De flesta intrång i WordPress beror inte på avancerade attacker. De beror på gamla tillägg, svaga lösenord och konton som ingen längre använder. Det betyder att du själv kan göra mycket.
Checklistan nedan bygger på WordPress egen guide för att härda en installation (göra den svårare att ta sig in i). Inget av stegen garanterar att sidan aldrig blir hackad, men tillsammans gör de det betydligt svårare.
1. Håll allt uppdaterat
Uppdateringar täpper ofta till kända säkerhetshål. WordPress dokumentation säger att du alltid bör köra den senaste versionen och att du ska uppdatera tillägg (plugins) och teman.
- Gå till Adminpanel → Uppdateringar och se vad som väntar.
- Slå på automatiska uppdateringar där det passar. Sedan WordPress 5.5 kan du göra det tillägg för tillägg och tema för tema.
- Ladda bara ner WordPress från wordpress.org och tillägg från källor du litar på, till exempel WordPress tilläggskatalog eller välkända företag.
Ta en backup innan större uppdateringar. Mer om hur du gör det säkert finns i guiden Hur ofta ska WordPress uppdateras?.
2. Starka lösenord och tvåstegsverifiering
Automatiserade program provar tusentals lösenord mot inloggningssidan. Det kallas brute force-attacker.
- Använd långa, unika lösenord eller lösenfraser. Undvik ditt namn, företagsnamnet, ordboksord och korta lösenord.
- Använd en lösenordshanterare, så slipper du komma ihåg dem.
- Slå på tvåstegsverifiering (2FA) för alla administratörer. Det betyder att man behöver en kod från mobilen utöver lösenordet. WordPress har inte 2FA inbyggt, så du behöver ett tillägg eller en inloggningstjänst som ger det.
- Använd inte användarnamnet admin. Det är det första en angripare gissar.
3. Färre administratörer
Varje administratörskonto är en möjlig väg in.
- Gå till Användare och filtrera på rollen Administratör.
- Ta bort eller nedgradera konton som tillhör personer som inte längre jobbar med sidan.
- Ge alla andra den lägsta roll de behöver, till exempel Redaktör eller Författare.
Om du tar bort en användare frågar WordPress vem som ska ta över innehållet. Välj ett befintligt konto så att inlägg och sidor inte försvinner.
4. Ta bort oanvända tillägg och teman
Ett avaktiverat tillägg ligger fortfarande kvar som filer på servern. WordPress hårdningsguide rekommenderar att du tar bort tillägg du inte använder.
- Gå till Tillägg och se vilka som är inaktiva.
- Ta en backup först.
- Ta bort de inaktiva tillägg du inte behöver.
- Gör samma sak under Utseende → Teman. Behåll det aktiva temat, och om du använder ett barntema även dess föräldratema.
Var också försiktig med tillägg som låter dig köra egen kod direkt från adminpanelen. Hårdningsguiden avråder från sådana.
5. Backup som går att återställa
En backup är din sista utväg om något ändå händer. WordPress rekommenderar att du säkerhetskopierar regelbundet, både filerna och databasen.
- Spara flera daterade versioner, inte bara den senaste.
- Förvara minst en kopia utanför webbhotellet.
- Prova att återställa någon gång. En backup du aldrig testat vet du inte om den fungerar.
6. Stäng av filredigeraren i adminpanelen
WordPress har en inbyggd redigerare för tema- och tilläggsfiler. Om någon kommer över ett administratörskonto kan den användas för att lägga in skadlig kod.
Ta en backup först. Lägg sedan till den här raden i wp-config.php, ovanför raden som säger att du ska sluta redigera:
define( 'DISALLOW_FILE_EDIT', true );WordPress dokumentation påpekar att detta inte hindrar en angripare från att ladda upp skadliga filer, men att det kan stoppa vissa attacker.
7. Rätt filbehörigheter
Filbehörigheter styr vem som får läsa och ändra filerna på servern. WordPress anger som utgångspunkt 755 för mappar och 644 för filer. Filen wp-config.php, som innehåller databaslösenordet, kan ofta låsas hårdare så att bara du och webbservern kan läsa den.
Vilka inställningar som fungerar beror på hur webbhotellet är uppsatt. Fel behörigheter kan göra att sidan slutar fungera eller att uppdateringar misslyckas. Fråga webbhotellet eller ta hjälp om du är osäker.
8. HTTPS hela vägen
HTTPS krypterar trafiken mellan besökaren och servern, så att lösenord inte skickas i klartext. WordPress hårdningsguide beskriver krypterad anslutning som det starkaste skyddet för inloggningen. De flesta webbhotell erbjuder gratis SSL-certifikat.
Kontrollera under Inställningar → Allmänt att båda adresserna börjar med https://. Använd också SFTP i stället för vanlig FTP när du överför filer.
9. Skydda inloggningen
- Begränsa antalet inloggningsförsök. Det görs helst hos webbhotellet eller i en brandvägg framför sidan, men ett säkerhetstillägg kan också göra det.
- Begränsa eller stäng av XML-RPC om du inte använder det. Det är ett gränssnitt som ibland används för att gissa lösenord.
- Att byta adress till inloggningssidan kan minska mängden attacker, men WordPress dokumentation påpekar att det inte ska vara ditt enda skydd.
Vanliga misstag
- Att avaktivera i stället för att ta bort. Filerna ligger kvar.
- Att dela ett och samma administratörskonto. Ge varje person ett eget konto, så kan du ta bort det när personen slutar.
- Att bara ha backup på samma server. Om servern drabbas kan backupen också vara borta.
- Att tro att ett säkerhetstillägg räcker. Det är ett lager av flera, inte en ersättning för uppdateringar och starka lösenord.
När ska du ta hjälp?
Ta hjälp om du ska ändra filbehörigheter eller wp-config.php och inte är van vid det. Ta också hjälp om du ser tecken på att något redan har hänt, som okända administratörer, konstiga omdirigeringar eller filer du inte känner igen. Då räcker det inte att förebygga, sidan behöver saneras.
Behöver du hjälp?
Jag har jobbat med WordPress i över 15 år och kan ta hand om uppdateringar, backuper och säkerhet åt dig löpande. Läs mer om underhåll och drift. Det kostar från 1 200 kr/mån exkl. moms, och du godkänner omfattning och pris innan vi börjar.
