WordPress er verdens mest udbredte CMS og driver i dag en stor del af internettets websites. Populariteten gør dog også WordPress til et attraktivt mål for hackere. Mange angreb er ikke målrettede mod specifikke virksomheder, men sker automatisk gennem bots, der konstant scanner internettet efter sårbare websites.
Den gode nyhed er, at langt de fleste hacks kan undgås med relativt enkle sikkerhedstiltag. I denne guide gennemgår vi de vigtigste årsager til, at WordPress bliver hacket, hvilke sikkerhedsproblemer der er mest almindelige, og hvordan du beskytter dit website bedst muligt.
1. Hvorfor WordPress bliver hacket
De fleste WordPress-hacks skyldes ikke selve WordPress-kernen. WordPress bliver faktisk løbende opdateret og vedligeholdt af et stort sikkerhedsteam. Problemerne opstår typisk andre steder.
Automatiske angreb
Langt de fleste angreb udføres automatisk af bots. Disse bots scanner millioner af websites efter kendte sårbarheder i plugins, themes eller loginformularer.
Hvis et website har en kendt sårbarhed, kan botten automatisk udnytte den uden menneskelig indblanding.
Forældet software
Den mest almindelige årsag til hacks er:
- forældede plugins
- forældede themes
- gammel WordPress-version
Når en sikkerhedssårbarhed opdages, offentliggøres den ofte i databaser som WPScan eller CVE. Hackere kan derefter målrette angreb mod websites, der ikke er opdateret.
Svage adgangskoder
Loginforsøg via WordPress-login (/wp-login.php) er et af de mest almindelige angreb.
Bots forsøger tusindvis af kombinationer som:
- admin / admin
- admin / password
- admin / 123456
Hvis adgangskoden er svag, kan angriberen få fuld adgang til websitet.
Usikre plugins
WordPress har mere end 60.000 plugins. Kvaliteten varierer meget.
Problemer opstår især når:
- plugins ikke længere vedligeholdes
- plugins har sårbar kode
- plugins giver for mange rettigheder
2. De mest almindelige sikkerhedsproblemer
Her er de problemer, der oftest fører til kompromitterede WordPress websites.
Brute force login-angreb
Hackere forsøger gentagne gange at logge ind med forskellige adgangskoder.
Hvis loginforsøg ikke begrænses, kan en bot lave tusindvis af forsøg i minuttet.
Malware-injektion
Når et website først er kompromitteret, installerer angriberen ofte malware, der:
- sender spam
- omdirigerer besøgende til andre websites
- indsætter SEO-spam
- opretter skjulte administratorbrugere
File upload sårbarheder
Nogle plugins tillader upload af filer. Hvis disse ikke kontrolleres korrekt, kan en hacker uploade PHP-filer og dermed få serveradgang.
SQL injection
En SQL injection sker, når brugerinput ikke bliver korrekt filtreret, og angriberen kan manipulere databasen.
Det kan give adgang til:
- brugerdata
- administrator-login
- konfigurationsfiler
Cross-Site Scripting (XSS)
XSS-angreb gør det muligt at injicere JavaScript i websitet, som derefter udføres i besøgendes browser.
Dette kan bruges til at stjæle login-cookies eller manipulere indhold.
3. Sådan sikrer du dit WordPress website
En god WordPress-sikkerhedsstrategi består af flere lag. Ingen enkelt løsning beskytter mod alt.
Hold alt opdateret
Det vigtigste sikkerhedstiltag er:
- opdater WordPress
- opdater plugins
- opdater themes
Mange hacks sker måneder efter en sårbarhed er offentliggjort, fordi websites ikke bliver opdateret.
Brug stærke adgangskoder
Alle brugere med adgang til WordPress bør bruge:
- lange adgangskoder
- password manager
- unikke adgangskoder
Undgå generiske brugernavne som:
- admin
- administrator
Aktivér to-faktor-login
To-faktor-login betyder, at login kræver både adgangskode og en kode fra telefonen.
