WordPress beskyttelse til virksomheder

Kort svar: WordPress beskyttelse til virksomheder handler om flere lag, ikke ét plugin: opdateret software, stram adgangsstyring til wp-admin, en firewall foran sitet, daglige backups du kan gendanne fra, overvågning og en plan for, hvad der sker, når noget går galt. Hostingen er fundamentet, men ansvaret er delt mellem dig og din udbyder.

Fagligt gennemgået: 2. oktober 2026

Når din virksomhed kører på WordPress, er beskyttelse ikke kun et spørgsmål om at installere et sikkerhedsplugin. Det handler om hele driftslaget omkring siden: opdateringer, login-beskyttelse, opdagelse af skadelig kode, backup, gendannelse og den support, du kan få fat i, når noget haster.

Denne guide gennemgår lagene ét for ét, så du kan vurdere dit nuværende setup – uanset hvor du hoster i dag. Til sidst kan du se, hvad WordPress hosting hos Hostious dækker, og hvad du stadig selv skal have styr på.

Hvorfor WordPress beskyttelse er et forretningsspørgsmål

Hvis din hjemmeside skaffer leads, håndterer kundehenvendelser eller driver salg, er sikkerhed direkte koblet til drift og omsætning. Et kompromitteret WordPress-site kan betyde nedetid, mistet tillid, skadelig kode, formularer der ikke virker, spam sendt i dit navn og et større oprydningsarbejde, end de fleste virksomheder ønsker at bruge tid på.

Angreb mod WordPress er sjældent personlige. Automatiserede bots scanner hele tiden nettet efter kendte sårbarheder i plugins og temaer og efter svage adgangskoder. Det betyder, at også små virksomhedssider bliver ramt – ikke fordi nogen har udvalgt dem, men fordi de er nemme.

Det gælder både virksomheder, der driver ét vigtigt website, og bureauer, der har ansvar for mange kundesider. Jo flere sites og brugere, jo vigtigere bliver faste rutiner frem for at huske tingene i hovedet.

De seks lag i god WordPress beskyttelse

WordPress beskyttelse virker bedst, når flere lag arbejder sammen. Fejler ét lag, skal det næste fange problemet. Derfor bør du aldrig være afhængig af ét enkelt værktøj.

• Opdateringer: WordPress-kerne, plugins og tema holdes opdateret, så kendte huller lukkes hurtigt. Det er det lag, der stopper flest angreb.
• Adgangsstyring: stærke unikke adgangskoder, totrinslogin, begrænsede loginforsøg og så få administratorer som muligt.
• Firewall: en webapplikationsfirewall (WAF) på serveren eller i et CDN som Cloudflare filtrerer kendte angrebsmønstre og bottrafik, før de rammer WordPress.
• Overvågning og scanning: filændringer, sårbare plugins og oppetid overvåges, så du opdager problemer i timer frem for uger.
• Kryptering: HTTPS på hele sitet med et gyldigt SSL-certifikat, der fornyes automatisk.
• Backup og gendannelse: daglige backups, en kopi uden for serveren og en gendannelse, du har prøvet mindst én gang.

Spørg din udbyder konkret, hvilke af lagene der ligger hos dem, og hvilke du selv skal sørge for. Et svar som “vi har sikkerhed” er ikke nok – du skal vide, om der er firewall på serverniveau, hvor ofte der tages backup, og hvem der reagerer, hvis sitet bliver kompromitteret.

Beskyt wp-admin, plugins og opdateringer uden at bremse driften

De fleste virksomheder bliver ikke ramt, fordi WordPress-kernen i sig selv er usikker. Risikoen opstår i praksis omkring plugins, temaer, for mange administratorer, gamle brugere og forsinkede opdateringer.

Login og brugere

Start med totrinslogin (2FA) for alle administratorer. Det tager få minutter og stopper langt de fleste angreb med stjålne eller gættede adgangskoder. Begræns derefter loginforsøg, og overvej at lukke XML-RPC, hvis du ikke bruger det. Læs mere i guiden om at beskytte WordPress-login mod brute force.

