Säkra din webbplats — Praktisk guide 2026

Praktiska säkerhetsåtgärder

Välj en hostingleverantör med bra säkerhet

Din hostingleverantör spelar en avgörande roll för din webbplats säkerhet. En bra leverantör erbjuder flera lager av skydd som kompletterar dina egna åtgärder. När du väljer webbhotell, leta efter leverantörer som erbjuder gratis SSL-certifikat via Let's Encrypt för krypterad trafik, automatiska dagliga backuper med enkel återställning, malware-skanning och -borttagning (till exempel via Imunify360), en brandvägg på servernivå (WAF), DDoS-skydd som filtrerar skadlig trafik innan den når din sajt, isolerade konton så att en hackad grannsajt inte kan sprida sig vidare, samt datacenter i Sverige för att förenkla GDPR-efterlevnaden.

Så utvärderar du säkerhetsfunktioner

När du utvärderar en leverantörs säkerhetsfunktioner är det viktigt att titta bortom marknadsföringslöften. Kontrollera vilken typ av brandvägg (WAF) som används — en proaktiv WAF som Imunify360 eller ModSecurity blockerar attacker i realtid, medan enklare lösningar bara loggar misstänkt trafik. Undersök hur ofta malware-skanningar körs: daglig skanning fångar upp hot snabbare än veckovis. Fråga även om isolering mellan kunder på delade servrar. Utan ordentlig kontoisolering (till exempel via CloudLinux eller liknande teknik) kan en hackad webbplats på samma server påverka din sajt. Automatisk backup är bra, men kontrollera också hur länge backuper sparas och hur snabbt du kan återställa — en leverantör som erbjuder självbetjäningsåterställning via kontrollpanelen sparar dig värdefull tid vid en incident.

Svenska datacenter och GDPR

Att välja en leverantör med datacenter i Sverige ger fördelar som sträcker sig bortom prestanda. Ur ett säkerhetsperspektiv innebär svenskt datacenter att dina data omfattas av svensk lag och EU:s dataskyddsförordning (GDPR) utan risk för överföring till tredje land. Det förenklar avsevärt din GDPR-efterlevnad och ger dig datasuveränitet — du vet exakt var dina data lagras och vilka lagar som gäller. Geografisk närhet underlättar dessutom övervakning och incidenthantering: vid ett säkerhetsproblem kan du snabbare få kontakt med supporten på ditt eget språk och i din egen tidszon. Svenska leverantörer som Inleed har också en djupare förståelse för lokala regelverk och branschkrav, vilket gör det enklare att uppfylla specifika säkerhetskrav som kan gälla för svenska verksamheter.

I vår webbhotelljämförelse utvärderar vi alla leverantörer på just dessa säkerhetsfaktorer. Inleed erbjuder exempelvis Imunify360, daglig backup, gratis SSL och datacenter i Falun — allt inkluderat i priset från 74 kr/mån inkl moms.

Jämförelse av säkerhetsfunktioner hos svenska leverantörer

VPN — skydda din anslutning

En ofta förbisedd säkerhetsåtgärd är att skydda din egen anslutning när du administrerar din webbplats. Om du loggar in på WordPress-admin, FTP eller SSH från ett offentligt WiFi-nätverk kan dina inloggningsuppgifter avlyssnas.

En VPN-tjänst krypterar all din internettrafik och skyddar dig mot avlyssning. Svenska VPN-tjänster börjar från 36 kr/mån inkl moms och ger dig krypterad trafik via WireGuard eller OpenVPN.

När du behöver VPN

Det finns flera situationer där en VPN är särskilt viktig för dig som webbplatsägare. Arbetar du från ett kafé, hotell eller flygplats bör du alltid använda VPN — offentliga WiFi-nätverk är en av de vanligaste platserna där inloggningsuppgifter stjäls. Jobbar du på distans och ansluter till kontorets nätverk för att nå interna verktyg eller staging-miljöer är en VPN ett krav, inte ett val. Detsamma gäller när du loggar in på din webbplats admin-panel, cPanel, SSH eller FTP-klienten — utan VPN kan uppgifterna läcka genom felkonfigurerade proxies eller komprometterade routrar även om tjänsten använder HTTPS.

Funktioner att prioritera

När du väljer VPN för webbadministration bör du prioritera några specifika funktioner. En kill switch är avgörande: den stänger av all internettrafik om VPN-anslutningen oväntat bryts, så att dina inloggningsuppgifter aldrig skickas okrypterat. En strikt no-log-policy innebär att VPN-leverantören inte sparar loggar över din aktivitet, vilket skyddar din integritet. Se även till att leverantören har servrar i Sverige — det ger bättre hastighet och lägre latens när du administrerar din sajt hos en svensk hostingleverantör.

WireGuard eller OpenVPN?