Selv hvis adgangskoden bliver lækket, kan hackeren ikke logge ind.
Begræns loginforsøg
Loginforsøg bør begrænses til f.eks.:
- 5 forsøg pr. IP-adresse
- midlertidig blokering efter fejl
Dette stopper brute force-angreb effektivt.
Fjern unødvendige plugins
Jo flere plugins et website har, jo større angrebsflade.
En god tommelfingerregel:
Installer kun plugins der er nødvendige.
4. De bedste sikkerhedsplugins
Der findes flere gode sikkerhedsplugins til WordPress. Her er nogle af de mest populære.
Wordfence
Wordfence er et af de mest brugte sikkerhedsplugins.
Det tilbyder:
- firewall
- malware scanning
- loginbeskyttelse
- IP-blokering
Sucuri Security
Sucuri fokuserer især på overvågning og malware scanning.
Funktioner inkluderer:
- filintegritetskontrol
- sikkerhedslogs
- malware scanning
- blacklist monitoring
iThemes Security
iThemes Security tilbyder mange forskellige sikkerhedsfunktioner samlet i ét plugin.
Eksempler:
- loginbeskyttelse
- to-faktor-login
- database backup
- ændring af login-URL
5. Hostingens rolle i WordPress sikkerhed
Hosting spiller en langt større rolle for sikkerheden end mange tror.
En god hostingløsning kan beskytte websitet før WordPress overhovedet bliver involveret.
Server firewall
En serverbaseret firewall kan blokere:
- brute force-angreb
- kendte hacker-IP’er
- mistænkelig trafik
Malware scanning
Professionel hosting overvåger ofte websites for malware og kompromitterede filer.
Automatiske opdateringer
Nogle hostingplatforme håndterer automatisk:
- WordPress-opdateringer
- sikkerhedsrettelser
Isolering mellem websites
På dårlige hostingplatforme kan ét kompromitteret website påvirke andre på samme server.
God hosting isolerer hvert website.
6. Backup strategi
Backup er dit sidste sikkerhedsnet.
Hvis et website bliver hacket eller går i stykker, kan en backup hurtigt gendanne siden.
Daglige backups
En god backupstrategi inkluderer:
- daglig backup
- backup af både filer og database
- opbevaring på ekstern server
Flere backupversioner
Det er vigtigt at gemme flere versioner.
Hvis et hack først opdages efter nogle dage, kan en backup allerede være kompromitteret.
Typisk anbefales at du gemmer:
- 7 daglige backups
- 4 ugentlige backups
- 3 månedlige backups
Test backups
En backup er kun værdifuld, hvis den kan gendannes.
Test derfor jævnligt restore-processen.
7. WordPress sikkerhedscheckliste
Her er en kort checkliste til bedre WordPress sikkerhed:
Grundlæggende sikkerhed
- Opdater WordPress løbende
- Opdater plugins og themes
- Fjern plugins der ikke bruges
- Brug stærke adgangskoder
Loginbeskyttelse
- Aktivér to-faktor-login
- Begræns loginforsøg
- Undgå brugernavnet “admin”
Hosting og server
- Brug en sikker hostingløsning
- Aktivér firewall
- Overvåg websitet for malware
Backup
- Daglig backup
- Backup gemt eksternt
- Flere backupversioner
Konklusion
WordPress er ikke usikkert. Problemet er oftest dårlig vedligeholdelse og manglende sikkerhedsrutiner.
Med regelmæssige opdateringer, stærke loginmetoder, gode backups og sikker hosting kan langt de fleste sikkerhedsproblemer undgås.
WordPress-sikkerhed handler ikke om ét værktøj, men om en samlet strategi, hvor flere lag af beskyttelse arbejder sammen.
Et sikkert website beskytter ikke kun din virksomhed, men også dine besøgende og din troværdighed online.