Sikker hosting til hjemmeside og webshop: krav og tjekliste

Kort svar: Sikker hosting er hosting, hvor trafikken er krypteret, adgangen er kontrolleret, servermiljøet holdes opdateret, og hjemmesiden kan gendannes hurtigt fra en backup, der ligger adskilt fra produktionen. Før du køber, bør du kontrollere syv krav: gratis SSL, backup med testet gendannelse, firewall og DDoS-beskyttelse, opdateret PHP og serversoftware, adgangsstyring med totrinslogin, overvågning og en databehandleraftale med data i EU. Resten af sikkerheden ligger hos dig: opdateringer, brugere og plugins.

Fagligt gennemgået: 2. oktober 2026

Sikker hosting er en kombination af beskyttet trafik, kontrolleret adgang, opdateringer, backup og mulighed for at gendanne efter fejl. Guiden viser de krav, du kan kontrollere, før du vælger hosting til en hjemmeside eller webshop.

Når en hjemmeside bliver kompromitteret, handler det sjældent kun om teknik. Det rammer salg, SEO, omdømme og interne ressourcer på én gang. Derfor giver det mening at vælge hosting med samme alvor, som du vælger betalingsløsning, ERP eller regnskabssystem.

Hvad sikker hosting betyder for hjemmeside og forretning

Sikker hosting handler ikke kun om at holde hackere ude. Det handler også om at sikre, at hjemmesiden kan gendannes hurtigt, at data behandles korrekt, og at driften fortsætter stabilt under pres. En stærk hostingløsning kombinerer derfor flere lag: fysisk sikkerhed i datacentret, netværksbeskyttelse, softwareopdateringer, backups og tydelige procedurer ved hændelser.

For virksomheder og webshops er sikker hosting tæt knyttet til forretningskritiske mål. Er checkout nede, lækker kontaktformularer data, eller bliver e-mail misbrugt, bliver konsekvensen mærkbar med det samme. Stabilitet og sikkerhed er i den forstand to sider af samme sag.

Det gode er, at markedet i dag tilbyder langt mere modne løsninger end for få år siden.

Sikker hosting: 7 kontrollerbare krav

Den største fejl er at vælge hosting ud fra pris alene. En billig løsning kan virke attraktiv, indtil den første malwareinfektion, et DDoS-angreb eller et backupproblem viser, hvad der ikke var med i aftalen. En seriøs udbyder bør kunne beskrive både den tekniske platform og de daglige rutiner klart.

Se især på datacenter, placering af data, redundans, oppetidsgaranti, support og dokumentation for sikkerhed. Datatilsynet lægger vægt på passende tekniske og organisatoriske foranstaltninger, og det bør afspejles i den hostingaftale, du indgår.

Gode minimumskrav er ofte disse:

1. ISO 27001 eller tilsvarende sikkerhedsmodenhed i datacentret
2. EU eller EØS som primær datalokation for både drift og backup
3. Automatisk backup og nem gendannelse
4. DDoS-beskyttelse og firewall
5. Overvågning døgnet rundt
6. En tydelig databehandleraftale
7. Løbende opdatering af servermiljøet

Det er også værd at se på, hvor gennemtænkt supporten er. Svarer en udbyder kun i kontortiden, og opstår sikkerhedshændelsen fredag aften, er responstiden pludselig en reel risiko.

Hostingtyper og sikkerhed: delt hosting, VPS, cloud og dedikeret server

Hostingtypen har stor betydning for sikkerheden. Delt hosting er stadig udbredt, men modellen giver mindre isolation mellem kunderne. VPS er et skridt op, fordi miljøet er virtuelt adskilt. Cloud kan give stor fleksibilitet, men kræver ofte mere styr på ansvar, netværk og konfiguration. Dedikerede servere giver den højeste grad af isolation og kontrol.

Det betyder ikke, at én model altid er den rigtige. En mindre blog kan klare sig fint med en veladministreret løsning, mens en webshop med persondata, integrationer og høj trafik bør stille langt skarpere krav. Sikkerheden er bedst, når hostingtypen matcher både risikoprofil og driftens kompleksitet.

