5 forslag til bedre WordPress sikkerhed
WordPress-sikkerhed behøver ikke være kompliceret, men det er heller ikke noget, man bør ignorere. En WordPress-hjemmeside består typisk af WordPress selv, et tema og en række plugins, og alle dele skal holdes opdaterede og ordentligt sikret.
Det vigtigste er derfor ikke at gå rundt og være nervøs for hackere, men at få styr på de grundlæggende ting. For de fleste hjemmesider kommer man allerede langt med gode adgangskoder, løbende opdateringer, backup og lidt ekstra beskyttelse omkring login.
Et relevant WordPress sikkerhedsplugin kan også være en del af løsningen, men et plugin kan ikke stå alene. Sikkerhed handler om flere lag, der tilsammen gør det sværere at få uautoriseret adgang – og lettere at komme videre, hvis noget alligevel går galt.
Fem gode steder at starte er:
Brug stærke og unikke adgangskoder: Undgå genbrug af adgangskoder og de helt oplagte varianter. “123456” har trods alt haft sin storhedstid.
Aktivér totrinsgodkendelse: Et ekstra trin ved login gør det markant sværere at få adgang, selv hvis en adgangskode bliver kompromitteret.
Hold WordPress, plugins og temaer opdaterede: Mange sikkerhedsproblemer opstår i kendte sårbarheder, som allerede er rettet i nyere versioner.
Tag regelmæssig backup: En god backup gør det muligt at gendanne hjemmesiden, hvis en opdatering fejler, filer bliver beskadiget, eller siden bliver kompromitteret.
Beskyt administrationen: Begræns adgangen, fjern gamle brugere og sørg for, at administratorrettigheder kun gives til dem, der faktisk har brug for dem.
Lad os se nærmere på de fem områder og på, hvad du konkret kan gøre for at holde din WordPress-hjemmeside sikker, stabil og lidt mindre interessant for dem, der ikke har noget at gøre der.
Slip for besværet!
Lav en aftale om opdatering og backup – få ro på, til at lave det du synes er spændende, og lad mig om at håndtere det kedelige.
Hold WordPress opdateret
Noget af det mest grundlæggende, du kan gøre for din WordPress-sikkerhed, er også noget af det mindst spændende: Hold tingene opdateret.
WordPress, plugins og temaer bliver løbende opdateret med nye funktioner, fejlrettelser og sikkerhedsrettelser. Hvis en kendt sårbarhed bliver rettet i en ny version, hjælper det derfor ikke meget, hvis din hjemmeside stadig kører på den gamle.
Det betyder ikke, at du nødvendigvis skal sidde klar ved skærmen, hver gang der dukker en lille rød notifikation op i WordPress. Men du bør have en fast rutine for opdateringer – og vide, at de rent faktisk bliver gennemført.
Automatiske opdateringer kan hjælpe
WordPress kan automatisk opdatere både selve WordPress og udvalgte plugins og temaer. Det kan være en god løsning, især på mindre hjemmesider, hvor opsætningen er forholdsvis enkel.
Automatiske opdateringer er dog ikke helt det samme som vedligeholdelse.
En opdatering kan i sjældne tilfælde give konflikter mellem WordPress, temaet eller et plugin. Derfor er det en god idé at kombinere automatiske opdateringer med backup og løbende kontrol af, at hjemmesiden stadig fungerer, som den skal.
Kort sagt: Automatisk er praktisk. Automatisk og kontrolleret er bedre.
Ryd op i plugins og temaer
Plugins og temaer, du ikke længere bruger, har sjældent nogen grund til at ligge installeret.
Gennemgå derfor hjemmesiden med jævne mellemrum:
Slet plugins, du ikke bruger. De gør ikke hjemmesiden bedre af bare at ligge der.
Installer fra troværdige kilder. Brug WordPress’ officielle bibliotek eller etablerede udviklere.
Se på vedligeholdelsen. Et plugin, der ikke er blevet opdateret i meget lang tid, fortjener et ekstra kig.
Fjern gamle temaer. Behold eventuelt et WordPress-standardtema som reserve, men der er normalt ingen grund til at samle på dem.
Jo færre unødvendige komponenter hjemmesiden består af, desto mindre er der også at holde øje med.
