Kort svar: De tydeligste tegn på usikker hosting er, at ingen kan dokumentere, hvornår sidste backup blev taget og om den kan gendannes, at sitet kører på forældet PHP, og at der hverken er firewall, login-beskyttelse eller malware-scanning. Andre tegn er SSL-fejl, ustabil oppetid og infektioner, der vender tilbage. Ser du to eller flere af de ni tegn herunder, bør du undersøge både platform og udbyder.
Fagligt gennemgået: 2. oktober 2026
Usikker hosting ser ud til at virke fint – lige indtil sitet er nede, inficeret eller har mistet en uges ordrer. Tegnene viser sig som regel længe før, hvis du ved, hvor du skal kigge.
Her får du de 9 tegn på usikker hosting, en test, du selv kan køre på under en time, og en oversigt over, hvad du gør ved hvert tegn. Vil du i stedet vide, hvad du skal kræve af en ny udbyder, står kravene i guiden til sikker hosting.
Hvad er usikker hosting helt konkret?
Usikker hosting er hosting, hvor mindst ét af tre grundlag mangler: isolation, kryptering eller driftskontrol. For WordPress og WooCommerce betyder de tre ting typisk TLS 1.2 eller 1.3, firewall, malware-scanning og verificerbare backups, så både data, oppetid og performance er beskyttet.
I praksis består sikkerheden af flere lag. Trafik skal krypteres med HTTPS, servermiljøet skal være isoleret fra andre kunder, og der skal være aktiv overvågning af angreb, loginforsøg og filændringer. Når lagene spiller sammen, mindskes risikoen for både kompromittering og langvarig nedetid.
En udbredt misforståelse er, at et gyldigt SSL-certifikat gør løsningen sikker. Det gør kun forbindelsen krypteret. Hvis serveren er dårligt isoleret, PHP er forældet, eller backup ikke kan gendannes, er sitet stadig sårbart.
Hvorfor er usikker hosting et direkte problem for drift, SEO og GDPR?
Usikker hosting rammer både omsætning og tillid. Google, Chrome og betalingsløsninger reagerer hurtigt på malware, SSL-fejl og ustabil drift, og det kan koste trafik, konverteringer og i værste fald føre til et brud på persondatasikkerheden.
Oppetid er et godt eksempel. 99,9 % lyder højt, men svarer stadig til cirka 8,8 timers nedetid om året. 99,95 % reducerer det til cirka 4,4 timer, mens 99,99 % er omkring 52,6 minutter. Hvis du driver webshop, er forskellen mærkbar.
SEO påvirkes også. Høj TTFB, ustabil serverrespons og malware-advarsler kan skade synligheden i søgeresultaterne. Hvis Google Safe Browsing markerer dit site, viser browseren en advarsel, og de fleste besøgende vender om med det samme.
Behandler du persondata, bliver hosting også en GDPR-disciplin. Adgangskontrol, logning, backup og dataplacering skal kunne dokumenteres, og et brud på persondatasikkerheden skal som udgangspunkt anmeldes til Datatilsynet inden for 72 timer.
Hvad bør du spørge en hostingudbyder om?
Nogle udbydere er tydeligere bygget til sikker drift end andre, men logoet siger ikke meget. Det er arkitekturen og rutinerne bag, der afgør sikkerheden. Stil derfor de samme spørgsmål til alle udbydere, du overvejer – også din nuværende:
- Er mit site isoleret fra andre kunders sites på serveren?
- Hvilken firewall (WAF) og hvilken malware-scanning kører der, og hvem reagerer på fund?
- Er der beskyttelse mod brute force og rate limiting på login?
- Hvor ofte tages der backup, hvor længe gemmes den, og kan jeg selv gendanne?
- Hvilke PHP-versioner understøttes, og hvor hurtigt patches serverens software?
- Hvordan håndteres DDoS-angreb?
- Hvor står serverne, og kan I indgå en databehandleraftale?
- Hvor hurtigt svarer supporten, og er den tilgængelig uden for kontortid?
