Slik strammer du inn WordPress-login uten å gjøre hverdagen tungvint

Administratorinnloggingen i WordPress er et av de mest utsatte stedene på hele nettstedet. Mange angrep starter ganske enkelt med at noen prøver vanlige brukernavn og passord om og om igjen.

Heldigvis kan du komme veldig langt med noen få grep som er enkle å leve med i hverdagen. Her går vi gjennom praktiske tiltak som reduserer risikoen kraftig uten at du må bli sikkerhetsekspert.

Start med det grunnleggende: passord og brukernavn

Det høres banalt ut, men mange installasjoner har fortsatt svake eller gjenbrukte passord. Et sterkt passord bør være langt, unikt for nettstedet ditt og lagret i en passordmanager, ikke i en notatapp eller e‑post.

Unngå også å ha en administrator som heter “admin” eller det samme som domenet. Opprett heller en ny administratorkonto med et mindre opplagt navn, logg inn med den og nedgrader eller slett den gamle.

Begrens antall innloggingsforsøk

Mange automatiserte angrep er rene “gjette-leker” der roboter prøver hundrevis av passord i minuttet. Ved å begrense antallet forsøk fra samme IP, gjør du slike angrep langt mindre effektive.

Du kan bruke en dedikert plugin som kun håndterer dette, eller en sikkerhetspakke som har funksjonen innebygd. Typisk konfigurasjon er å låse en IP i 15–30 minutter etter for eksempel 3–5 feil forsøk, og blokkere lengre tid etter gjentatte brudd.

Aktiver tofaktorautentisering (2FA)

Tofaktor gir et ekstra lag: selv om et passord skulle komme på avveie, trenger angriperen fortsatt en engangskode på mobilen. Det gir betydelig bedre sikkerhet for svært liten ekstra innsats.

Velg en plugin som støtter standard autentiseringsapper (som tidsbaserte engangskoder), og start med brukere som har høyest rettigheter. Avklar også på forhånd hvordan dere håndterer tapt telefon eller bytte av enhet.

Beskytt /wp-login.php og /wp-admin

De fleste angrep går rett på standardadressen for innlogging. Du kan gjøre det litt vanskeligere ved å endre URL til innloggingssiden, eller ved å legge et ekstra lag innlogging foran via webserveren.

Å endre login-URL er ikke en fullgod beskyttelse alene, men det begrenser støy og unødvendig last. Test alltid endringen på et mindre kritisk tidspunkt og sørg for at alle som skal inn på nettsiden vet om ny adresse.

Begrens hvem som kan logge inn hvorfra

For noen organisasjoner kan det være aktuelt å begrense admin-tilgang til bestemte IP-adresser, for eksempel kontoret eller en VPN. Dette kan settes opp i webserveren eller gjennom enkelte sikkerhetsløsninger.

For mer fleksible oppsett kan du bruke regler som flagger eller blokkerer mistenkelige innlogginger, for eksempel når noen prøver å logge inn fra et land dere aldri arbeider fra.

Rydd i roller og tilganger

Jo færre som har administratortilgang, jo mindre er risikoen. Gå gjennom listen over brukerkontoer og fjern de som ikke lenger er i bruk, eller som tilhører tidligere ansatte og leverandører.

Gi brukere lavest mulig rolle som dekker arbeidsoppgavene. Mange som bare publiserer innhold klarer seg fint med redaktør- eller forfatterrettigheter, og trenger ikke full administratortilgang.

Hold programvaren oppdatert

Sårbarheter i WordPress-kjernen, temaer og utvidelser kan gjøre innloggingssiden enklere å utnytte. Oppdateringer tetter ofte slike hull, men bare hvis de faktisk installeres.

Sett av faste tidspunkt til å oppdatere, og ta sikkerhetskopi før du gjør større endringer. Har du mange utvidelser, kan det være lurt å teste oppdateringer på en kopi av nettstedet før du slipper dem til i produksjon.

Overvåk og logg innlogginger

Uten innsyn i hva som skjer, er det vanskelig å vite om noen prøver å bryte seg inn. En enkel logger som registrerer innloggingsforsøk, låste kontoer og endringer i roller gir deg et bedre grunnlag for å reagere tidlig.

Velg et oppsett der loggene lagres på en ryddig måte, og avklar hvem som har ansvar for å følge dem opp. Reager på uvanlig aktivitet som mange feil innlogginger, hyppige innlogginger om natten eller nye brukere som dukker opp uten forklaring.

Lag en enkel intern “innloggingspolicy”

Tekniske tiltak hjelper mye, men menneskene rundt nettstedet er like viktige. Skriv ned noen korte kjøreregler for passord, tofaktor, deling av brukere og hva man gjør ved mistanke om misbruk.

Hold dokumentet kort og praktisk, og oppdater det når dere endrer på sikkerhetsoppsettet. Poenget er ikke å lage et stort regelverk, men å gjøre det lett for alle å gjøre det riktige i hverdagen.