Håll programvaran aktuell
Säkerhetsuppdateringar för WordPress, teman och plugins bör installeras snabbt. Ta bort sådant som inte används, eftersom inaktiva komponenter fortfarande kan innehålla sårbar kod.
Skydda inloggningen
Använd unika lösenord, tvåfaktorsautentisering och så få administratörer som möjligt. Begränsa inloggningsförsök och undvik standardnamn som admin.
Backup och övervakning
Automatisera backup till en extern plats och verifiera att den kan återställas. Övervaka filändringar, drift, nya användare och misstänkta inloggningar.
Säkra servermiljön
Använd HTTPS, aktuell PHP-version, rätt filbehörigheter och ett webbhotell som isolerar konton. Säkerhet är en kedja; ett plugin kan inte kompensera för en osäker server eller dåliga lösenord.
Säkerhet blir enklare när varje lager har en egen uppgift
Webbhotellet ansvarar för servermiljön, WordPress-kärnan och plugins behöver hållas uppdaterade, användarkonton behöver stark autentisering och backup ger återställningsförmåga. Ett företag kan dessutom ha brandvägg och övervakning som ytterligare lager. Om man vet vilket problem varje åtgärd löser blir det lättare att upptäcka luckor. En brandvägg ersätter exempelvis inte ett läckt administratörslösenord, och backup hindrar inte ett intrång men minskar konsekvenserna. Säkerhet fungerar bäst som flera oberoende hinder och en plan för vad som händer när ett av dem trots allt misslyckas. Undvik att behandla tekniska säkerhetsfunktioner som en engångsåtgärd.
Minska antalet saker som kan gå sönder eller utnyttjas
Varje installerat tema och plugin är kod som måste hållas aktuell.
Ta bort komponenter som inte används och välj tillägg från leverantörer som fortfarande underhåller dem. Ett enkelt system med få beroenden är lättare att uppdatera och felsöka än en installation med flera plugins för samma funktion. Säkerhet börjar alltså redan i arkitekturen: ju mindre onödig kod som körs, desto färre ställen behöver du bevaka.
Skydda de konton som kan göra mest skada
Administratörer ska vara få och använda unika lösenord samt tvåfaktorsautentisering.
Redaktörer och andra användare bör bara ha de behörigheter de faktiskt behöver. På så sätt begränsas konsekvensen om ett konto kapas. Glöm inte webbhotell, domänregistrar och e-post – åtkomst till dessa tjänster kan vara minst lika kraftfull som ett WordPress-konto. Dokumentera dessutom vem som äger varje administrativ inloggning så att gamla konton kan tas bort när personal eller leverantörer byts.
Backup och övervakning gör säkerhetsarbetet mer robust
Ingen skyddsåtgärd ger hundraprocentig garanti. Därför behöver du kunna upptäcka och återhämta dig från problem. Automatisera backup till en separat plats och testa återställning. Övervaka drift, filändringar och nya administratörer där det är rimligt. Om något avviker ska det finnas en enkel rutin för vem som agerar.
Ett säkerhetsplugin kan vara en del av lösningen, men det ersätter inte uppdateringar, bra behörigheter och en fungerande återställningsplan.
Behöver företaget en bättre hemsida?
Få ett tydligt förslag och fast pris
Vi bygger och förbättrar WordPress-hemsidor med fokus på tydlighet, prestanda, SEO och enkel förvaltning.
Snabb återkoppling
Hjälpte den här artikeln dig?
Din röst sparas anonymt och hjälper oss att förbättra guiderna.