Hostingtype	Sikkerhedsstyrke	Typisk risiko	Passer godt til
Delt hosting	Lav til middel	Nabo-effekter, begrænset kontrol	Små sites med lav risiko
VPS	Middel til høj	Kræver bedre egen konfiguration	Voksende sites og bureauer
Cloud	Middel til høj	Fejlopsætning, delt ansvar	Skalerbare platforme og apps
Dedikeret server	Høj	Højere krav til drift eller administreret service	Webshops, kritiske sites og miljøer med strenge compliancekrav

Vejer sikkerhed og performance begge tungt, er en dedikeret server eller stærkt administreret WordPress hosting ofte det mest robuste valg. Det mindsker støj fra andre kunder og giver bedre kontrol over både ressourcer og sikkerhedslag.

Tekniske sikkerhedslag i sikker hosting

En moderne hostingplatform bør arbejde med flere forsvarslag samtidig. Ét værktøj alene er ikke nok. SSL uden firewall hjælper ikke meget mod ondsindede forespørgsler, og backups alene stopper ikke brute force-angreb. Det er samspillet mellem teknologierne, der giver reel styrke.

Her er de vigtigste elementer at kigge efter, når du vurderer en løsning:

• SSL/TLS som standard: Krypterer trafikken mellem besøgende og hjemmeside, så data ikke kan læses undervejs.
• WAF og firewall: Filtrerer skadelig trafik og blokerer kendte angrebstyper mod webapplikationen.
• DDoS-beskyttelse: Absorberer eller afviser trafikmængder, der ellers kan lamme hjemmesiden.
• IDS/IPS og logovervågning: Registrerer mistænkelig aktivitet og reagerer på mønstre, der peger på indbrudsforsøg.
• Malwarescanning: Finder ondsindet kode i filer, plugins og uploadede elementer.
• Automatiske opdateringer: Lukker kendte sårbarheder i styresystem, webserver, PHP, CMS og plugins. Kør på en understøttet PHP-version som 8.3 eller 8.4, da ældre versioner ikke længere får sikkerhedsrettelser.
• Sikker filadgang: SFTP eller SSH med nøgler i stedet for almindelig FTP, så adgangskoder ikke sendes ukrypteret.

På WordPress og WooCommerce er opdateringsdisciplin ekstra vigtig. Mange brud starter ikke med serveren, men med et sårbart plugin, et tema eller en gammel administratorkonto. Derfor bør sikker hosting også omfatte adgangskontrol, begrænsning af loginforsøg og gerne totrinslogin til kontrolpanel og administratorbrugere. Se guiderne om totrinslogin i WordPress og beskyttelse mod brute force.

Et CDN kan også spille en større rolle, end mange tror. Det forbedrer ikke kun hastigheden, men kan være en del af beskyttelsen mod trafikspidser og visse former for angreb. Når CDN, cache, firewall og server er sat rigtigt op, bliver løsningen både hurtigere og mere modstandsdygtig.

Backup og gendannelse som del af sikker hosting

Backup er ikke et ekstra plus. Det er en kernefunktion. Datatilsynet peger på, at backup kan genetablere adgangen til data efter tekniske fejl eller ondsindede hændelser, og det gør backup til et helt centralt krav i enhver professionel hostingaftale.

Det vigtige er ikke kun, om der tages backup, men også hvor ofte, hvor den lagres, hvor længe den gemmes, og hvor let den kan gendannes. En backup, der ikke hurtigt kan gendannes, er i praksis kun halv sikkerhed.

En stærk backupstrategi bør dække disse punkter:

• Hyppighed: Flere backups i døgnet ved dynamiske sites og webshops
• Adskilt lagring: Backuppen må ikke kun ligge samme sted som produktionen
• Versionering: Flere gendannelsespunkter giver bedre beskyttelse mod skjulte fejl
• Test af gendannelse: En backup er først bevist, når den faktisk kan gendannes

For en webshop med ordrer, lagerdata og kundeoplysninger kan forskellen mellem daglig backup og backup hver time være stor. Jo flere transaktioner løsningen har, desto mindre gendannelsesvindue bør du acceptere. Se også guiden til test af backup og gendannelse.

