Stop WordPress SPAM brugeroprettelser | Nemt & Hurtigt

Kort svar: Du stopper spambrugeroprettelser i WordPress ved at lukke for åben registrering under Indstillinger → Generelt, hvis du ikke bruger medlemskaber eller kundelogin. Bruger du WooCommerce, så lad kunderne oprette konto ved checkout i stedet for på “Min konto”-siden. Læg derefter Cloudflare eller en anden firewall foran sitet, og ryd op i de falske brugere, der allerede er oprettet.

Fagligt gennemgået: 2. oktober 2026

En WordPress-side helt uden spam lyder som en god historie, men for de fleste ser virkeligheden anderledes ud. Bots finder hurtigt sider, hvor alle kan oprette en bruger, og så kommer der falske konti og kommentarspam i en lind strøm.

Den gode nyhed er, at det er ret nemt at slippe for det meste. I denne guide får du de greb, der virker: luk registreringen, styr kommentarerne, sæt en firewall foran og ryd op i det, der allerede er sket.

Hvorfor opretter bots brugere på din WordPress-side?

Mange oplever, at deres WordPress– og WooCommerce-sider pludselig får brugeroprettelser i stor stil. Formålet er sjældent at få adgang til selve sitet. Typisk vil bots lægge kommentarspam på dine indlæg og produkter for at få links til andre sider eller for at lave affiliate-markedsføring.

En stor mængde falske brugere er dog mere end et irritationsmoment. De fylder databasen, de kan udløse velkomstmails fra dit domæne, som så ender som spam hos modtagerne, og hver konto er et login mere, som kan misbruges, hvis rollerne ikke er sat rigtigt.

Se om du er udsat for brugerspam

1. Log ind på dinhjemmeside.dk/wp-admin/.
2. Gå til Brugere → Alle brugere i menuen til venstre.
3. Kig efter mange nye brugere med rollen Abonnent eller Kunde, mærkelige navne og e-mailadresser, der ligner hinanden.

Typiske kendetegn er Gmail-adresser med punktummer mellem næsten hvert bogstav, adresser fra ukendte engangsdomæner og navne, der bare er tilfældige bogstaver. Gmail ignorerer punktummer i brugernavnet, så bots bruger tricket til at oprette mange konti med varianter af den samme adresse.

Vær alligevel forsigtig, før du sletter. Rigtige kunder kan også bruge maskerede adresser, fx Apples “Skjul min e-mail”, som videresender til deres egentlige postkasse. Tjek derfor de øvrige oplysninger på brugeren, fx navn, adresse, ordrer og indhold, før du sletter noget.

Sådan undgår du kommentar- og brugerspam i WordPress

Helt at undgå spam kan du næppe, men du kan fjerne langt det meste med nogle få indstillinger. Tag en backup, før du ændrer filer.

1. Slå åben registrering fra

Gå til Indstillinger → Generelt, og fjern fluebenet ved Medlemskab: Enhver kan registrere sig. Det er det vigtigste enkeltgreb. Du kan stadig oprette brugere manuelt under Brugere → Tilføj ny, når du er logget ind som administrator.

Tjek samtidig, at Standardrolle for nye brugere står til Abonnent. Står den højere, kan en bot få flere rettigheder end tiltænkt.

2. Stram kommentarindstillingerne

Gå til Indstillinger → Diskussion. Bruger du ikke kommentarer, så fjern fluebenet ved “Tillad folk at skrive kommentarer til nye indlæg”, og luk for kommentarer på eksisterende indlæg. Det fjerner hele grunden til, at bots opretter brugere.

Vil du beholde kommentarerne, kan du kræve, at kommentarer godkendes manuelt, og at forfatteren skal have en tidligere godkendt kommentar. Du kan også slå “Luk automatisk for kommentarer på indlæg, der er ældre end” til, fordi gamle indlæg ofte er dem, bots går efter.

3. Lås registreringen med kode

Hvis et tema eller plugin slår registreringen til igen, kan du låse den i koden. Læg dette i et child-tema eller et lille must-use-plugin, ikke direkte i et tema, der bliver opdateret:

// Tving "Enhver kan registrere sig" til at være slået fra
add_filter( 'pre_option_users_can_register', '__return_zero' );

Brugere kan herefter kun oprettes manuelt i wp-admin. Skærmbilledet herunder er fra den oprindelige version af guiden – brug kodelinjen ovenfor som udgangspunkt. Husk altid at tage en kopi af filen, før du ændrer den, så du hurtigt kan rulle tilbage.

Bruger du WooCommerce?

I WooCommerce styres kundekonti et andet sted. Gå til WooCommerce → Indstillinger → Konti og privatliv. Vil du stadig have kunder som brugere, er en god løsning at slå “Tillad kunder at oprette en konto på siden Min konto” fra og kun tillade kontooprettelse under checkout. Så oprettes der kun konti i forbindelse med et rigtigt køb.

Overvej også at tillade gæstekøb. Mange kunder har ikke brug for en konto, og færre konti betyder færre data, du skal passe på.