Hvis en udbyder ikke kan svare præcist på de punkter, er det i sig selv et signal. Til sammenligning kan du se, hvad vi selv tilbyder på WordPress hosting og WooCommerce hosting: LiteSpeed-servere med NVMe i Europa, daglig og manuel backup med selvbetjent gendannelse, gratis SSL, dansk support 24/7 og gratis migrering.
De 9 tegn på usikker hosting
Symptomerne er som regel synlige længe før et egentligt brud. Google Safe Browsing, Chrome-advarsler og gentagne malwarefund er ikke småfejl, men tegn på, at hostingmiljøet mangler basal sikring.
Hvis du ser to eller flere af disse tegn samtidig, bør du undersøge både platform og udbyder med det samme:
- Browseren viser “Ikke sikker”: Dit SSL-certifikat mangler, er udløbet eller er sat forkert op.
- Du får gentagne SSL- eller TLS-fejl: Certifikatkæden, HSTS eller protokollerne er svagt konfigureret.
- Høj TTFB og ustabile svartider: Det tyder ofte på overfyldte eller dårligt vedligeholdte servere.
- Oppetiden svinger mærkbart: Hyppige småafbrydelser er ofte værre end ét stort nedbrud, fordi de er sværere at opdage og koster SEO.
- Google eller Chrome advarer mod malware: Det er et kritisk rødt flag, ikke en midlertidig fejl.
- Du oplever spam, redirects eller ukendte filer: Reinfektion peger tit på manglende serverisolering eller utilstrækkelig scanning.
- PHP, database eller kontrolpanel er forældet: Uden patching bliver kendte sårbarheder stående åbne. PHP 8.1 og ældre får ikke længere sikkerhedsopdateringer, så sitet bør køre PHP 8.3 eller 8.4.
- Der findes ingen tydelig WAF eller login-beskyttelse: Uden rate limiting og brute force-beskyttelse er WordPress lettere at misbruge.
- Backup findes kun på papir: Hvis gendannelsen ikke er testet, har du ikke et reelt sikkerhedsnet.
Tip: Kig ikke kun på forsiden. Mange kompromitterede sites ser normale ud, mens skadelig kode ligger i cronjobs, uploads eller databasetabeller.
Hvad gør du ved hvert tegn?
Et tegn er først noget værd, når du kender næste skridt. Tabellen viser, hvad du selv kan tjekke på få minutter, og hvornår det er udbyderen, der skal levere et svar.
| Tegn | Tjek selv | Næste skridt |
|---|---|---|
| “Ikke sikker” i browseren | Klik på ikonet ved adressen, og se certifikatets udløbsdato | Forny eller genudsted certifikatet. Guiden til udløbet SSL-certifikat viser hvordan |
| Gentagne SSL- eller TLS-fejl | Kør domænet gennem SSL Labs | Bed udbyderen slå TLS 1.0 og 1.1 fra og rette certifikatkæden |
| Høj TTFB og ustabile svartider | Mål svartiden med vores gratis servertest | Er serverens behandlingstid høj uden cache, ligger problemet hos hostingen |
| Svingende oppetid | Sæt overvågning op i 7–14 dage | Send loggen til udbyderen, og bed om en forklaring på hvert udfald |
| Malware-advarsel fra Google eller Chrome | Se rapporten Sikkerhedsproblemer i Google Search Console | Rens sitet, før du gør andet – se guiden til en hacket WordPress hjemmeside |
| Spam, redirects eller ukendte filer | Led efter administratorer og filer, du ikke kender | Skift alle adgangskoder, og bed udbyderen bekræfte, at kontoen er isoleret |
| Forældet PHP, database eller kontrolpanel | Se PHP-versionen under Værktøjer → Webstedssundhed i WordPress | Skift til PHP 8.3 eller 8.4 efter test på staging |
| Ingen WAF eller login-beskyttelse | Spørg udbyderen, hvad der stopper gentagne loginforsøg | Slå totrinslogin til, og kræv rate limiting på login |
| Backup kun på papir | Bed om datoen for seneste backup, og gendan én fil | Kan det ikke lade sig gøre samme dag, har du ikke en backup |
Sådan læser du resultatet:
- 0–1 tegn: ret punktet, og gå listen igennem igen om et halvt år.
- 2–3 tegn: send listen til udbyderen, og bed om et skriftligt svar på hvert punkt.