De två vanligaste VPN-protokollen är WireGuard och OpenVPN. WireGuard är det modernare alternativet med snabbare hastigheter och lägre resursförbrukning — det är ofta det bästa valet för daglig användning och fungerar utmärkt på både dator och mobil. OpenVPN har funnits längre och anses vara extremt väl testat ur ett säkerhetsperspektiv. Det har fler konfigurationsmöjligheter och kan vara att föredra i företagsmiljöer med specifika nätverkskrav. De flesta moderna VPN-leverantörer stödjer båda protokollen, så du kan välja det som passar din situation bäst. I vår VPN-jämförelse kan du se vilka leverantörer som erbjuder båda protokollen.

WordPress-specifik säkerhet

WordPress driver över 40 % av alla webbplatser globalt, vilket också gör det till det mest angripna CMS:et. Utöver de generella stegen ovan behöver WordPress-användare ta några extra åtgärder.

Plugins och teman — rensa bort oanvänt

Börja med att ta bort oanvända teman och plugins — varje tillägg är en potentiell sårbarhet, och det är vanligare än man tror att en nedlagd plugin blir inkörsporten för ett angrepp månader efter att utvecklaren slutat släppa uppdateringar. Använd bara plugins från pålitliga utvecklare med regelbundna säkerhetsuppdateringar och en aktiv supportkanal.

Konfigurationshärdning

På konfigurationsnivå: flytta wp-config.php en nivå upp från webbroten (det gör den otillgänglig via webbservern även om en angripare lyckas exekvera kod), byt databastabellernas prefix från standardvärdet wp_ till något eget, och stäng av filredigering i WordPress-admin genom att lägga till define('DISALLOW_FILE_EDIT', true) i wp-config.php. Installera ett säkerhetsplugin — Wordfence, Sucuri Security eller Solid Security (tidigare iThemes) — men välj ett, inte flera, eftersom de kan konflikta.

Skydda inloggningssidan

Slutligen behöver inloggningssidan skydd. Begränsa antalet inloggningsförsök (plugin som Limit Login Attempts Reloaded är gratis och enkelt), aktivera tvåfaktorsautentisering via Google Authenticator eller en YubiKey, och överväg att flytta själva inloggnings-URL:en bort från standardadressen /wp-login.php med hjälp av WPS Hide Login. Det tar bort nästan all trafik från automatiserade brute-force-angrepp som scannar den kända adressen.

Välj ett säkerhetsplugin

Det finns flera säkerhetsplugins att välja mellan, och de tre mest populära är Wordfence, Sucuri Security och iThemes Security (numera Solid Security). Wordfence är det mest använda alternativet med en kraftfull brandvägg och malware-skanner som körs direkt på din server. Gratisversionen ger bra grundskydd, men brandväggsreglerna uppdateras med 30 dagars fördröjning jämfört med premiumversionen. Sucuri Security erbjuder övervakning, malware-skanning och en molnbaserad brandvägg (i premiumversionen) som filtrerar trafik innan den når din server — det minskar belastningen och skyddar även mot DDoS. Nackdelen är att den molnbaserade brandväggen kräver en betald plan. Solid Security (f.d. iThemes Security) fokuserar på att härda WordPress-installationen med över 30 olika säkerhetsåtgärder som tvåfaktorsautentisering, lösenordspolicyer och filändringsdetektering. Det är särskilt bra för nybörjare tack vare ett enkelt gränssnitt. Oavsett vilket plugin du väljer — undvik att installera flera säkerhetsplugins samtidigt, då de kan konfliktera och orsaka problem.

Filrättigheter

Filrättigheter på servern är en ofta förbisedd men viktig del av WordPress-säkerheten. Filen wp-config.php innehåller dina databasuppgifter och hemliga nycklar — den bör ha filrättigheter satta till 400 eller 440, vilket innebär att bara ägaren (och eventuellt gruppen) kan läsa den. Flytta gärna wp-config.php en nivå upp från webbroten för ett extra lager av skydd. Filen .htaccess styr serverinställningar och bör ha rättigheter 644. Lägg till regler i .htaccess som blockerar direkt åtkomst till wp-config.php och förhindrar katalogbläddring. Mapparna wp-content, wp-includes och wp-admin bör ha rättigheter 755, medan filer generellt bör vara 644. Sätt aldrig rättigheter till 777 — det ger alla full åtkomst och är en allvarlig säkerhetsrisk.

GDPR och dataskydd

Om din webbplats samlar in personuppgifter — kontaktformulär, nyhetsbrev, kundkonton eller cookies — måste du följa GDPR. En dataintrång kan leda till betydande böter och förlorat förtroende.

