En hackad webbplats märks sällan först i tekniken. Den märks när kontaktformulär slutar komma fram, Google varnar besökare, webbutiken står still eller kunder ringer och frågar varför er webbplats skickar dem vidare till en misstänkt sida. WordPress säkerhet för företag handlar därför inte bara om att stoppa angrepp. Det handlar om att skydda ert varumärke, era leads och er försäljning.
För många företag är webbplatsen en viktig säljare som arbetar dygnet runt. Den ska vara snabb, tillgänglig och trovärdig. När säkerheten brister kan kostnaden bli betydligt större än tiden det tar att uppdatera ett tillägg eller kontrollera en backup. Det går att minska risken rejält, men det kräver att säkerheten blir en löpande rutin i stället för en punktinsats när något redan har hänt.
Varför WordPress-säkerhet för företag är en affärsfråga
WordPress är världens mest använda publiceringssystem. Det gör plattformen till ett bra val för företag som vill ha en flexibel webbplats de själva äger och kan utveckla över tid. Samtidigt är den ett vanligt mål för automatiserade attacker. Det betyder inte att WordPress i sig är osäkert. De flesta problem uppstår när webbplatser lämnas utan underhåll, använder gamla tillägg eller har för enkla inloggningar.
Ett intrång kan få flera följder samtidigt. Innehållet kan ändras, skadlig kod kan placeras på sajten och personuppgifter kan riskera att exponeras. I mindre dramatiska fall blir webbplatsen bara långsam eller går ner. Men även ett kort driftstopp kan innebära förlorade förfrågningar, bokningar och förtroende.
För ett lokalt tjänsteföretag kan en enda utebliven offertförfrågan vara värd mer än ett helt års förebyggande underhåll. För en webbutik blir varje timme utan fungerande köp en direkt kostnad. Säkerhet behöver alltså bedömas utifrån vad er webbplats betyder för verksamheten, inte bara utifrån tekniska detaljer.
Börja med grunden: uppdateringar, åtkomst och backup
Det mest effektiva skyddet är ofta det minst spektakulära. WordPress kärna, tema och tillägg behöver hållas uppdaterade. Uppdateringar innehåller inte bara nya funktioner, utan täpper ofta igen kända säkerhetshål. När en sårbarhet blir offentlig börjar bottar snabbt leta efter webbplatser som ännu inte är uppdaterade.
Samtidigt bör uppdateringar göras med omdöme. På en enkel företagssajt kan mindre uppdateringar ofta genomföras direkt efter en backup. På en större webbplats med bokningssystem, integrationer eller e-handel är det klokt att först testa ändringar i en testmiljö. Ett tillägg kan fungera bra på egen hand men skapa problem ihop med ett visst tema eller ett annat tillägg. Säkerhet får inte leda till onödiga driftstopp.
Åtkomsten är nästa grundpelare. Varje person ska ha ett eget konto och bara de behörigheter som behövs. Undvik delade administratörsinloggningar, särskilt om ni arbetar med externa konsulter eller flera medarbetare. När någon slutar eller ett samarbete avslutas ska kontot tas bort, inte bara glömmas bort.
Ett starkt lösenord och tvåfaktorsautentisering gör stor skillnad. Tvåfaktorsautentisering innebär att lösenordet kompletteras med en kod i exempelvis en app. Då räcker det inte att någon kommer över lösenordet för att logga in. Det är en enkel åtgärd med hög effekt, särskilt för administratörskonton.
Backupen är er sista livlina. Den ska tas automatiskt, lagras på en separat plats och gå att återställa. Många företag har backup aktiverad men har aldrig kontrollerat att återställningen faktiskt fungerar. Det är som att ha en brandsläckare som ingen har sett efter om den är laddad. Testa återställning med jämna mellanrum och säkerställ att både filer, databas och viktiga inställningar omfattas.
Välj tillägg och webbhotell med eftertanke
Tillägg gör WordPress användbart, men varje tillägg är också en komponent som behöver underhållas. Det vanligaste misstaget är inte att använda tillägg, utan att samla på sig för många, välja dåligt underhållna alternativ eller behålla sådant som inte längre används.
Gå igenom er webbplats minst ett par gånger per år. Fråga er om varje tillägg fortfarande fyller en tydlig funktion, om det uppdateras regelbundet och om det är kompatibelt med er version av WordPress. Ta bort inaktiva tillägg och teman som inte behövs. Att bara avaktivera dem räcker inte alltid, eftersom gamla filer fortfarande kan innehålla sårbarheter.