Har du medarbejdere, eksterne redaktører eller et bureau inde over siden, bliver rollerne vigtige. Giv redaktører rollen Redaktør eller Forfatter i stedet for Administrator, og slet brugere, der ikke længere arbejder på sitet. Del aldrig én fælles administratorkonto.

Plugins og tema

Hvert plugin er kode, du stoler på. Fjern plugins, du ikke bruger – også deaktiverede, fordi filerne stadig ligger på serveren. Vælg plugins, der opdateres jævnligt og har mange aktive installationer, og undgå “nulled” premium-plugins fra uofficielle kilder, som ofte indeholder bagdøre.

Opdateringer med staging

Den sikreste opdateringsrutine er at teste i et staging-miljø først og derefter opdatere live-sitet. Så kan du holde opdateringstempoet højt uden at risikere, at en plugin-konflikt lægger siden ned. Mindre sikkerhedsopdateringer kan med fordel køre automatisk, mens større opdateringer testes først. Se også guiden om staging i WordPress.

WordPress beskyttelse til WooCommerce og sider med persondata

For webshops og leadsites er sikkerhed tæt forbundet med kundedata, formularer, checkout og tilgængelighed. Når en side håndterer navn, e-mail, telefonnummer, ordredata eller kundelogin, er det ikke nok, at den bare er online. Den skal også være sat op med de rigtige lag omkring kryptering, adgang og gendannelse.

Et brud på persondatasikkerheden skal som udgangspunkt anmeldes til Datatilsynet inden for 72 timer. Derfor bør du vide, hvor dine data ligger, have en databehandleraftale med dit hostingfirma, og rydde op i gamle kundedata, du ikke længere har brug for.

For WooCommerce er det især vigtigt, at ændringer kan testes, at backups tages ofte, og at en gendannelse ikke sletter ordrer, der er kommet ind siden backuppen. Brug en betalingsgateway, hvor kortdata indtastes hos gatewayen, så kortnumre aldrig rører din server. Læs mere i guiden om webshop sikkerhed og løbende beskyttelse.

Hvis uheldet er ude: en kort beredskabsplan

Selv med alle lag på plads kan noget gå galt. Det vigtigste er, at du har besluttet rækkefølgen, før det sker:

1. Isolér: sæt sitet i vedligeholdelsestilstand, hvis besøgende kan blive ramt af skadelig kode eller falske sider.
2. Gem spor: notér tidspunkt og symptomer, og sikr logfiler, før de roteres væk.
3. Skift adgange: nye adgangskoder til WordPress-administratorer, hosting, SFTP, database og API-nøgler.
4. Find hullet: gennemgå plugins, tema og brugere. En gendannelse uden at lukke hullet giver bare et nyt angreb.
5. Gendan rent: gendan fra en backup fra før angrebet, og kontrollér bagefter, at der ikke ligger ukendte administratorer eller filer tilbage.

Den fulde gennemgang finder du i hacket WordPress hjemmeside: hvad gør du? og i guiden til malware-oprydning i WordPress.

Flyt til et bedre setup uden at gøre flytningen til et sikkerhedsproblem

Mange virksomheder bliver på en utilstrækkelig hostingløsning, fordi de ikke vil risikere nedetid eller bøvl ved en flytning. Det er forståeligt, især hvis siden er koblet til kampagner, e-mailflows, ordrer eller vigtige formularer.

En flytning er dog også en god anledning til at rydde op: fjerne ubrugte plugins og brugere, opdatere til en understøttet PHP-version (8.3 eller 8.4) og få backup og staging sat ordentligt op fra start. Sådan foregår det typisk:

• Nuværende website, plugins, eventuel WooCommerce-funktionalitet og integrationer gennemgås.
• Siden flyttes til det nye miljø og testes, før DNS peges om, så centrale funktioner som formularer, login og checkout virker.
• Efter flytningen kontrolleres SSL, mails, cache og backup, så sitet står stabilt i drift.