Grundläggande GDPR-åtgärder för din webbplats:

• Välj ett webbhotell med datacenter i Sverige/EU
• Teckna personuppgiftsbiträdesavtal (DPA) med din leverantör
• Kryptera all trafik med SSL (HTTPS)
• Minimera datainsamling — samla bara in det du behöver
• Ha en tydlig integritetspolicy på din webbplats
• Se till att backup lagras säkert och kan raderas vid begäran

Vilken data behöver du skydda?

En typisk webbplats samlar in mer personuppgifter än de flesta ägare inser. Kontaktformulär sparar namn, e-postadresser och ibland telefonnummer. Analysverktyg som Google Analytics registrerar IP-adresser, besöksmönster, enhetstyp och geografisk plats. Cookies för marknadsföring och spårning lagrar unika identifierare som kan kopplas till enskilda individer. Om du kör e-handel tillkommer betaluppgifter, leveransadresser och orderhistorik. Även kommentarsfält och nyhetsbrevsprenumerationer samlar in persondata som faller under GDPR.

Så uppfyller du GDPR i praktiken

För att uppfylla GDPR i praktiken behöver du vidta flera konkreta steg. Upprätta en tydlig integritetspolicy (privacy policy) som beskriver vilka uppgifter du samlar in, varför, hur de lagras och hur länge. Implementera en cookie consent-lösning som blockerar icke-nödvändiga cookies tills besökaren aktivt har gett samtycke — att bara visa en informationsbanner räcker inte. Teckna personuppgiftsbiträdesavtal (DPA) med alla tredjepartstjänster som hanterar persondata åt dig, inklusive din hostingleverantör, e-posttjänst och analysverktyg. Se till att du kan besvara registerutdrag inom 30 dagar och att du har en process för att radera personuppgifter på begäran. Dokumentera alla behandlingar i ett registerförteckning som beskriver vilka uppgifter som behandlas och på vilken rättslig grund.

Böter och konsekvenser

Konsekvenserna av bristande GDPR-efterlevnad kan vara kännbara. Integritetsskyddsmyndigheten (IMY) i Sverige har befogenhet att utfärda sanktionsavgifter på upp till 20 miljoner euro eller 4% av företagets globala årsomsättning, beroende på vilket som är högst. Mindre allvarliga överträdelser kan ge böter på upp till 10 miljoner euro. Utöver ekonomiska påföljder kan ett dataintrång leda till förlust av kundförtroende, negativ medieuppmärksamhet och skada på varumärket som tar lång tid att reparera. För mindre företag kan redan en utredning vara resurskrävande och störande för verksamheten. Det är därför betydligt billigare och enklare att investera i GDPR-efterlevnad från start än att hantera konsekvenserna i efterhand.

Vad gör du om din webbplats redan har blivit hackad?

Trots alla förebyggande åtgärder kan det hända att din webbplats blir hackad. Snabb och korrekt hantering begränsar skadan och ger dig bästa möjlighet att återställa sajten. Här är en steg-för-steg-plan för incidenthantering.

Omedelbara åtgärder: Det första du bör göra är att ta webbplatsen offline för att förhindra att besökare utsätts för skadlig kod eller att angriparen fortsätter att orsaka skada. De flesta hostingleverantörer erbjuder möjlighet att pausa sajten via kontrollpanelen. Byt omedelbart alla lösenord — inte bara WordPress-lösenordet, utan även lösenord för hosting-kontot, FTP, databas, SSH och e-postkonton kopplade till webbplatsen. Kontakta din hostingleverantör och informera dem om intrånget. En bra leverantör som Inleed kan hjälpa dig att identifiera hur intrånget skedde och vilka filer som har påverkats.

Återställning: Börja med att återställa webbplatsen från en ren backup som skapades innan intrånget skedde. Kontrollera datum och loggar för att avgöra när hackningen troligen inträffade, så att du inte återställer en redan infekterad backup. Efter återställning, kör en fullständig malware-skanning med verktyg som Sucuri SiteCheck, Wordfence eller Imunify360 för att verifiera att inga skadliga filer kvarstår. Uppdatera sedan allt — WordPress-kärnan, alla plugins och alla teman — till senaste version. Ta bort plugins och teman som du inte aktivt använder. Kontrollera användarkonton i WordPress och ta bort okända konton som angriparen kan ha skapat.

Förebyggande efter återställning: När sajten är ren och uppdaterad är det dags att implementera säkerhetsåtgärderna ovan om du inte redan har gjort det. Installera ett säkerhetsplugin med brandvägg, aktivera tvåfaktorsautentisering, konfigurera automatiska dagliga backuper och börja använda VPN vid administration. Granska dina loggar regelbundet under de närmaste veckorna för att upptäcka eventuella nya försök. Anmäl dig till Google Search Console om du inte redan har gjort det — Google varnar dig om de upptäcker malware eller phishing på din sajt. Genom att ta säkerheten på allvar efter ett intrång minskar du dramatiskt risken att det händer igen.