Gratis tillägg är inte automatiskt ett dåligt val, och betalda tillägg är inte automatiskt säkra. Det viktiga är kvaliteten bakom dem: aktiv utveckling, tydlig dokumentation, god kompatibilitet och en leverantör som tar ansvar för uppdateringar. Var extra försiktig med så kallade premiumtillägg som erbjuds gratis från okända källor. De kan innehålla skadlig kod redan från början.
Webbhotellet spelar också stor roll. Ett billigt webbhotell kan fungera för en enkel informationssida, men när webbplatsen är viktig för affären behöver ni veta vad som ingår. Fråga hur säkerhetskopiering hanteras, om brandvägg och skadeprogramsskanning finns, hur snabbt supporten svarar och vad som händer vid ett intrång. Ett bra webbhotell ersätter inte underhåll av WordPress, men det ger ett viktigt extra skydd.
Skydda formulär, kunddata och e-handel
En kontaktblankett kan verka harmlös, men den är ofta en väg in för spam, automatiserade försök och ibland känsliga uppgifter. Begränsa därför vilken information ni ber om. Behöver ni verkligen personnummer eller detaljer som lika gärna kan tas i ett senare samtal? Ju mindre känslig data som samlas in, desto mindre blir konsekvensen om något går fel.
Formulär bör ha skydd mot automatiserade utskick och rätt mottagarinställningar. Kontrollera också att mejl från webbplatsen verkligen levereras. Ett formulär som tekniskt fungerar men vars meddelanden hamnar i skräpposten kostar lika mycket i missade affärer som ett formulär som är trasigt.
För e-handel krävs ytterligare nivåer av kontroll. Betalningar ska hanteras via etablerade betallösningar, SSL-certifikat ska vara aktivt och orderflödet bör testas efter större uppdateringar. Kundkonton, orderuppgifter och lagerintegrationer gör webbplatsen mer värdefull för både er och en angripare. Här är ett löpande underhållsavtal ofta mer rimligt än att försöka lösa allt internt vid sidan av den vanliga verksamheten.
Upptäck problem innan kunden gör det
Säkerhet är också övervakning. Om ingen märker att webbplatsen har blivit långsam, fått märkliga länkar eller slutat fungera kan ett litet problem växa. Grundläggande kontroll bör omfatta tillgänglighet, säkerhetsloggar, misstänkta inloggningsförsök och ändringar i viktiga filer.
Det är klokt att bestämma vem som gör vad när något händer. Vem kontaktar webbhotellet? Vem kan godkänna en återställning? Var finns inloggningsuppgifter och kontaktuppgifter till utvecklare eller byrå? I en stressad situation sparar en enkel plan både tid och pengar.
Google kan dessutom påverkas när en webbplats infekteras. Besökare kan få varningar i webbläsaren, och er synlighet kan ta skada om skadligt innehåll indexeras. Att städa upp efteråt är möjligt, men det tar ofta längre tid än man tror. Förebyggande arbete är nästan alltid billigare.
När räcker det att göra själv?
En mindre webbplats med få funktioner kan ofta skötas internt om någon har tid, ansvar och tillräcklig vana. Då behöver ni ändå en fast rutin för uppdateringar, backupkontroll och genomgång av användarkonton. Problemet är sällan att uppgifterna är omöjliga. Problemet är att de skjuts upp när kundjobb, personalfrågor och vardagen tar över.
När webbplatsen genererar leads, har e-handel, används av flera personer eller innehåller viktiga integrationer är extern hjälp ofta en tryggare lösning. Då får ni löpande kontroller, en tydlig kontaktväg och någon som kan agera snabbt om något avviker. Ni behöver inte bli experter på WordPress för att ha kontroll över er digitala affär.
På Brandstedt ser vi säkerhet som en del av att hålla webbplatsen affärsklar. Det innebär att teknik, uppdateringar, backup och support behöver fungera tillsammans, utan onödigt krångel eller otydliga ansvar.
En bra start är att sätta av en timme denna vecka: kontrollera vilka som har administratörsbehörighet, se när backupen senast testades och gå igenom om webbplatsen har gamla tillägg som ingen längre använder. Små åtgärder nu kan vara det som gör att er webbplats fortsätter skapa förtroende och affärer när det verkligen gäller.