Hos Hostious er migreringen gratis, og supporten hjælper før, under og efter flytningen.

Hvad Hostious dækker – og hvad du selv skal have styr på

Hostious er en dansk virksomhed med dansk support døgnet rundt og servere i Europa. WordPress-hosting kører på LiteSpeed og NVMe, og alle planer har daglig og manuel backup med selvbetjent gendannelse, gratis SSL fra Let’s Encrypt og gratis migrering.

Fra WP StartUp (89 kr./md. ekskl. moms) får du også staging, understøttelse af Redis object cache og WordPress-serviceaftalen inkluderet, så løbende vedligeholdelse og opdateringer ikke hænger på dig alene. Har du et site hostet et andet sted, kan serviceaftalen købes separat for 99 kr./md.

Det, du selv har ansvaret for, er typisk de ting, der foregår inde i WordPress: hvilke plugins du installerer, hvem der får adgang, hvor stærke adgangskoderne er, og om totrinslogin er slået til. Sikkerhed fungerer kun, når begge lag er på plads.

Løsningen er typisk relevant, hvis:

• I driver virksomhed på WordPress: jeres site skaffer leads, bookinger eller salg, og nedetid har en reel omkostning.
• I bruger WooCommerce: I har brug for daglige backups, staging og hurtig support, når checkout eller ordreflow påvirkes – se WooCommerce hosting.
• I er bureau eller webmaster for flere sites: I vil have samme rutiner for drift, plugins, brugere og migrering på tværs af installationer.
• I vil have dansk support døgnet rundt: I vil kunne få fat i nogen, når noget haster – ikke først næste arbejdsdag.

Få en konkret vurdering af din nuværende WordPress beskyttelse

Hvis du vil vide, om dit nuværende setup er stærkt nok, behøver du ikke starte med et stort projekt. Gå de seks lag igennem ovenfor, og skriv ned, hvem der har ansvaret for hvert af dem i dag. De lag, hvor svaret er “ved ikke”, er dem, du skal starte med.

Vil du have hjælp til at vurdere opdateringer, login, backups, WooCommerce-drift eller en flytning af din WordPress-løsning, kan du kontakte Hostious og få en snak om dit site, dine risici og den drift, du gerne vil slippe for selv.

Læs også

• Hub: WordPress sikkerhed og backup – alle guides om emnet samlet ét sted
• 10 enkle trin til at holde din WordPress hjemmeside sikker (ingen plugins)
• wp-config-hærdning: saltnøgler, file edit og debug
• Overvåg filændringer og sårbarheder – opdag angreb i tide
• WordPress hosting hos Hostious – LiteSpeed, NVMe, daglig backup og dansk support

Ofte stillede spørgsmål om WordPress beskyttelse

Er et sikkerhedsplugin nok til at beskytte WordPress?

Nej. Et plugin ser kun det, der sker inde i WordPress. Reel WordPress beskyttelse ligger i lagene omkring: firewall, opdateringer, adgangsstyring, backup og overvågning – pluginet er et supplement.

Hvordan beskytter jeg wp-admin bedst?

Stærke unikke adgangskoder, totrinsbekræftelse, begrænsede loginforsøg og færrest mulige administratorer. Overvej også at begrænse adgangen til kendte IP-adresser, hvis arbejdsgangen tillader det.

Hvem har ansvaret for sikkerheden – mig eller min host?

Begge. Hosten leverer serveren, backup og infrastrukturen, mens du har ansvaret for plugins, brugere, adgangskoder og totrinslogin inde i WordPress. Afklar skriftligt, hvem der gør hvad, især hvis et bureau også er inde over.

Hvad er det vigtigste, hvis uheldet alligevel er ude?

En frisk, testet backup og en klar plan: isolér sitet, skift adgangskoder, find hullet, og gendan fra en ren kopi før genlancering. Uden backup bliver alt andet improvisation.