WordPress er sikkert, når det bliver passet. Typiske svagheder er forældede plugins, svage adgangskoder og for mange administratorer. Her er opsætningen og de typer plugins, der giver mest sikkerhed for indsatsen. Rådene bygger på WordPress’ egen vejledning i at sikre en installation (WordPress.org).
Opsætning: Gør det her først
- Opdatér WordPress, tema og plugins løbende. Gamle versioner får ikke sikkerhedsrettelser. Se WordPress opdateringsservice.
- Slet plugins og temaer, du ikke bruger. Også deaktiverede plugins er kode på serveren.
- Brug lange, unikke adgangskoder og en password manager.
- Slå totrinsbekræftelse til for alle med adgang til administrationen.
- Få administratorer. Giv redaktører og leverandører kun de rettigheder, de har brug for.
- Slå fil-redigering fra i administrationen med DISALLOW_FILE_EDIT i wp-config.php.
- Hent kun WordPress, temaer og plugins fra kendte kilder. Aldrig “gratis” kopier af betalingsplugins.
- Tag backup jævnligt, gem den et andet sted end hjemmesiden, og test gendannelsen. Se backup der virker.
- Brug HTTPS på hele hjemmesiden.
Fire typer plugins, der giver mening
- Login-beskyttelse: Begrænser antal loginforsøg og tilføjer totrinsbekræftelse.
- Firewall og malware-scanning: Blokerer kendte angreb og advarer om ændrede filer. Tjek, om dit webhotel allerede tilbyder det.
- Backup: Automatisk backup af database og filer til et eksternt sted.
- Spam-beskyttelse: På formularer og kommentarer.
Vælg få, velholdte plugins med mange aktive installationer og jævnlige opdateringer. Flere sikkerhedsplugins oven i hinanden kan give konflikter.
Når uheldet er ude
- Skift alle adgangskoder, også til webhotel og database.
- Gendan fra en ren backup.
- Opdatér alt, og fjern det, der blev misbrugt.
- Er der persondata involveret, kan det være et brud på persondatasikkerheden, som skal anmeldes. Se GDPR på hjemmesiden.
Ofte stillede spørgsmål
Er WordPress sikkert?
Ja, når det bliver vedligeholdt. Typiske svagheder er forældede plugins, svage adgangskoder og for mange administratorer.
Hvilke sikkerhedsplugins skal jeg bruge?
Typisk login-beskyttelse med totrinsbekræftelse, firewall og malware-scanning, backup og spam-beskyttelse. Vælg få og velholdte.
Hvad gør DISALLOW_FILE_EDIT?
Den slår muligheden for at redigere tema- og pluginfiler fra WordPress’ administration fra.
Hvad gør jeg, hvis min WordPress er hacket?
Skift alle adgangskoder, gendan fra en ren backup, opdatér alt, og vurdér, om der er tale om et brud på persondatasikkerheden.
