Hvordan forbedre sikkerheten i WordPress

Skrevet av Mats Fjellheim – UX-designer og frontend-utvikler i ITKOMET
Effektive tiltak for å beskytte nettsiden din

WordPress er verdens mest brukte publiseringsplattform og driver over 40 % av alle
nettsider. Nettopp derfor er WordPress også et attraktivt mål for hackere,
automatiserte angrep og skadevare.

Det betyr ikke at WordPress er usikkert i seg selv – tvert imot. De aller fleste
sikkerhetsbrudd skjer på grunn av manglende vedlikehold, svake innstillinger eller
dårlige rutiner.

I denne guiden viser vi deg konkrete og praktiske tiltak du kan gjøre for å forbedre
sikkerheten på WordPress-nettsiden din – både med og uten plugins.

Hvorfor er WordPress-sikkerhet viktig?

Blir nettsiden kompromittert, kan konsekvensene være store:

• Tap av innhold, data eller hele nettsiden
• Nedetid som koster omsetning og tillit
• Lekkasje av kundeinformasjon
• Svartelisting i Google
• Spredning av skadevare til besøkende

Sikkerhet er derfor ikke et engangstiltak – det er en pågående prosess.

1. Hold WordPress, temaer og plugins oppdatert

Oppdateringer tetter kjente sikkerhetshull. Utdaterte plugins og temaer er en av de
vanligste inngangsportene for angrep.

Tips:

• Aktiver automatiske oppdateringer der det er mulig
• Fjern det du ikke bruker

2. Bruk sikre innloggingsdetaljer

Unngå brukernavn som admin eller administrator, og sørg for
sterke passord.

Et godt passord bør:

• Være minst 12 tegn
• Inneholde store/små bokstaver, tall og symboler
• Ikke gjenbrukes andre steder

Passordhåndterere som
1Password eller
Bitwarden anbefales.

3. Aktiver tofaktorautentisering (2FA)

Tofaktorautentisering gir et ekstra sikkerhetslag ved innlogging.

Selv om noen får tak i passordet ditt, kommer de ikke inn uten engangskoden.

Populære løsninger:

• Wordfence Login Security
• WP 2FA
• iThemes Security

4. Begrens innloggingsforsøk

WordPress tillater ubegrenset antall innloggingsforsøk som standard – noe som gjør
brute force-angrep mulig.

Bruk plugin for å:

• Begrense antall forsøk
• Midlertidig blokkere IP-adresser
• Varsle ved mistenkelig aktivitet

Flere av pluginene nevnt over kan også brukes til dette.

5. Endre standard innloggings-URL

Alle WordPress-nettsteder bruker som standard:

/wp-admin
/wp-login.php

Ved å endre dette reduserer du automatiserte angrep betydelig.

Plugins:

• WPS Hide Login
• Change wp-admin Login

6. Fjern ubrukte temaer og plugins

Selv inaktive plugins kan inneholde sårbarheter.

• Slett alt du ikke bruker
• Behold kun ett aktivt tema + ett standardtema

7. Ta regelmessige sikkerhetskopier

Backup er siste skanse hvis noe går galt.

En god backup-strategi:

• Daglige eller ukentlige backups
• Lagres utenfor serveren
• Kan gjenopprettes raskt

Plugins:

• UpdraftPlus
• All-in-One WP Migration
• BlogVault

Tekniske sikkerhetstiltak (uten plugins)

Disse punktene krever litt teknisk forståelse. Er du usikker, anbefaler vi å få hjelp.

Deaktiver filredigering i admin

define('DISALLOW_FILE_EDIT', true);

Beskytt viktige filer med .htaccess

<Files *.php>
deny from all
</Files>

Skjul WordPress-versjon

remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

Avslutning

WordPress-sikkerhet handler ikke om én magisk løsning, men om gode rutiner,
oppdateringer og bevisste valg.

Jo tidligere du tar sikkerhet på alvor, desto mindre risiko tar du – både for deg
selv og brukerne dine.

Ønsker du hjelp med:

• Sikkerhetsoppsett
• Opprydding etter hacking
• Løpende drift og vedlikehold

ITKOMET hjelper deg gjerne.

Ta kontakt, så ser vi på nettsiden din sammen.