når vi går gjennom dem, ser vi at mye ikke stemmer. Mange funn er antakelser basert på overfladiske tegn. De tar heller ikke hensyn til beskyttelsen som allerede finnes hos hostingleverandøren.
Å lete etter sårbarheter på andres nettside uten tillatelse kan dessuten regnes som et angrepsforsøk. Seriøse sikkerhetstester skjer etter avtale med eieren og hostingleverandøren.
Har du fått en slik rapport? Ikke la deg skremme, og ikke svar avsenderen. Send den heller til den som drifter nettsiden din.
Vil du ha enda mer beskyttelse?
For nettsider med mye trafikk, innlogging eller skjemaer kan det lønne seg å gå et steg videre:
- Brannmur for nettsider (WAF) stopper ondsinnet trafikk før den når nettsiden.
- DDoS-beskyttelse hindrer at nettsiden blir slått ut av store mengder falsk trafikk.
- Sikkerhetsheadere er innstillinger som styrer hva nettleseren får laste inn på nettsiden. De stopper flere vanlige angrep.
Slike tiltak må tilpasses hver enkelt nettside, fordi de kan påvirke innhold fra andre tjenester, som videoer, kart og skjemaer.
Ofte stilte spørsmål
Nei. WordPress er like sikkert som måten det blir driftet på. De fleste problemene kommer fra utdaterte utvidelser, svake passord og for mange brukere med for mye tilgang.
Tofaktorinnlogging (2FA) betyr at du må bekrefte innloggingen med noe mer enn passordet, som regel en engangskode fra en app eller en passordbehandler. Et stjålet passord er da ikke nok til å komme inn.
Så ofte som mulig, og minst én gang i måneden. Kritiske sikkerhetshull bør tettes samme dag som rettelsen kommer.
Å teste andres nettside uten tillatelse kan regnes som et angrepsforsøk. Seriøse sikkerhetstester gjøres alltid etter avtale med eieren.
Vil du ha hjelp?
Med en vedlikeholdsavtale holder vi nettsiden din oppdatert, overvåker den og tetter kjente sikkerhetshull. Vi hjelper deg også gjerne med tofaktorinnlogging og brukeropprydding. Ta kontakt med oss, så tar vi en prat.
Kilder
- W3Techs: Usage statistics of PHP for websites
- BleepingComputer: CISA confirms PHP2Shell vulnerabilities now exploited in attacks
- Patchstack: State of WordPress Security in 2026