Brug Cloudflare eller en anden firewall foran sitet

Indstillingerne i WordPress lukker døren, men bots banker stadig på. En firewall foran sitet stopper en stor del af trafikken, før den når WordPress og databasen.

Med Cloudflare foran WordPress kan du fx:

• lave en WAF-regel, der udfordrer eller blokerer forespørgsler til wp-login.php?action=register, hvis du slet ikke bruger registrering
• sætte en Managed Challenge på loginsiden og registreringsformularer
• bruge Cloudflare Turnstile som et mindre forstyrrende alternativ til klassisk captcha på formularer
• begrænse antallet af forespørgsler fra samme IP til login og registrering

Pas på med de mest aggressive bot-indstillinger. Bot Fight Mode kan blokere betalings-callbacks og overvågning, så test checkout bagefter (se Bot Fight Mode blokerer betalings-callbacks).

Ryd op i de falske brugere

Når hullet er lukket, skal du fjerne de konti, der allerede er oprettet:

1. Tag en backup af databasen.
2. Sortér brugerlisten efter rolle, og gennemgå Abonnenter og Kunder uden ordrer eller indhold.
3. Slet de falske konti i bulk via Massehandlinger. Har en bruger skrevet indhold, spørger WordPress, hvad der skal ske med det. Vælg at slette det, hvis det er spam.
4. Tjek, at ingen ukendte brugere har fået rollen Redaktør, Forfatter eller Administrator.
5. Skift adgangskoder til administratorkonti, hvis du er i tvivl om omfanget.

Har du WP-CLI, kan du hurtigt få overblik over, hvor mange abonnenter der er:

wp user list --role=subscriber --format=count
wp user list --role=subscriber --fields=ID,user_email,user_registered

Slet ikke i blinde med kommandolinjen. Gennemgå listen først, især hvis rigtige kunder også har rollen Abonnent.

Vælg hosting med beskyttelse på serverniveau

Én ting er at lukke registreringen i WordPress. Noget andet er at få stoppet så meget som muligt, før det når sitet. Her betyder serveropsætningen meget.

Firewall og malware-scanning på serveren

En serverbaseret sikkerhedsløsning, fx Imunify360 fra CloudLinux, kombinerer flere lag: en firewall, der blokerer kendte ondsindede IP-adresser, regler mod typiske angreb, løbende malware-scanning og overvågning af kode, der udføres på serveren. Fordelen er, at beskyttelsen virker for alle sites på kontoen uden et ekstra plugin i WordPress.

Spørg din hostingudbyder, hvilke af disse lag der er aktive på din konto, og om de også dækker login- og registreringsforsøg.

LiteSpeed Enterprise og WordPress-beskyttelse

LiteSpeed Enterprise er en webserver, der kan erstatte Apache og forstår de samme .htaccess-regler, mod_rewrite og ModSecurity-regelsæt. Den har indbygget beskyttelse mod brute force på wp-login.php og xmlrpc.php og kan vise en server-baseret reCAPTCHA, når en IP sender for mange forespørgsler.

Kombineret med LiteSpeed Cache får du også hurtigere sider, fordi cachede sider leveres uden at starte PHP. Det betyder, at bottrafik mod almindelige sider belaster serveren mindre.

Hostious’ WordPress hosting kører på LiteSpeed Enterprise med NVMe på servere i Europa, og fra WP StartUp er WordPress serviceaftalen inkluderet, så opdateringer og løbende vedligeholdelse ikke hænger på dig alene.

Læs også

• Hub: WordPress sikkerhed og backup – alle guides om emnet samlet ét sted
• Beskyt WordPress-login mod brute force – i fire lag
• 10 enkle trin til at holde din WordPress hjemmeside sikker (ingen plugins)
• Rigtige besøgende møder captcha eller challenge
• WordPress serviceaftale – opdateringer, backups og løbende vedligeholdelse på abonnement

Ofte stillede spørgsmål om WordPress-spam

Hvorfor får min WordPress side pludselig mange falske brugere?

Fordi bots scanner efter sider med åben registrering og udnytter dem automatisk. Slå “Enhver kan registrere sig” fra under Indstillinger → Generelt, hvis du ikke aktivt bruger medlemskaber eller kundelogin.

Kan jeg stoppe spam uden et plugin?

Ja. Vil du stoppe spambrugeroprettelser i WordPress uden plugins, rækker kombinationen af lukket registrering, strammere kommentarindstillinger, Cloudflare foran sitet og et beskyttet login langt. Plugins kan supplere, men er sjældent første skridt.

Skal jeg slette de spambrugere, der allerede er oprettet?

Ja. Tag en backup, gennemgå brugerlisten, slet konti uden rigtigt indhold eller ordrer, og tjek at ingen har fået en rolle over Abonnent. Skift admin-adgangskoder, hvis du er i tvivl om omfanget.

Hvordan undgår jeg falske kundekonti i WooCommerce?

Slå kontooprettelse på Min konto-siden fra under WooCommerce → Indstillinger → Konti og privatliv, og tillad kun oprettelse ved checkout eller gæstekøb. Så opstår der kun konti i forbindelse med rigtige ordrer.