GDPR, EU-hosting og danske sikkerhedskrav

Placeringen af data er blevet et strategisk spørgsmål. Hosting i EU eller EØS giver normalt bedre juridisk klarhed, enklere dokumentation og færre usikkerheder omkring tredjelandsoverførsler. For mange danske virksomheder gør det også dialogen med kunder og samarbejdspartnere langt lettere.

GDPR artikel 32 kræver passende sikkerhed i forhold til risikoen. Det betyder ikke, at alle skal købe den samme løsning. Det betyder, at valget af hosting skal kunne forsvares. Driver du en enkel præsentationsside, er kravene anderledes end ved medlemsportaler, webshops og løsninger med følsomme personoplysninger.

I dansk sammenhæng giver det god mening at spørge direkte ind til dette:

• Dataplacering: Ligger både produktion og backup i EU?
• Databehandleraftale: Er ansvar, sikkerhed og underdatabehandlere beskrevet klart?
• Beredskab: Findes der dokumenterede procedurer ved sikkerhedshændelser?
• Adgangsstyring: Er der styr på logning, rettigheder og autentificering?

Er virksomheden omfattet af NIS2, stiller det yderligere krav til risikostyring og håndtering af hændelser, også hos dine leverandører. Læs mere om NIS2 for små virksomheder og om, hvad du skal tjekke i en databehandleraftale med dit hostingfirma.

Sikker hosting er derfor ikke kun et teknisk køb. Det er også en del af virksomhedens compliance og risikostyring.

Delt ansvar: hvad hosten gør, og hvad du gør

Selv den mest gennemarbejdede hosting fritager ikke ejeren af sitet for ansvar. Sikkerhed fungerer kun, når begge parter løfter deres del. Fordelingen ser typisk sådan ud ved administreret WordPress hosting:

Område	Hostens ansvar	Dit ansvar
Server og netværk	Hardware, styresystem, webserver og netværksbeskyttelse	Ingen, ud over at vælge en seriøs udbyder
PHP og database	Opdaterede versioner og sikker konfiguration	At vælge en understøttet PHP-version og teste, at sitet virker med den
WordPress, tema og plugins	Afhænger af aftalen, fx med en serviceaftale	Opdateringer, valg af plugins og oprydning i ubrugte udvidelser
Brugere og adgange	Sikker adgang til kontrolpanel og SFTP	Stærke adgangskoder, totrinslogin og fjernelse af gamle brugere
Backup	Automatisk backup og værktøj til gendannelse	At teste gendannelse og eventuelt have en ekstra kopi
Hændelser	Logs, assistance og gendannelse	Kommunikation med kunder og eventuel anmeldelse til Datatilsynet

Uklarhed om ansvarsfordelingen er en af de hyppigste grunde til, at sikkerhedshuller bliver stående. Spørg derfor din udbyder, præcis hvad der er inkluderet, og skriv resten ind i dine egne rutiner.

Administreret WordPress hosting og sikkerhed i praksis

For WordPress- og WooCommerce-sites er administreret hosting ofte en stærk løsning, fordi udbyderen ikke kun leverer plads på en server, men også står for en stor del af det løbende sikkerhedsarbejde. Det gælder især opdatering af servermiljøet, overvågning, backup og håndtering af kendte sårbarheder.

Hos Hostious er setuppet et godt billede på, hvad mange virksomheder efterspørger i dag: WordPress- og WooCommerce hosting på dedikerede servere i Europa med gratis SSL, daglig og manuel backup med selvbetjent gendannelse og dansk support døgnet rundt. Fra WP StartUp og Woo StartUp er staging og serviceaftalen med vedligeholdelse af WordPress inkluderet. Når sådanne elementer er samlet i én platform, bliver sikkerheden lettere at drive i hverdagen.