- 4 tegn eller flere: planlæg et skift. Det samme gælder, hvis du blot har ét af de to alvorlige tegn: en malware-advarsel eller en backup, der ikke kan gendannes.
Hvordan tester du trin for trin, om din hosting er sikker?
En hurtig første test er en kombination af tre kontroller. UptimeRobot, SSL Labs og Sucuri SiteCheck kan på under en time afsløre mange af de fejl, der typisk peger på usikker hosting.
Start med driftssiden. Mål oppetid og svartid i mindst 7 til 14 dage med UptimeRobot eller Pingdom. Hvis du ser gentagne udfald eller store udsving i TTFB, er stabiliteten ikke på plads. For WordPress er det ofte her, skjulte kapacitetsproblemer viser sig.
Mål derefter den offentlige sikkerhedsoverflade. Kør domænet gennem SSL Labs, Security Headers og Sucuri SiteCheck. Hvis der er svag TLS-konfiguration, manglende headere eller malware-indikationer, ved du, at problemet ikke kun er teoretisk.
Bekræft til sidst serversiden. Gennemgå adgang til logs, backuphistorik, PHP-versioner og firewall-regler. Hvis din udbyder ikke kan vise, hvornår der sidst er taget backup, eller hvordan en gendannelse udføres, er risikoen højere, end prisen antyder.
Hvordan opdager du SSL-, TLS- og certifikatfejl trin for trin?
SSL-fejl kan bekræftes hurtigt og objektivt. Qualys SSL Labs og Chrome viser både udløb, svage protokoller og mixed content, så du kan skelne mellem et enkelt certifikatproblem og en bredere hostingfejl.
Først tjekker du certifikatet. Åbn sitet i Chrome, klik på ikonet til venstre for adressen, og verificér udløbsdato, udsteder og domænenavn. Kør derefter en test i SSL Labs for at se, om kæden er korrekt, og om serveren understøtter moderne cipher suites.
Dernæst vurderer du protokoller og redirects. En moderne opsætning bør som minimum understøtte TLS 1.2 og gerne TLS 1.3, mens TLS 1.0 og 1.1 skal være slået fra. HTTP skal viderestilles til HTTPS, og HSTS bør sættes op, når du er sikker på, at alt indhold kan leveres krypteret.
Til sidst leder du efter mixed content. Hvis billeder, scripts eller fonte stadig hentes via HTTP, får brugeren en falsk følelse af sikkerhed. Husk også den klassiske misforståelse: Hængelåsen siger intet om plugin-kvalitet, loginbeskyttelse eller backupstrategi.
Hvordan kontrollerer du backup, gendannelse og disaster recovery?
Backup er først sikker, når gendannelsen er bevist. For WooCommerce og WordPress er RPO, RTO og ekstern lagring vigtigere end flotte løfter om “daglig backup”.
Først skal du kende din RPO, altså hvor meget data du må miste. En brochureside kan leve med daglig backup, men en webshop med løbende ordrer kan have brug for hyppigere databasekopier. Hvis der kommer ordrer hele dagen, er 24 timers datatab sjældent acceptabelt.
Dernæst skal gendannelsen testes. Gendan til staging eller et separat miljø, eller bed udbyderen om at demonstrere det. Hvis processen tager seks timer og kræver manuel support, er din reelle beredskabstid langt dårligere, end salgssiden antyder.
Til sidst skal du kontrollere placering og integritet. Gode backups ligger adskilt fra produktionsserveren og kan ikke nemt overskrives af ransomware eller en bruger, der laver en fejl. “Vi tager backup” er ikke nok – spørg altid, hvor den ligger, hvor længe den gemmes, og hvor hurtigt den kan gendannes.
Hvad er forskellen på delt hosting, VPS og dedikerede servere for sikkerhed?
Delt hosting koster mindst, men giver svagere isolation. VPS, containere og dedikerede servere giver mere kontrol, og forskellen mærkes tydeligt på både risiko, stabilitet og fejlsøgning.
