🔐 WordPress-tietoturva: miksi pelkkä kirjautumissuojaus ei riitä

Asetat vahvan salasanan, vaihdoit kirjautumisosoitteen, lisäsit kaksivaiheisen tunnistautumisen, ja luulet sivuston olevan turvassa? Valitettavasti ei. WordPressin ylläpitokirjautumisen suojaaminen ratkaisee vain pienen osan ongelmasta.

Patchstackin vuoden 2026 raportin mukaan WordPress-ekosysteemissä havaittiin pelkästään vuonna 2025 11 334 uutta haavoittuvuutta, mikä on 42% enemmän kuin edellisvuonna. Niistä 91% oli liitännäisissä, ja lähes puoleen ei ollut korjausta julkistamishetkellä. Useimmat hyökkäykset eivät liity kirjautumiseen lainkaan: hyökkääjät etsivät aukkoja teemojen ja liitännäisten koodista automaattisilla skannereilla.

Alla on käytännönläheinen erittely siitä, mitkä toimenpiteet todella suojaavat sivustoa ja mitkä luovat vain turvallisuuden illuusion.

💡 Pikaopas:

• Suojaa ylläpitokirjautuminen: vahva salasana, kaksivaiheinen tunnistautuminen ja oletusarvoisen wp-login.php-osoitteen vaihtaminen.
• Päivitä ydin, teemat ja liitännäiset heti uusien versioiden julkaisun jälkeen.
• Ota käyttöön verkkosovellusten palomuuri: pilvipohjainen WAF ja WordPress-tason liitännäinen.
• Rakenna kerroksittainen puolustus viidestä kerroksesta: päivitykset, palomuuri, käyttöoikeudet, varmuuskopiot, valvonta.

Mitä kirjautumissuojaus antaa ja mitä se ei kata

wp-login.php-osoitteen vaihtaminen mukautetuksi, admin-käyttäjän estäminen, vahvat salasanat ja kaksivaiheinen tunnistautuminen ovat kaikki oikeita toimenpiteitä. Ne suojaavat tunnusten arvaamiselta ja tekevät väsytyshyökkäyksistä hyödyttömiä.

Mutta tässä ovat luvut, jotka muuttavat kokonaiskuvaa. WordPress-tietoturvatutkimuksen tilastojen mukaan vain pieni osa hakkeroinneista tapahtuu vaarantuneiden tilien kautta. Pääasiallinen hyökkäysvektori on koodihaavoittuvuudet: 91% kaikista löydetyistä aukoista on liitännäisissä, 9% teemoissa, ja vain kourallinen koskee itse WordPress-ydintä.

Toisin sanoen: sivusto, jossa on täydellisesti suojattu kirjautuminen mutta vanhentunut yhteydenottolomakeliitännäinen, on helppo saalis. Automaattinen skanneri löytää haavoittuvuuden sekunneissa ja hyödyntää sitä käymättä koskaan kirjautumissivulla.

Miten WordPress-sivustoihin oikeasti hyökätään

Tyypillinen hyökkäys ei näytä huppupäiseltä hakkerilta näppäimistön ääressä. Se on botti. Tuhannet botit skannaavat jatkuvasti internetiä etsien sivustoja, joissa on tunnettuja haavoittuvuuksia. Ne löytävät liitännäisen, jossa on aukko, lataavat haittakoodia, asentavat takaoven ja jatkavat matkaansa.

Tunkeutumiskanavat, joita kirjautumissuojaus ei sulje:

• Liitännäisen tai teeman haavoittuvuus mahdollistaa mielivaltaisen koodin suorittamisen palvelimella
• Suljematon xmlrpc.php mahdollistaa väsytyshyökkäyksen XML-RPC:n kautta ohittaen wp-login.php-tiedoston
• Käyttäjätietojen vuotaminen REST API:n kautta, lista käyttäjätunnuksista myöhempää arvausta varten
• Tiedosto, jossa on haitallista sisältöä, ladattu lomakkeen kautta ilman tyyppitarkistusta
• Pääsy wp-config.php- tai .htaccess-tiedostoon virheellisten palvelinoikeuksien vuoksi

Patchstackin raportista vuodelle 2026: 17% uusista haavoittuvuuksista on korkean prioriteetin, eli aukkoja, joita erittäin todennäköisesti käytetään massamaisissa automatisoiduissa hyökkäyksissä. Lisäksi premium-komponentit (maksulliset teemat ja liitännäiset) sisälsivät kolme kertaa enemmän tunnettuja hyödynnettyjä haavoittuvuuksia kuin ilmaiset. Maksullinen ei tarkoita turvallista.

Viisi todellisen WordPress-suojauksen kerrosta

Sivuston tietoturva ei ole yksi liitännäinen tai yksi asetus. Se on kerroskakku, jossa jokainen taso sulkee oman uhkaluokkansa.