Og ja – husk backup
Selv en godt vedligeholdt hjemmeside kan få problemer. En opdatering kan fejle, en server kan få problemer, eller noget kan blive ændret ved en fejl.
Derfor er backup en vigtig del af WordPress-sikkerheden.
En backup er dog først rigtig nyttig, når den kan gendannes. Sørg derfor for, at backup bliver taget regelmæssigt, opbevares et sikkert sted og ikke kun eksisterer som en funktion, nogen aktiverede for tre år siden og siden har glemt.
Beskyt WordPress-login med totrinsgodkendelse
Et brugernavn og en adgangskode er normalt første forsvar omkring administrationen af din hjemmeside. Med totrinsgodkendelse – også kaldet 2FA – tilføjer du endnu et trin.
Når du logger ind, skal du både bruge din adgangskode og eksempelvis en kode fra en autentifikationsapp. Hvis nogen får fat i din adgangskode, er den derfor ikke nødvendigvis nok til at logge ind.
Det er en forholdsvis enkel måde at gøre især administrator- og redaktørkonti bedre beskyttet.
Sådan kommer du i gang med 2FA
Der findes flere WordPress-sikkerhedsplugins, som kan tilføje totrinsgodkendelse.
Opsætningen vil typisk se sådan ud:
Installer en løsning med 2FA. Det kan være en del af et større sikkerhedsplugin eller et plugin specifikt til totrinsgodkendelse.
Aktivér funktionen for relevante brugere. Start som minimum med administratorer.
Forbind en autentifikationsapp. Det sker normalt ved at scanne en QR-kode.
Gem dine gendannelseskoder. De kan bruges, hvis du mister adgang til telefonen eller autentifikationsappen.
Og gem ikke gendannelseskoderne i en tekstfil på skrivebordet med navnet wordpress-koder.txt. Det ville være lidt at arbejde imod formålet.
Hvorfor er 2FA værd at bruge?
Totrinsgodkendelse beskytter især mod situationer, hvor en adgangskode bliver stjålet, genbrugt eller gættet.
Det kan blandt andet gøre en forskel ved:
forsøg på automatiserede login
lækkede adgangskoder
genbrug af adgangskoder fra andre tjenester
kompromitterede brugeroplysninger
Det kræver et ekstra trin, når du logger ind. Til gengæld er det et af de steder, hvor en lille praktisk ændring kan give et fornuftigt ekstra sikkerhedslag.
Brug en firewall til WordPress
En firewall kan filtrere trafik, før den får lov til at interagere med din hjemmeside. Den kan blandt andet bruges til at blokere kendt skadelig trafik, mistænkelige forespørgsler og gentagne angrebsforsøg.
Der findes forskellige typer firewalls til WordPress. Nogle ligger som en del af et sikkerhedsplugin på selve hjemmesiden, mens andre fungerer som en cloudbaseret tjeneste foran hjemmesiden.
Forskellen er ikke kun teknisk. En ekstern firewall kan eksempelvis stoppe uønsket trafik, før den når frem til din webserver.
Hvad kan en firewall hjælpe med?
Afhængigt af løsningen kan en firewall blandt andet:
blokere kendt skadelig trafik
filtrere mistænkelige forespørgsler
begrænse automatiserede angrebsforsøg
registrere usædvanlige trafikmønstre
bidrage til beskyttelse mod store mængder uønsket trafik
En firewall løser ikke alle sikkerhedsproblemer, men den kan være et vigtigt lag i en samlet sikkerhedsopsætning.
Hvilken firewall skal du vælge?
Det afhænger blandt andet af hjemmesidens størrelse, hosting og hvor meget du selv ønsker at administrere.
Se eksempelvis på:
om firewallen ligger på hjemmesiden eller foran serveren
hvilke typer trafik og angreb den filtrerer
hvor meget konfiguration den kræver
om der er logging og mulighed for at se, hvad der bliver blokeret
hvilken support der følger med løsningen
En firewall skal helst beskytte hjemmesiden uden samtidig at blokere almindelige besøgende eller funktioner, der faktisk skal virke.
Vælg det rigtige sikkerhedsplugin
Et sikkerhedsplugin kan samle flere sikkerhedsfunktioner ét sted. Det kan eksempelvis være scanning efter malware, loginbeskyttelse, firewall, overvågning og registrering af ændringer.
