Er mit WordPress hacket? 10 tegn du skal kende (hurtig tjekliste)
Noget føles galt med dit WordPress, men du er ikke sikker på, om det faktisk er hacket — eller bare en fejl. Det er præcis det rigtige spørgsmål at stille, før du river noget ned. Et hack og en banal fejlkonfiguration kan ligne hinanden udefra, men kræver vidt forskellig behandling. Denne tjekliste hjælper dig med at afgøre det på få minutter.
Gennemgå de ti tegn herunder. Genkender du to eller flere, skal du behandle sitet som kompromitteret og gå i gang med oprydning med det samme — hver time et inficeret site er online, vokser skaden.
Bekræfter du et hack lige nu, og koster det dig kunder? Du behøver ikke stå med det alene. Få akut oprydning — svar inden for 4 timer.
1. Besøgende sendes videre til fremmede sider (redirects)
Det klassiske og mest synlige tegn: du eller dine besøgende klikker ind på sitet og bliver kastet videre til spam-, casino-, medicin- eller dating-sider. Ofte sker det kun for besøgende fra Google, eller kun på mobil, så du selv ikke ser det, når du er logget ind. Prøv at åbne sitet i et privat browservindue fra et søgeresultat. Bliver du viderestillet, har du et redirect-hack.
2. Ukendte administrator-brugere
Gå til Brugere → Alle brugere og filtrér på administratorer. Står der konti, du ikke selv har oprettet — ofte med tilfældige navne eller en gmail-adresse du ikke kender — er det et stærkt tegn på indbrud. Slet dem ikke, før du har noteret oprettelsesdatoen; den fortæller, hvornår angrebet skete.
3. Google viser en advarsel foran dit site
Ser du "Dette website kan skade din computer" eller "Deceptive site ahead" i den røde fuldskærmsadvarsel, har Google Safe Browsing flagget dit domæne. Det sker først efter, at malware er bekræftet — så her er der ingen tvivl. Læs hvordan du kommer fri igen i Min WordPress-side er på Googles blokliste.
4. Spam-tekst i dine søgeresultater
Søg på site:ditdomæne.dk i Google. Dukker der sider op med japanske tegn, mærkevare-medicin, billige lån eller falske sko-butikker, som ikke hører til dit site, er din indeksering blevet kapret. Det er typisk japansk SEO-spam eller et pharma-hack, hvor angriberen misbruger din domæne-autoritet.
5. PHP-filer hvor der ikke bør være nogen
Mappen wp-content/uploads skal kun indeholde billeder og dokumenter — aldrig eksekverbar kode. Finder du PHP-filer der, er det næsten altid en bagdør:
find wp-content/uploads -name "*.php"
Returnerer kommandoen blot én linje, skal du tage det alvorligt.
6. Filer er ændret for nylig — uden at du rørte dem
En liste over de senest ændrede PHP-filer afslører ofte injektioner. Hvis kernefiler eller plugin-filer er ændret på et tidspunkt, hvor du ikke opdaterede noget, er der grund til bekymring:
find . -type f -name "*.php" -mtime -7
7. Sitet sender spam-mails (eller din host advarer dig)
Får du pludselig beskeder om, at dit domæne er på en spam-blokliste, eller at din host har bremset udgående mail? Så bruger nogen din server til at sende spam. Det rammer både din leveringsevne og dit omdømme.
8. Sitet er blevet mærkbart langsommere
Et inficeret site bruger ofte serverressourcer på at sende spam, mine kryptovaluta eller deltage i angreb mod andre. Et pludseligt fald i hastighed uden en oplagt forklaring kan være symptomet — ikke selve problemet.
9. Du er låst ude af dit eget admin
Virker dit kodeord ikke længere, og du har ikke selv ændret det? Så kan angriberen have overtaget kontoen og smidt dig ud. Det er akut — se Låst ude af wp-admin for hvordan du får adgang igen uden at gøre skaden værre.
10. Ukendte plugins, temaer eller filer i installationen
Dukker der plugins op, du ikke har installeret, eller temaer du aldrig har valgt? Angribere skjuler ofte deres kode som et "plugin", der ikke vises normalt. Et fil-integritetstjek med Wordfence eller MalCare sammenligner dine kernefiler mod de officielle og afslører, hvad der er pillet ved.
Genkender du flere af tegnene, men tør ikke selv grave i kerne og database? Jeg renser sitet til fast pris — du betaler først når det er bekræftet rent.
Hvad gør du, hvis flere tegn passer?
Bekræfter tjeklisten et hack, så følg en metodisk oprydning frem for at slette i panik. Kort fortalt: sæt sitet i vedligeholdelsestilstand, skift alle adgangskoder og salts, tag en (mærket) backup af det inficerede site, scan for malware, fjern bagdøre, geninstallér rene filer og rens databasen. Hele forløbet er beskrevet trin for trin i WordPress hacket? Sådan rydder du op.
Når sitet er rent, er arbejdet ikke slut: uden hærdning står du samme sted igen om en måned. Gennemgå derfor de 12 vigtigste sikkerhedstiltag bagefter.
Ofte stillede spørgsmål
Kan mit WordPress være hacket, uden at jeg kan se noget?
Ja. De mest indbringende hacks er designet til at være usynlige for ejeren. Redirects vises ofte kun for besøgende fra Google eller kun på mobil, og spam-sider indekseres uden at optræde i dit menu- eller indholdsoverblik. Derfor er en site:-søgning og en server-scanning vigtigere end blot at kigge på forsiden.
Betyder en langsom side, at jeg er hacket?
Ikke nødvendigvis. Langsomhed har mange årsager — tunge plugins, dårlig hosting eller manglende caching. Men et pludseligt, uforklarligt fald i hastighed kombineret med ét af de andre tegn på listen bør behandles som mistanke om et hack og undersøges nærmere.
Hjælper det at skifte kodeord, hvis jeg er hacket?
Det er et nødvendigt første skridt, men sjældent nok alene. De fleste hacks efterlader en bagdør, der lader angriberen komme tilbage, selv efter du har skiftet kodeord. Du skal også skifte de hemmelige nøgler (salts) i wp-config.php og finde og fjerne selve bagdøren, før sitet er sikkert.
Hvor hurtigt skal jeg handle?
Med det samme. Et inficeret site smitter besøgende, kan ende på Googles blokliste og taber rang for hver dag. Jo længere malwaren er aktiv, jo mere arbejde er der med oprydningen — og jo større er risikoen for, at Google straffer domænet.