Sikkerhet i WordPress: slik sikrer du nettsiden din

Sikkerhet i WordPress handler om å gjøre det så vanskelig som mulig for angripere å komme inn på nettsiden din – og om å begrense skaden hvis de likevel gjør det. WordPress driver rundt 40 % av alle nettsteder i verden, og nettopp denne populariteten gjør plattformen til et attraktivt mål for automatiske angrep. Den gode nyheten er at de fleste innbrudd skyldes kjente og enkle svakheter som du selv kan lukke på en ettermiddag. Denne guiden går gjennom de viktigste tiltakene steg for steg, forklart for deg som ikke er utvikler.

At problemet ikke er nytt, så vi allerede for over et tiår siden: WP White Security publiserte en mye omtalt studie allerede i 2013 der de fant at 70 % av 42 000 undersøkte WordPress-sider kjørte en sårbar versjon. Siden den gang er WordPress blitt langt sikrere i kjernen, men antallet sårbarheter i økosystemet som helhet har bare økt – fordi antallet temaer og utvidelser (plugins) har eksplodert.

Hvorfor er sikkerhet i WordPress så viktig?

Fordi angrepene er automatiserte og rammer alle, uansett størrelse. Roboter skanner hele tiden internett etter kjente svakheter, og en liten bedriftsside er like interessant som en stor nettbutikk – ofte fordi en kapret side kan brukes til å sende spam, spre skadevare eller angripe andre.

Omfanget er betydelig. Ifølge sikkerhetsselskapet Patchstack ble det rapportert over 11 000 nye sårbarheter i WordPress-økosystemet i løpet av 2025, en økning på rundt 42 % fra året før. Året i forveien (2024) ble det registrert nær 7 966 sårbarheter, altså omtrent 22 i døgnet. En egen utfordring er at en stor andel av sårbarhetene blir offentlig kjent før utvikleren har rukket å lage en oppdatering – og kjente svakheter utnyttes gjerne i stor skala bare timer etter at de blir publisert.

Konsekvensene av et vellykket angrep kan være alvorlige: tapte data, nedetid, at Google svartelister siden, tap av tillit hos kundene og i verste fall lekkasje av personopplysninger. For norske virksomheter kan sistnevnte også utløse krav etter personvernregelverket (GDPR).

Hvor kommer sårbarhetene egentlig fra?

Svaret er tydelig: det store flertallet av sårbarhetene ligger i plugins, ikke i selve WordPress. Patchstack anslo at rundt 91 % av sårbarhetene i 2025 fantes i plugins, om lag 9 % i temaer, mens bare en håndfull (seks, alle med lav risiko) ble funnet i WordPress-kjernen. Bildet var likt i 2024, da om lag 96 % lå i plugins.

Dette har to praktiske konsekvenser for deg:

• Selve WordPress er sjelden problemet – kjernen er moden og godt vedlikeholdt, og sikkerhetsoppdateringer installeres i dag automatisk.
• Hver plugin og hvert tema du installerer øker angrepsflaten. Jo færre og bedre vedlikeholdte utvidelser du har, desto mindre er risikoen.

Med andre ord: god sikkerhet handler like mye om disiplin og opprydding som om tekniske triks.

Slik sikrer du WordPress – de viktigste tiltakene

Under går vi gjennom tiltakene i prioritert rekkefølge. Begynn øverst; de første punktene gir mest sikkerhet for minst innsats.

1. Hold WordPress, temaer og plugins oppdatert

Oppdateringer er det aller viktigste enkelttiltaket, fordi de fleste angrep utnytter svakheter som allerede er rettet i en nyere versjon. Nyeste stabile utgave er WordPress 7.1.x (7.1.3 kom i oktober 2026), og bare den nyeste utgaven i serien får sikkerhetsstøtte. Slå på automatiske oppdateringer for kjernen, og aktiver gjerne automatikk også for plugins og temaer du stoler på. Ta alltid en sikkerhetskopi før større oppdateringer. Trenger du hjelp, har vi en egen gjennomgang av hvordan du oppgraderer WordPress trygt.

2. Bruk sterke passord og tofaktorautentisering (2FA)

Et sterkt, unikt passord stopper de aller fleste automatiske innloggingsforsøk. Bruk minst 16 tegn med en blanding av store og små bokstaver, tall og symboler, og lagre passordene i en passordbehandler i stedet for å gjenbruke dem.

Tofaktorautentisering (2FA) er et ekstra lag: etter passordet må du også oppgi en engangskode. Selv om passordet lekker, kommer ikke angriperen inn. Rangert fra sikrest til minst sikker er metodene: maskinvarenøkler (for eksempel YubiKey), autentiseringsapper (Google Authenticator, Authy) og SMS-koder – SMS er svakest på grunn av såkalt SIM-bytte-svindel. Flere sikkerhetsplugins tilbyr 2FA innebygd.

