Sådan beskytter du din WordPress-hjemmeside mod hackere

Mange tror, at hackere kun går efter store virksomheder. Det troede jeg også, indtil jeg så login-loggen på en lille virksomheds hjemmeside. Der var hundredvis af mislykkede loginforsøg hver eneste dag, fra steder ejeren aldrig havde hørt om. Ingen var ude efter lige præcis den side. Robotter gennemsøger bare nettet og prøver alle døre, de kan finde.

WordPress sikkerhed er ikke magi. Det meste er helt basal WordPress-vedligeholdelse: opdateringer, gode adgangskoder og backup. I dette indlæg gennemgår jeg de vigtigste trin i et enkelt sprog. Mange af dem kan du klare selv på en eftermiddag.

Hvorfor går hackere efter WordPress-sider?

WordPress driver en stor del af alle hjemmesider. Det gør systemet til et populært mål. Hvis en hacker finder et hul i ét kendt plugin, kan det prøves af på tusindvis af sider på bare én nat.

De fleste angreb er automatiske. En robot finder et gammelt plugin eller en nem adgangskode og går lige ind. Bagefter kan den stjæle data, sende spam, skjule links på dine sider eller sende besøgende videre til dårlige sider. Små sider bliver også ramt, fordi mange går i flere måneder uden opdateringer.

Sådan bliver WordPress-sider hacket

Det er de mest almindelige veje ind:

• Gamle plugins og temaer. Forældet kode har ofte kendte sikkerhedshuller.
• Svage adgangskoder. Ting som “admin123” ses stadig alt for ofte.
• Brute force-angreb. Robotter gætter brugernavne og adgangskoder igen og igen.
• Piratkopierede temaer og plugins. Gratis kopier af betalte værktøjer skjuler ofte malware.
• Dårligt webhotel. En dårligt sat op server kan udsætte alle sider på den for risiko.
• Løse filrettigheder. Filer, som alle kan redigere, er nemme at ændre.
• Phishing. Nogen snyder dig til at skrive dit login på en falsk side.

Hold WordPress, plugins og temaer opdateret

Gammel software ligger bag mange hackede WordPress-sider. Derfor er opdateringer så vigtige. Når en udvikler retter en sikkerhedsfejl, kommer rettelsen som en opdatering. Detaljerne om fejlen bliver ofte offentlige på samme tid. Så hackerne ved præcis, hvad de skal lede efter på sider, der ikke er opdateret endnu.

Jeg forstår godt, at folk venter. Nogle gange kan en opdatering ødelægge noget, som designet eller en formular. Så tag en backup først, opdater, og klik dig igennem de vigtigste sider bagefter. Hvis du kan, så test opdateringerne på en kopi af siden, før de går live. En fast vedligeholdelse to gange om året er et fint minimum. Men får et af dine plugins en alvorlig sikkerhedsrettelse, så opdater tidligere.

Brug stærke adgangskoder og to-faktor login

Svage logins er en af de nemmeste veje ind. Disse vaner hjælper mest:

• Brug en unik adgangskode til hver konto.
• Gør hver adgangskode mindst 14 tegn lang.
• Brug en adgangskodemanager, så du ikke selv skal huske dem.
• Slå to-faktor godkendelse (2FA) til for alle administratorer.
• Brug ikke “admin” som brugernavn. Opret en ny administrator og slet den gamle.
• Giv hver person sit eget login. Del aldrig én konto.
• Fjern brugere, som ikke længere arbejder for dig.
• Giv kun den rolle, folk har brug for. En redaktør behøver ikke administratorrettigheder.

Vælg et sikkert webhotel og brug SSL

Dit webhotel er fundamentet under din side. Hvis serveren er svag, kan selv en perfekt WordPress-opsætning falde. Led efter et webhotel med firewall på serveren, malwarescanning, daglig backup og support, der faktisk svarer. Billigt er fint. Billigt uden sikkerhed bliver dyrt senere.

Du skal også have et SSL-certifikat, så din side kører på HTTPS. Det beskytter de data, der sendes mellem dine besøgende og serveren, som logindata og indtastninger i formularer. De fleste webhoteller giver dig et gratis i dag. Tjek også din PHP-version. Gamle versioner får ikke flere sikkerhedsrettelser, og det efterlader et hul.

Beskyt loginsiden

Som standard kan alle gå ind på dinside.dk/wp-admin og prøve at logge ind, så mange gange de vil. Det elsker robotter. Du kan bremse dem på disse måder:

• Begræns antallet af mislykkede loginforsøg.
• Bloker en IP-adresse efter nogle få fejlforsøg.
• Skift standardadressen til login med et plugin.
• Tilføj CAPTCHA til loginformularen.
• Slå filredigering fra i dashboardet.
• Log inaktive brugere ud efter et stykke tid.

Intet enkelt trin er perfekt. Men sammen gør de din side mere besværlig at angribe, og de fleste robotter går bare videre til en nemmere.