På klassisk delt hosting ligger mange kunder tæt på samme miljø. Det holder prisen nede, men øger risikoen for støj fra andre sites, svagere segmentering og mere begrænsede sikkerhedsregler. Ikke al delt hosting er usikker, men kvaliteten afhænger meget af udbyderens kontrolniveau – fx om hver konto kører isoleret med egne ressourcegrænser.
En VPS giver mere afgrænset kapacitet og bedre kontrol, men sikkerheden afhænger af, hvem der administrerer den. Hvis du selv skal stå for patching, firewall og loganalyse, flytter ansvaret blot fra udbyderen til dig.
Dedikerede servere og stærkt containeriserede miljøer giver normalt stærkere isolation. Til gengæld koster de mere. Hvis du håndterer persondata, høj trafik eller mange transaktioner, er det ofte et fornuftigt valg, fordi både performance og hændelseshåndtering bliver mere forudsigelig.
Hvad er forskellen på billig hosting og administreret sikker hosting?
Billig hosting kan fungere til små projekter, men administreret sikker hosting reducerer driftsrisikoen markant. En firewall foran sitet, fx via Cloudflare, malware-scanning som Imunify360 og support døgnet rundt er ofte forskellen mellem hurtig afværgning og lang nedetid.
Den lave pris dækker typisk kun basal drift. Du får plads, trafik og et kontrolpanel, men ofte ikke aktiv sikkerhedsovervågning, hjælp til gendannelse, malwarehåndtering eller dyb WordPress-kompetence. Det er fint, hvis du selv kan drive miljøet sikkert.
Administreret sikker hosting koster mere, fordi opgaverne allerede er indbygget. Det gælder patching, WAF, malware-scanning, backupstyring og support med WordPress-erfaring. Når noget går galt klokken 02.15, er spørgsmålet ikke kun, om der findes en backup, men om nogen kan bruge den korrekt.
Den typiske fejlvurdering er at sammenligne månedsprisen uden at medregne hændelser. Hvis et billigt setup kræver ekstern hjælp ved hvert brud, bliver den samlede pris ofte højere end forventet.
Hvorfor rammer usikker hosting WordPress og WooCommerce hårdest?
Hostingens sikkerhed betyder ekstra meget for WordPress og WooCommerce. PHP-versioner, plugin-hygiejne og web application firewall hænger tæt sammen, fordi de fleste kompromitteringer starter i softwarelaget, men udnyttes gennem hostingmiljøet.
WordPress er populært og bliver derfor ofte angrebet. Sårbarhedsdatabaser som WPScan og Patchstack registrerer år efter år langt de fleste nye WordPress-sårbarheder i plugins og temaer, ikke i selve WordPress-kernen. Når hostingmiljøet samtidig mangler scanning, rate limiting eller filintegritetstjek, bliver et kendt plugin-problem hurtigt til et fuldt sikkerhedsbrud.
For WooCommerce er kravene endnu skarpere. Sessioner, betaling, kundedata og ordrehistorik gør, at selv små fejl kan få direkte økonomisk effekt. Derfor bør staging, hyppige backups, isolerede miljøer og kontrollerede opdateringer ses som standard, ikke luksus.
Bruger du mange plugins, bliver sammenhængen endnu tydeligere: Jo flere integrationspunkter, desto større behov for en host, der aktivt hjælper med performance, logs og sikkerhedsregler.
Hvem har ansvaret: dig eller din host?
Sikkerhed er et delt ansvar, og mange problemer opstår, fordi hver part tror, den anden har styr på det. En god host sikrer infrastrukturen, men den kan ikke vælge stærke adgangskoder eller fjerne et plugin, du selv har installeret.
| Område | Typisk hostens ansvar | Typisk dit ansvar |
|---|---|---|
| Server og netværk | Patching af operativsystem, webserver og PHP-versioner | Vælge en understøttet PHP-version til sitet |
| Firewall og scanning | WAF, malware-scanning og DDoS-beskyttelse | Reagere på fund og rydde op i eget indhold |
| Backup | Automatisk backup og mulighed for gendannelse | Tage manuel backup før ændringer og teste gendannelse |
| WordPress | Et sikkert miljø at køre i | Opdatere kerne, plugins og temaer |
| Adgang | Sikker adgang til panel, SFTP og database | Stærke adgangskoder, totrinslogin og få administratorer |
Med en serviceaftale kan du lægge en del af dit eget ansvar – opdateringer og overvågning – over på en partner. Men det skal stå klart, hvem der gør hvad.