3. Dropp «admin» som brukernavn og rydd i brukere

Halvparten av jobben for en angriper er å gjette brukernavnet. Bruker du «admin», har de allerede det. Opprett en ny administratorbruker med et unikt navn, logg inn med den, og slett den gamle «admin»-brukeren. Et godt ekstra grep er å skrive innlegg med en egen redaktørbruker uten administratorrettigheter, slik at det daglige brukernavnet ikke røper administratorkontoen. Gi hver bruker kun den rollen vedkommende faktisk trenger.

4. Begrens antall påloggingsforsøk

Standard WordPress lar hvem som helst prøve å logge inn uendelig mange ganger – ideelt for et «brute force»-angrep der roboten gjetter passord i det uendelige. Sett en grense, for eksempel lås kontoen i 20 minutter etter 3–5 mislykkede forsøk, med lengre låsing ved gjentatte forsøk. Dette gjøres enklest med en sikkerhetsplugin og avlaster samtidig serveren.

5. Installer en sikkerhetsplugin

En god sikkerhetsplugin samler brannmur, skadevareskanning og innloggingsbeskyttelse på ett sted. Et mye brukt og velrennomert alternativ er WordFence, som har over 5 millioner aktive installasjoner og kombinerer en brannmur som kjører på din egen server med en skanner som kan oppdage og reparere endrede filer. Lenger ned sammenligner vi flere alternativer. Ikke installer flere konkurrerende sikkerhetsplugins samtidig – det skaper konflikter.

6. Bruk HTTPS/SSL

Et SSL-sertifikat krypterer trafikken mellom besøkende og nettsiden, slik at blant annet passord ikke sendes i klartekst. Nettlesere merker i dag sider uten HTTPS som «ikke sikker». De fleste seriøse WordPress-hosting-leverandører tilbyr gratis SSL via Let’s Encrypt – pass på at det er aktivert og at hele siden lastes over https.

7. Ta regelmessige sikkerhetskopier

Sikkerhetskopier hindrer ikke angrep, men de er din livsforsikring når noe går galt. Sørg for automatiske kopier av både filer og database, lagret et annet sted enn selve serveren, og test at du faktisk klarer å gjenopprette en kopi. En fersk backup er forskjellen på én times nedetid og en ødelagt nettside.

8. Last ned temaer og plugins kun fra offisielle kilder

«Gratis» premium-temaer fra tilfeldige nettsteder er en klassisk måte å få skadevare inn på siden. Last alltid ned fra wordpress.org eller utviklerens egen offisielle side, og velg utvidelser som oppdateres jevnlig og har mange aktive installasjoner og gode vurderinger.

9. Beskytt wp-config.php og deaktiver filredigering

Filen wp-config.php inneholder databasepassord og nøkler og bør skjermes med riktige filrettigheter. I tillegg bør du slå av den innebygde kode-editoren i WordPress, slik at en angriper som likevel kommer inn ikke kan redigere plugin- og temafiler direkte. Det gjør du ved å legge denne linjen i wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );

10. Endre databaseprefikset og rydd bort det du ikke bruker

Standardprefikset på databasetabellene er wp_. Å bruke noe annet gir en liten ekstra beskyttelse mot enkelte automatiserte angrep (dette settes enklest ved installasjon). Minst like viktig: slett temaer, plugins og brukere du ikke bruker. Deaktiverte plugins oppdateres sjelden og kan fortsatt utnyttes – det er ingenting å spare på å la dem ligge.

Beskytt wp-login.php med .htaccess og .htpasswd

Et effektivt grep på servere med Apache er å legge et ekstra passord foran selve innloggingssiden, slik at roboter stoppes før de i det hele tatt når WordPress. Det beskytter mot brute force-angrep og avlaster serveren betydelig. Slik gjør du det:

1. Gå til htaccesstools.com sin htpasswd-generator og lag en linje med brukernavn og kryptert passord.
2. Opprett en ny fil via FTP i for eksempel rota av WordPress-installasjonen. Filen skal hete .htpasswd (husk punktum først, og ingen filendelse).
3. Lim inn linjen du fikk i punkt 1, og lagre.
4. Opprett (eller rediger) filen .htaccess i samme mappe, og legg inn følgende:

   AuthUserFile /home/username/.htpasswd
   AuthName "WP Admin"
   AuthType Basic
   <Files "wp-login.php">
   require valid-user
   </Files>

   Linjen med «AuthUserFile» skal peke til den fullstendige stien til .htpasswd-filen. Har du allerede en .htaccess-fil, legger du koden over det eksisterende innholdet.

5. Er alt korrekt, får nå alle som prøver å åpne innloggingssiden en passordboks først. Merk at løsningen kun fungerer på Apache-servere – bruker du Nginx, må det samme løses i serverkonfigurasjonen, eller via en sikkerhetsplugin.

