Hur märker ni att WordPress har blivit hackad?
Ibland är det uppenbart, ibland inte. De vanligaste tecknen är att Google varnar besökare med texten ”Den här webbplatsen kan skada din dator”, att besökare skickas vidare till helt andra webbplatser, att nya användarkonton har dykt upp i WordPress-admin som ingen har skapat, att det ligger spaminnehåll på sidor ingen har skrivit, att hemsidan blivit extremt långsam utan förklaring, att inloggningen slutat fungera trots att lösenordet inte ändrats, att webbhotellet har stängt av sidan, eller att sökresultaten visar japanska eller ryska tecken under er domän.
Behöver ni hjälp direkt? Vi hjälper alla föreningar med hackade WordPress-hemsidor, även er som inte är kunder hos oss. Läs om vår akuta WordPress-hjälp.
Känner ni igen ett eller flera av tecknen, agera nu. Ju längre ni väntar, desto mer hinner hända.
Varför blir WordPress-sidor hackade?
WordPress i sig är säkert. Det är tre svagheter som återkommer.
Föråldrade plugins och teman är den absolut vanligaste orsaken. När en utvecklare släpper en säkerhetsuppdatering innebär det att en sårbarhet har hittats. Angripare vet det och söker aktivt efter sidor som inte har uppdaterat. Det kan gå så snabbt som några timmar efter att en sårbarhet blivit känd.
Svaga lösenord är den näst vanligaste. Lösenord som admin123 eller föreningen2026 knäcks på sekunder av automatiserade attacker. Det räcker att ett enda konto har ett svagt lösenord, till exempel en gammal administratör som slutade i styrelsen för tre år sedan.
Osäkra webbhotell utan rätt konfiguration kan innebära att en hackad sajt på samma server sprider sig till er. Det händer framför allt på billiga delade webbhotell.
Steg för steg: så räddar ni en hackad WordPress-sida
Steg 1 – Andas, och stäng inte av sidan i panik
Den första instinkten är ofta att radera allt eller stänga av sidan. Gör inte det ännu, eftersom ni behöver kunna undersöka vad som hänt. Har webbhotellet redan stängt av sidan, kontakta dem och be om tillfällig åtkomst till filerna.
Steg 2 – Byt alla lösenord omedelbart
Byt lösenord överallt: WordPress-administratörskontot, alla andra WordPress-konton, FTP- och SFTP-åtkomsten, webbhotellets kontrollpanel, databasen och de e-postkonton som är kopplade till domänen. Använd starka, unika lösenord på minst 16 tecken, gärna via en lösenordshanterare.
Ett steg som ofta glöms: byt ut säkerhetsnycklarna, så kallade salts, i wp-config.php. Utan det förblir alla aktiva inloggningssessioner giltiga, även angriparens. Nya salts loggar ut alla och tvingar fram ny inloggning.
Steg 3 – Ta en fullständig säkerhetskopia av nuläget
Innan ni börjar rensa behöver ni en kopia av allt som det ser ut just nu. Det kan verka bakvänt att säkerhetskopiera en hackad sida, men kopian behövs för att analysera vad som gick fel, för att kunna återskapa innehåll som går förlorat under rensningen, och som underlag om en incident måste anmälas. Ladda ner alla filer via FTP och exportera databasen. Hur säkerhetskopior bör fungera i vardagen går vi igenom i artikeln om säkerhetskopia av WordPress.
Steg 4 – Skanna och identifiera skadlig kod
Nu ska ni hitta var intrånget sitter. Kan ni logga in är enklaste vägen ett säkerhetsplugin som gör en fullständig skanning och pekar ut infekterade filer, bakdörrar och ändrad kod. Vilket plugin som är lämpligt har förändrats de senaste åren, och vi har skrivit om varför vi själva bytte säkerhetslösning 2026.
Kan ni inte logga in får ni ansluta via FTP och leta manuellt efter filer som nyligen ändrats, okända PHP-filer i wp-content/uploads (där ska det inte finnas några), ändrad kod i wp-config.php, .htaccess och functions.php, samt nya eller okända filer i rotkatalogen. Många webbhotell har dessutom egna skanningsverktyg, så kontakta gärna supporten och be dem kontrollera.
Steg 5 – Granska serverloggarna
Access- och errorloggarna hos webbhotellet visar hur och när intrånget skedde. Det är värdefullt av två skäl: ni ser vilken väg in som användes och kan täppa till just den, och ni får en tidpunkt att utgå från när ni avgör vilken säkerhetskopia som är ren. Utan loggarna gissar ni.