Det er også relevant, at nogle udbydere inkluderer premiumværktøjer til WordPress. Er gendannelse og staging tænkt ind fra starten, bliver både udvikling og drift mere tryg. Især bureauer og webshops får meget ud af den model, fordi den mindsker manuelle processer og forkorter reaktionstiden.

Samtidig skal du huske, at hosting aldrig fritager ejeren for ansvar. Brugerstyring, stærke adgangskoder, korrekt valg af plugins og intern disciplin bærer stadig en stor del af sikkerheden.

Staging og kontrollerede opdateringer som sikkerhedslag

Opdateringer lukker sårbarheder, men de er også en af de hyppigste årsager til, at et site pludselig fejler. Et tema, der ikke passer til den nye WooCommerce-version, eller et plugin med en konflikt kan tage checkout ned midt i en travl periode. Derfor bør du se staging som en del af sikkerheden og ikke kun som et udviklerværktøj.

Et staging-miljø er en kopi af det live site, hvor du kan teste ændringer, før de rammer besøgende og kunder. Det giver en arbejdsgang, hvor du hverken udskyder vigtige sikkerhedsopdateringer af frygt for nedbrud eller gambler med driften, hver gang der kommer en ny version.

En enkel rutine kan se sådan ud:

1. Opret et gendannelsespunkt, så du altid kan rulle tilbage.
2. Kør opdateringer af WordPress, tema og plugins i staging.
3. Test de kritiske flows: login, formularer, kurv og betaling.
4. Overfør ændringerne til live, når alt virker.
5. Tjek det live site igen, og hold øje med logs det første døgn.

Især bureauer og webshops med mange integrationer får meget ud af den model. Færre akutte fejl på live-sites betyder mere tid til planlagt vedligeholdelse og mindre brandslukning.

Skift hosting uden at åbne nye sikkerhedshuller

Mange bliver på en gammel eller usikker løsning, fordi et skift føles som en risiko i sig selv. Det er forståeligt, men en forældet platform uden opdateringer og ordentlig backup er som regel en større risiko end en velplanlagt flytning. Det vigtige er, at selve overgangen ikke efterlader huller.

Vær særligt opmærksom på disse punkter, når du flytter:

• SSL omkring DNS-skiftet: Sørg for, at certifikatet bliver aktivt på den nye server så hurtigt som muligt. Kan det ikke udstedes, før domænet peger på serveren, så planlæg skiftet, så vinduet med browseradvarsler bliver så kort som muligt.
• Frisk backup af den gamle løsning: Tag en fuld kopi af filer og database, før noget ændres, og gem den adskilt fra begge miljøer.
• Oprydning i brugere og adgange: En flytning er en god anledning til at fjerne gamle administratorkonti, ubrugte plugins og FTP-brugere, som ellers følger med over.
• E-mail med i planen: Ligger mail hos samme udbyder, skal postkasser, SPF, DKIM og DMARC flyttes samtidig, så du hverken mister beskeder eller åbner for spoofing. Se SPF, DKIM og DMARC forklaret.
• Luk den gamle konto kontrolleret: Først når den nye løsning er kontrolleret, bør den gamle slukkes, og nøgler til API’er og betalingsgateways bør skiftes.

Flere udbydere tilbyder gratis migrering, hvor de tekniske trin håndteres for dig. Det fjerner ikke dit ansvar for at teste resultatet, men det mindsker risikoen for menneskelige fejl undervejs betydeligt.

Én leverandør eller flere?

Et spørgsmål, der ofte overses, er, hvor mange leverandører sikkerheden er spredt ud over. Når SSL ligger ét sted, backup et andet, e-mail et tredje og serveren et fjerde, bliver det uklart, hvem der har ansvaret, når noget går galt fredag aften.

Forhold	Samlet hos én udbyder	Spredt på flere leverandører
Ansvar ved hændelser	Tydeligt, én kontakt	Risiko for at blive sendt rundt
Fejlfinding	Udbyderen ser hele kæden	Hver part ser kun sin del
Backup og gendannelse	Integreret i driften	Afhænger af egen opsætning
Aftaler og vilkår	Én aftale at forholde sig til	Flere aftaler, hvor ansvaret kan være svært at placere
Fleksibilitet	Bundet til én platform	Frit valg pr. komponent

Ingen af modellerne er forkerte, men for de fleste små og mellemstore virksomheder vejer tydeligt ansvar og hurtig fejlfinding tungere end friheden til at vælge hver komponent selv.

