Hvorfor er standardopsætningen ikke nok?
Et website installeres for at virke, ikke for at være sikkert. Standardopsætninger prioriterer kompatibilitet og bekvemmelighed: filredigering fra adminpanelet er slået til, versionsnumre eksponeres, login-siden ligger, hvor alle ved den ligger, og der mangler grundlæggende beskyttelse mod automatiserede angreb.
Og angrebene er automatiserede: botnets scanner konstant hele internettet for kendte sårbarheder. Jeres website bliver ikke angrebet, fordi nogen interesserer sig for jer — det bliver angrebet, fordi det findes. Et kompromitteret site bruges til phishing-hosting, malware-spredning, SEO-spam eller som springbræt videre ind i jeres systemer — med jeres domænes omdømme som første offer.
Hvad omfatter web hardening konkret?
Arbejdet spænder over flere lag. Fundamentet: opdateringsdisciplin for CMS, plugins og temaer (langt de fleste indbrud sker gennem kendte, upatchede sårbarheder), fjernelse af ubrugte komponenter og stærk adgangskontrol med MFA. Konfigurationen: deaktivering af farlige funktioner (filredigering, XML-RPC), korrekte filrettigheder, skjulte versionsoplysninger og hærdet login. Beskyttelseslagene: sikkerhedsheaders (CSP, HSTS, X-Frame-Options m.fl.), der beskytter de besøgendes browsere, en WAF foran sitet, der filtrerer ondsindet trafik, samt rate limiting mod brute force. Beredskabet: automatiseret backup med testet gendannelse, integritetsovervågning der opdager ændrede filer, og logning der gør en hændelse undersøgbar.
For WordPress — som driver over 40 % af alle websites og derfor er angribernes yndlingsmål — kommer specifikke greb oveni: pluginsanering, hærdet database-præfiks, beskyttelse af wp-admin og overvågning af core-filernes integritet.
Hardening er en tilstand, ikke et projekt
Den hyppigste misforståelse er, at hardening er noget, man gør én gang. Nye sårbarheder offentliggøres dagligt, plugins skifter ejere, og konfigurationer skrider over tid. Reel sikkerhed kræver løbende opdatering, overvågning og periodisk efterprøvning — gerne med en uafhængig sikkerhedstest, der bekræfter, at lagene faktisk holder.