Sammenligning av sikkerhetsplugins for WordPress

Det finnes mange sikkerhetsplugins, og de løser litt ulike oppgaver. Noen kjører brannmuren på din egen server (endepunkt), andre i skyen før trafikken når deg. Tabellen under gir en nøktern oversikt over utbredte alternativer, slik at du kan velge ut fra behov – ikke ut fra markedsføring. Du trenger som regel bare én av dem.

Vanlige feil folk gjør med WordPress-sikkerhet

De fleste innbrudd skyldes ikke avanserte angrep, men enkle forsømmelser. Her er de vanligste fellene:

• Utsetter oppdateringer. «Jeg oppdaterer senere» er den vanligste årsaken til at en kjent, rettet svakhet likevel blir utnyttet.
• Samler på plugins. Hver ubrukt eller forlatt plugin er en potensiell dør inn. Mange glemmer at deaktiverte plugins fortsatt ligger på serveren.
• Gjenbruker passord. Ett lekket passord fra en annen tjeneste blir ofte prøvd automatisk mot WordPress-innloggingen.
• Ingen sikkerhetskopi – eller en kopi som aldri er testet. En backup du ikke klarer å gjenopprette, er verdiløs.
• Tror en plugin alene er nok. En sikkerhetsplugin erstatter ikke oppdateringer, sterke passord og backup – den supplerer dem.
• «Gratis» premium-temaer fra uoffisielle kilder. En klassisk kilde til skjult skadevare.
• Billig delt webhotell uten isolasjon. På dårlige delte løsninger kan ett hacket nabonettsted smitte ditt. Velg seriøs drift av WordPress.

Hva gjør du hvis siden allerede er hacket?

Handle raskt og metodisk. Sett siden i vedlikeholdsmodus, bytt alle passord (WordPress, FTP, database og hosting-kontroll­panel), og kjør en full skadevareskanning. Gjenopprett fra en ren sikkerhetskopi fra før angrepet hvis du har en, og oppdater deretter alt. Finn og lukk inngangspunktet – ellers kommer angriperen rett tilbake. Er du usikker, bør du få profesjonell hjelp til å fjerne virus og malware på nettsiden, slik at du vet at alle bakdører faktisk er fjernet.

Hvem passer de ulike tiltakene for?

Alle WordPress-sider bør gjøre grunntiltakene: oppdateringer, sterke passord, 2FA, backup og en sikkerhetsplugin. Dette tar en nybegynner fint selv.

Jo mer kritisk nettsiden er for virksomheten din – nettbutikker, bookingløsninger, sider med kundedata – desto mer lønner det seg å legge til skybrannmur, overvåking og en fast vedlikeholdsavtale. Vil du slippe å følge med selv, tilbyr vi både profesjonell WordPress-sikkerhet og løpende drift, slik at oppdateringer, skanning og backup går av seg selv.

Vanlige spørsmål (FAQ)

Er WordPress egentlig trygt å bruke?

Ja. Selve WordPress-kjernen er moden og godt vedlikeholdt, og i 2025 ble det bare funnet seks sårbarheter i den, alle med lav risiko. Det store flertallet av svakheter ligger i tredjeparts plugins og temaer. En oppdatert WordPress med god grunnhygiene er trygt for de aller fleste.

Hva er det viktigste tiltaket for sikkerhet i WordPress?

Å holde alt oppdatert. De fleste angrep utnytter kjente svakheter som allerede er rettet i en nyere versjon. Slå på automatiske oppdateringer for kjernen, og oppdater plugins og temaer jevnlig. Kombiner det med sterke passord og regelmessige sikkerhetskopier.

Trenger jeg en betalt sikkerhetsplugin?

Som regel ikke i starten. Gratisversjonene av de store sikkerhetspluginene dekker brannmur, skanning og innloggingsbeskyttelse for en vanlig side. Betalte versjoner gir blant annet raskere oppdatering av angrepssignaturer og automatisk opprydding, noe som er relevant for nettbutikker og sider med mye trafikk eller sensitive data.

Hvor ofte bør jeg ta sikkerhetskopi av WordPress?

Det avhenger av hvor ofte innholdet endres. For en side som oppdateres daglig, bør du ta daglig kopi; for en statisk bedriftsside kan ukentlig holde. Oppdaterer du en nettbutikk kontinuerlig, bør kopiene tas enda oftere. Lagre kopiene et annet sted enn serveren, og test at de faktisk lar seg gjenopprette.

Hjelper det å skjule innloggingssiden?

Det hjelper litt, men er ikke nok alene. Å endre innloggings-URL-en eller legge et .htaccess-passord foran wp-login.php reduserer mengden automatiske angrep merkbart. Det erstatter likevel ikke sterke passord, tofaktorautentisering og begrensning av antall påloggingsforsøk, som stopper selve angrepet.