Men flere sikkerhedsplugins er ikke nødvendigvis lig med mere sikkerhed.
To plugins, der begge forsøger at kontrollere de samme ting, kan skabe konflikter, gøre administrationen mere besværlig og i værste fald påvirke hjemmesidens funktion.
Vælg derfor en løsning ud fra det, du faktisk har brug for.
Eksempler på WordPress-sikkerhedsplugins
Der findes flere etablerede løsninger, blandt andet:
Wordfence Security – blandt andet firewall, malware-scanning og loginbeskyttelse.
Sucuri Security – overvågning, scanning og forskellige sikkerhedsfunktioner.
Solid Security – tidligere kendt som iThemes Security og med fokus på blandt andet login og generel WordPress-hardening.
All-In-One Security – samler en række sikkerheds- og loginfunktioner i ét plugin.
Hvilket plugin der passer bedst, afhænger af hjemmesiden og den øvrige tekniske opsætning. Det vigtigste er ikke at have det plugin med den længste liste af funktioner. Det vigtigste er, at de relevante funktioner er sat rigtigt op.
Funktioner, der kan være relevante
Når du sammenligner WordPress-sikkerhedsplugins, kan du blandt andet se efter:
malware-scanning
beskyttelse af login
totrinsgodkendelse
firewall
aktivitets- og sikkerhedslog
overvågning af filændringer
blokering eller begrænsning af gentagne loginforsøg
Hvad du har brug for, afhænger af hjemmesiden. En lille firmaside og en stor WooCommerce-butik har ikke nødvendigvis samme risikoprofil eller behov.
Vælg plugins og temaer med lidt omtanke
Plugins er noget af det, der gør WordPress fleksibelt. Du kan tilføje næsten enhver funktion uden selv at skulle udvikle den fra bunden.
Det betyder til gengæld også, at du installerer kode fra andre udviklere på din hjemmeside.
Derfor giver det mening at være lidt kritisk, inden du trykker på Installer nu.
Se på mere end funktionen
Et plugin kan løse præcis det problem, du har, men se også på hvem der står bag det.
Undersøg eksempelvis:
hvornår pluginet senest er blevet opdateret
om det ser ud til at blive aktivt vedligeholdt
om det er kompatibelt med nyere versioner af WordPress
hvordan supporten fungerer
om udvikleren eller virksomheden bag virker etableret
om pluginet stadig er nødvendigt
Det samme gælder temaer.
Hold dem opdaterede
Når du først har installeret et plugin eller tema, skal det også vedligeholdes.
Sikkerhedsproblemer bliver løbende fundet og rettet, og derfor er en gammel version ikke nødvendigvis bare “den version, der stadig virker”. Den kan også indeholde fejl eller sårbarheder, som allerede er kendt og rettet i en nyere udgave.
Opdateringer bør derfor være en del af den almindelige drift af hjemmesiden.
Færre plugins kan give bedre overblik
Der er ikke noget bestemt antal plugins, som automatisk er for mange.
Ti dårlige plugins kan være et større problem end 40 gode og aktivt vedligeholdte plugins.
Men hvert plugin tilfører kode, funktioner og noget, der fremover skal vedligeholdes. Derfor bør der være en grund til, at det er installeret.
Hvis et plugin ikke længere bliver brugt, så fjern det. Det giver både et bedre overblik og en mindre teknisk overflade at holde styr på.
WordPress-sikkerhed er løbende vedligeholdelse
Der findes ikke én indstilling, ét plugin eller ét flueben, der gør en WordPress-hjemmeside “sikker”.
God WordPress-sikkerhed består af flere forholdsvis enkle ting, der fungerer sammen: opdateringer, gode adgangskoder, totrinsgodkendelse, backup, relevante sikkerhedsværktøjer og lidt almindelig oprydning.
Det vigtigste er derfor ikke at gøre hjemmesiden til en digital fæstning. Det er at have styr på de grundlæggende ting og sørge for, at nogen rent faktisk holder øje med dem.
Det er som regel både mere effektivt og betydeligt mindre dramatisk.
Slip for besværet!
Lav en aftale om opdatering og backup – få ro på, til at lave det du synes er spændende, og lad mig om at håndtere det kedelige.