Hvornår er administreret sikker hosting det rigtige valg?

Administreret hosting koster typisk mere end et budgetwebhotel, og det er ikke altid det rigtige svar. Er laveste pris det eneste kriterium, og har du selv kompetencer og tid til at stå for opdateringer, overvågning og fejlhåndtering, kan en mere rå løsning være fornuftig.

Modellen giver derimod god mening, når:

• du driver WordPress eller WooCommerce og ikke vil bruge tid på serverdrift
• du håndterer kundeoplysninger, ordrer eller logins og vil have SSL, backup og opdateringer som standard
• du ønsker support døgnet rundt fra folk, der kender platformen
• du vil samle migrering, drift, sikkerhed og performance ét sted med tydeligt ansvar

Hos Hostious starter WordPress hosting fra 39 kr./md. ekskl. moms (WP Mini) og WooCommerce hosting fra 59 kr./md. (Woo Mini), alle med NVMe, LiteSpeed, daglig og manuel backup, gratis SSL, gratis migrering og dansk support døgnet rundt. Staging og serviceaftale er med fra WP StartUp til 89 kr./md. og Woo StartUp til 239 kr./md. Det er den type samlet pakke, der gør sikkerhed til en driftsrutine frem for et projekt.

Tjekliste til valg af sikker hosting

Når du sammenligner udbydere, hjælper det at stille de samme spørgsmål hver gang. Det gør vurderingen mere præcis og mindsker risikoen for at overse noget vigtigt bag flotte salgssider og introduktionspriser.

En praktisk tjekliste kan se sådan ud:

• Hvor ligger servere og backups fysisk?
• Er der automatisk SSL, firewall og DDoS-beskyttelse?
• Hvor ofte tages der backup, og hvor hurtigt kan en gendannelse gennemføres?
• Er platformen administreret, eller skal du selv stå for opdateringer og overvågning?
• Hvilken support er tilgængelig uden for normal åbningstid?
• Er der klar dokumentation om GDPR, databehandleraftale og sikkerhedsprocedurer?

Er svarene uklare, er det i sig selv et signal. God sikker hosting er kendetegnet ved gennemsigtighed, tydelige processer og en platform, der er bygget til mere end bare at holde en hjemmeside online. Den skal også kunne modstå pres, fejl og angreb, uden at forretningen mister fart.

Læs også

• Hub: WordPress sikkerhed og backup – alle guides om emnet samlet ét sted
• 9 tegn på at du mangler sikker hosting
• Webshop sikkerhed og løbende beskyttelse
• Databehandleraftale med dit hostingfirma: det skal du tjekke
• WordPress hosting hos Hostious – gratis SSL, daglig backup og dansk support døgnet rundt

Ofte stillede spørgsmål om sikker hosting

Hvilke krav bør jeg stille til sikker hosting?

Gratis SSL, hyppig backup med testet gendannelse, isolerede kundemiljøer, opdateret PHP, firewall/WAF og overvågning med reaktion – plus support, der faktisk kan handle, når noget sker.

Er delt hosting usikkert?

Ikke nødvendigvis. Godt drevet delt hosting med isolation mellem konti er fint til de fleste. Problemet er oversålgte servere uden adskillelse – dér kan én hacket nabo blive alles problem.

Hvad betyder GDPR for valg af hosting?

Data skal behandles i EU eller under et gyldigt overførselsgrundlag, og du skal have en databehandleraftale med udbyderen. Hosting med servere i EU gør dokumentationen enklere.

Hvem har ansvaret for sikkerheden – mig eller hostingudbyderen?

Begge. Hosten skal levere sikker infrastruktur, opdateret servermiljø og backup, mens du har ansvaret for opdateringer af WordPress, plugins og tema, adgangskoder og brugere. Sikkerhed fungerer kun, når begge lag er på plads.