Tilføj et sikkerhedsplugin og en firewall

Et WordPress sikkerhedsplugin klarer en masse af det kedelige arbejde. Det scanner efter malware, blokerer dårlig trafik og giver besked, når filer ændrer sig. Wordfence, Sucuri og Solid Security er populære, og alle tre har gratis versioner.

En webapplikations-firewall (WAF) er også værd at kigge på. Den står foran din side og stopper mistænkelige forespørgsler, før de når WordPress. Nogle plugins har en indbygget, og tjenester som Cloudflare tilbyder også en. Installer ikke fem sikkerhedsplugins på samme tid. De kan komme i konflikt og gøre siden langsom. Konflikter er også en af grundene til, at et plugin ikke virker efter en opdatering. Vælg ét og sæt det godt op.

Tag regelmæssigt backup

Ingen opsætning er 100 procent sikker, så du har brug for en WordPress-backup at falde tilbage på, hvis noget går galt. Nogle få regler:

• Tag backup af både filer og database.
• Gem en kopi uden for serveren, for eksempel i skyen.
• Kør backup dagligt på travle sider og ugentligt på rolige.
• Tag en frisk backup før hver opdatering.
• Gendan den hurtigt, hvis siden går ned bagefter.
• Test en gendannelse en gang imellem. En backup, du ikke kan gendanne, er ubrugelig.

Lås filer og indstillinger

Disse rettelser ligger lidt dybere. Hvis du ikke er tryg ved filer, så bed en udvikler om hjælp.

• Sæt mapper til 755 og filer til 644.
• Sæt wp-config.php til 440 eller 400.
• Tilføj nye sikkerhedsnøgler (keys og salts) i wp-config.php.
• Slå filredigering fra med define(‘DISALLOW_FILE_EDIT’, true);
• Bloker PHP i uploads-mappen.
• Skift databasepræfikset wp_ på nye installationer.
• Slet temaer og plugins, du ikke bruger.

Tjekliste til WordPress sikkerhed

Her er en enkel plan, du kan have liggende ved skrivebordet.

Tegn på, at din WordPress-side er hacke

Selv med gode vaner kan en side blive ramt. Jo før du opdager det, jo mindre skade sker der. Hold øje med disse tegn:

• Siden bliver pludselig meget langsom.
• Google viser en advarsel om, at siden kan være hacket.
• Du ser sider, links eller reklamer, du ikke selv har lagt ind.
• Besøgende bliver sendt videre til en anden hjemmeside.
• Du kan ikke logge ind, eller du finder administratorer, du ikke kender.
• Dit webhotel sender en meddelelse om malware eller spærring.
• Dine mails begynder at havne i spam.

Kan du genkende det, så skift dine adgangskoder og tjek dine backups først. Oprydning efter et hackerangreb er et andet job end almindelig vedligeholdelse, og det er bedst at overlade det til en specialist.

Det ville jeg gøre først, hvis det var min side

Jeg ville ikke prøve at rette alt på én gang. Jeg ville opdatere pluginsene, slå to-faktor login til, tjekke at der findes en backup og installere ét sikkerhedsplugin. De fire ting stopper de fleste automatiske angreb.

Bagefter ville jeg tage resten over nogle uger. Rydde op på loginsiden, tjekke filrettigheder og slette plugins, jeg aldrig bruger. Sikkerhed er en vane og ikke et engangsjob.

Vil du helst ikke selv tage dig af opdateringer og backup, tilbyder Winther Web en serviceaftale til det. Den indeholder backup, opdateringer af WordPress, plugins og tema samt en kontrol af de vigtigste sider, to gange om året. Har du spørgsmål om din egen side, kan du altid kontakte os.

Ofte stillede spørgsmål

Hvor ofte skal jeg opdatere min WordPress-hjemmeside?

Opdater, så snart du kan, helst inden for en uge eller to efter en udgivelse. Sikkerhedsrettelser er mest hastende. Tag altid en backup først, så du kan gå tilbage, hvis noget går i stykker.

Er et sikkerhedsplugin nok til at beskytte min side?

Nej. Et plugin hjælper, men det er kun ét lag. Du skal stadig have opdateringer, stærke adgangskoder, 2FA, backup og et ordentligt webhotel. Pluginet er mere en alarm end en lås.

Kan en lille hjemmeside virkelig blive hacket?

Ja. Hackere bruger robotter, der scanner tusindvis af sider på én gang. Robotterne er ligeglade med, om du har en stor webshop eller en lille blog. De leder bare efter nemme svage punkter.

Hvad skal jeg gøre først, hvis min side bliver hacket?

Skift alle dine adgangskoder, også til webhotel, FTP og database. Scan derefter siden, fjern ukendte brugere og gendan en ren backup, hvis du har en. Er du i tvivl, så spørg en specialist, før du ændrer mere.

Er gratis WordPress-temaer og plugins sikre?

Dem i den officielle WordPress.org-mappe er som regel fine, så længe de bliver opdateret ofte. De farlige er piratkopier af betalte værktøjer fra tilfældige sider. De skjuler ofte malware.