Steg 6 – Rensa den skadliga koden
Det här är det känsligaste steget. Finns en säkerhetskopia från innan intrånget är det snabbaste att återställa den, men skanna kopian först så att ni vet att den är ren.
Vid manuell rensning byter ni ut alla WordPress-kärnfiler mot en färsk installation, ersätter samtliga plugins med färska kopior, granskar temat noggrant och rensar databasen från okända administratörskonton och spaminnehåll. Kontrollera särskilt .htaccess och eventuell web.config, och återställ eller rensa bort skadliga omdirigeringar som lagts in där.
Är ni osäkra, ta hjälp. Att missa en enda bakdörr innebär att angriparen kommer tillbaka, och det är det överlägset vanligaste misstaget: man tror att man rensat klart, och samma problem dyker upp igen en vecka senare.
Steg 7 – Kontrollera e-post och domäninställningar
Ett steg som nästan alla missar. Angripare försöker ofta ändra uppgifter som ger dem kontroll över själva domänen, till exempel kontaktadresser eller DNS-pekare. Kontrollera därför att e-postadresserna i WordPress och hos webbhotellet fortfarande är era egna, och att DNS-inställningarna pekar dit de ska. En sajt som är rensad men vars domän är kapad är fortfarande i fel händer.
Steg 8 – Uppdatera allt
När sidan är ren uppdaterar ni WordPress till senaste versionen, uppdaterar alla plugins och temat, och kontrollerar att PHP-versionen på servern är aktuell, minst PHP 8.1.
Steg 9 – Säkra sidan så att det inte upprepas
Här gör de flesta ett avgörande misstag: de reparerar skadan men gör inget åt orsaken. Det är som att laga ett krossat fönster utan att sätta in ett lås. Aktivera tvåfaktorsautentisering för alla administratörer, begränsa antalet inloggningsförsök, ta bort oanvända plugins och teman eftersom även inaktiva tillägg kan ha sårbarheter, dölj att sidan kör WordPress, och ställ in automatiska säkerhetskopior som lagras externt.
Steg 10 – Meddela Google och begär ny granskning
Har Google flaggat sidan behöver ni aktivt meddela att problemet är åtgärdat. Logga in i Google Search Console, gå till Säkerhetsproblem, klicka på Begär granskning och beskriv vad ni gjort. Google kontrollerar sidan inom ett till tre dygn. Så länge varningen visas tappar ni besökare och trovärdighet, så gör det direkt efter rensningen.
Steg 11 – Dokumentera vad som hänt
Skriv ner vad som hittades, vad som åtgärdades och vid vilka datum och tider. Det tar tjugo minuter och är värt varje minut: dokumentationen är underlaget om en anmälan behöver göras, den gör det möjligt att se om samma sak återkommer, och den är det enda en ny styrelse har att gå på nästa år.
GDPR och dataintrång – glöm inte anmälningsplikten
Här missar många ett juridiskt krav. Om personuppgifter kan ha exponerats vid intrånget, till exempel namn, e-postadresser eller medlemsinformation, kan föreningen vara skyldig att anmäla till Integritetsskyddsmyndigheten inom 72 timmar. Det gäller särskilt föreningar som hanterar medlemsregister via sin WordPress-sida. Mer information finns hos IMY om personuppgiftsincidenter.
Vad kostar det att rädda en hackad WordPress-sida?
Gör ni det själva kostar det tid och nerver. Räkna med flera timmar upp till hela arbetsdagar om ni inte är vana vid filhantering och databaser. Anlitar ni hjälp varierar det, men akut rensning brukar kosta från ett par tusen kronor och uppåt beroende på omfattning.
Det som oftast glöms bort i kalkylen är kostnaden av att inte agera: förlorade besökare, skadad placering i Google, förlorat förtroende hos medlemmarna och risken för sanktionsavgifter.
Förebygg i stället för att reparera
Den bästa strategin är att aldrig hamna här. Med löpande Managed WordPress sköts uppdateringar och säkerhetskopior proaktivt av någon som har koll, och utökad säkerhetsövervakning finns som tillägg. Vi håller sidan uppdaterad, övervakad och säkerhetskopierad, och om något ändå händer finns vi där för att lösa det, snabbt och på svenska.
Behöver ni hjälp nu?
Hör av er direkt, så tittar vi på sidan. Ring 0707-92 32 52, mejla anders@winwinsupport.se eller ställ en fråga.