Hvornår bør du skifte hosting med det samme?
Du bør skifte straks, hvis risikoen allerede er forretningskritisk. Google-advarsler, manglende gendannelse og gentagne reinfektioner er typiske grænser, hvor hurtig migrering er billigere end endnu et sikkerhedsbrud.
Skift nu, hvis dit site allerede er blacklistet, hvis supporten ikke kan forklare backup- eller sikkerhedsopsætningen, eller hvis infektioner vender tilbage efter “rensning”. Reinfektion betyder ofte, at rodårsagen stadig findes på serveren.
Skift også, hvis du ikke kan få klare svar på dataplacering, adgangskontrol eller logning. Det gælder især ved persondata og webshops. Hvis din nuværende løsning ikke kan dokumentere disse forhold, er problemet ikke kun teknisk, men også kontraktuelt og compliance-mæssigt.
En god migrering kan normalt planlægges med lav risiko via staging, kopi af DNS-zonen, sænket TTL og test før skiftet. Er sitet inficeret, så rens det før flytningen – ellers flytter du problemet med. Hvis skiftet føles svært, er det ofte endnu et tegn på, at den nuværende hosting ikke er bygget til moden drift.
Genkender du flere af tegnene? Hos Hostious er gratis SSL, daglig backup og dansk support døgnet rundt med i alle planer, og WordPress hosting koster fra 39 kr./md. ekskl. moms. Fra WP StartUp til 89 kr./md. opdaterer vi også sitet og scanner det for malware hver dag. Flytningen er gratis – se, hvordan du kan skifte hosting uden nedetid.
Læs også
- Hub: WordPress sikkerhed og backup – alle guides om emnet samlet ét sted
- Sikker hosting til hjemmeside og webshop: krav og tjekliste
- Hacket WordPress hjemmeside: hvad gør du?
- Sikkerhedsheadere: HSTS, nosniff og vejen til CSP
- WordPress hosting hos Hostious – LiteSpeed, daglig backup og dansk support 24/7
Ofte stillede spørgsmål om usikker hosting
Hvad er det tydeligste tegn på usikker hosting?
At du ikke kan svare på, hvornår sidste backup blev taget, og om den kan gendannes. Uden dokumenteret backup og gendannelse står forretningen reelt uden sikkerhedsnet.
Er SSL nok til at kalde hostingen sikker?
Nej. SSL krypterer kun forbindelsen. Sikker hosting omfatter også firewall, malware-scanning, isolerede miljøer, opdateret PHP og en plan for hændelser – SSL er blot det synlige minimum.
Hvilken PHP-version bør mit site køre?
Brug en version, der stadig får sikkerhedsopdateringer. PHP 8.1 og ældre er udløbet, så vælg PHP 8.3 eller 8.4, og test sitet på staging, før du skifter.
Hvem har ansvaret for sikkerheden – mig eller min host?
Begge. Hosten skal levere sikker infrastruktur, firewall og backup, mens du har ansvar for opdateringer, adgangskoder, brugerroller og de plugins, du installerer.
Hvad gør jeg, hvis min nuværende hosting fejler på flere punkter?
Prioritér flytning frem for lappeløsninger. Planlæg migreringen via staging med test før DNS-skiftet, så du får sikkerheden på plads uden at gamble med driften undervejs.
Hvor mange tegn skal der til, før jeg bør skifte hosting?
To eller flere tegn er nok til at kræve svar fra udbyderen. Får du malware-advarsler, eller kan udbyderen ikke gendanne en backup, er ét tegn nok. Så er risikoen større end besværet ved at flytte.
Kan jeg selv gøre usikker hosting sikker?
Kun delvist. Du kan opdatere WordPress, bruge stærke adgangskoder og slå totrinslogin til. Isolation mellem kunder, firewall, patching af serveren og backup uden for serveren kan kun udbyderen levere.
Udgivet 9. april 2026Opdateret 6. oktober 2026Fagligt gennemgået 2. oktober 2026