Kerros 1: päivitykset, aliarvostetuin ja tärkein

Ytimen, teemojen ja liitännäisten päivittäminen heti uuden version julkaisun jälkeen on perusta. Mutta se ei riitä: 46%:iin vuoden 2025 haavoittuvuuksista ei saatu korjausta kehittäjiltä ennen julkista paljastusta. Et yksinkertaisesti tiedä liitännäisen olevan haavoittuvainen ennen kuin korjaustiedosto tulee.

Mitä tehdä:

• Ota käyttöön automaattiset päivitykset ytimelle ja teemoille
• Kerran viikossa tarkista manuaalisesti liitännäisten päivitykset
• Poista liitännäiset, joita ei ole päivitetty yli vuoteen: ne ovat kuolleita ja muuttuvat ennemmin tai myöhemmin aukoksi
• Korvaa hylätyt liitännäiset elävillä vaihtoehdoilla

Kerros 2: palomuuri ja haitallisten pyyntöjen esto

Verkkosovellusten palomuuri (WAF) suodattaa saapuvaa liikennettä ja estää pyynnöt, jotka näyttävät hyökkäykseltä: SQL-injektiot, cross-site scripting, polkupaljastukset. Tämä on kilpi, joka toimii ennen kuin pyyntö saavuttaa WordPress-koodin.

Vaihtoehdot:

• Pilvipohjainen WAF DNS-tasolla (Cloudflare, Sucuri): estää hyökkäyksen ennen kuin se saavuttaa palvelimesi
• Palomuuriliitännäinen WordPress-tasolla (Wordfence, Solid Security): toimii sisäisesti, mutta ei pelasta suoralta palvelinhyökkäykseltä
• Palomuuri isännöintitasolla: jos isännöintipalvelusi tarjoaa sellaista, ota se ehdottomasti käyttöön

Optimaalinen lähestymistapa on yhdistää pilvipohjainen WAF liitännäiseen: ensimmäinen suodattaa massamelun, toinen tarjoaa kohdennettuja sääntöjä WordPress-ekosysteemille.

Kerros 3: käyttöoikeudet ja käyttäjätilit

Vähimpien oikeuksien periaate: jokainen käyttäjä saa täsmälleen ne oikeudet, jotka tarvitaan hänen työhönsä. Kirjoittaja ei tarvitse liitännäisten asennusoikeutta. Toimittaja ei tarvitse pääsyä asetuksiin.

Käytännön toimet:

• Älä koskaan käytä admin-tunnusta kirjautumiseen; luo erillinen ylläpitäjä yksilöllisellä nimellä
• Kaikille käyttäjille kaksivaiheinen tunnistautuminen (liitännäisen tai pilvi-WAF:n kautta)
• Poista xmlrpc.php, jos se ei ole käytössä (ja valtaosa sivustoista ei tarvitse sitä)
• Rajoita kirjautumisyrityksiä: 3-5 yritystä → IP-esto tunniksi
• Toimittajilta ja kirjoittajilta poista mahdollisuus asentaa ja aktivoida liitännäisiä/teemoja

Kerros 4: varmuuskopiot, viimeinen puolustuslinja

Jos kaikki aiemmat kerrokset pettävät ja sivusto hakkeroituu, varmuuskopio on ainoa tapa palautua tunneissa viikkojen sijaan.

Varmuuskopiointistrategian vaatimukset:

• Päivittäiset automaattiset varmuuskopiot (tiedostot + tietokanta)
• Säilytys vähintään viimeiset 30 päivää
• Varmuuskopiot EIVÄT samalla palvelimella kuin sivusto (jos palvelin hakkeroituu, menetät myös varmuuskopion)
• Säännöllinen palautuksen testaus varmuuskopiosta staging-sivustolla (neljännesvuosittain)
• Offline-kopio kerran kuukaudessa siltä varalta, että pilvitallennus vaarantuu

Liitännäiset kuten UpdraftPlus, Solid Backups tai BlogVault hoitavat tämän tehtävän useimmille sivustoille. Suurille projekteille varmuuskopiointi isännöinti- tai palvelintasolla.

Kerros 5: valvonta ja auditointi

Saat tiedon hakkeroinnista et silloin, kun sivusto lakkaa latautumasta, vaan kun valvontajärjestelmä lähettää ilmoituksen.

Vähimmäiskokoonpano:

• Tiedostojen eheyden valvonta: onko wp-config.php:n,.htaccessin sekä teema- ja liitännäistiedostojen sisältöä muutettu
• Ajastettu haittaohjelmaskannaus (Wordfence, Sucuri, Solid Security)
• Käyttäjien toimintojen lokitus: kuka muutti mitäkin hallintapaneelissa ja milloin
• site:omasivustosi.fi-haku Googlesta roskasisältösivujen varalta, jotka on lisätty tietämättäsi

Entä kirjautumissuojaus?

Se ei katoa; se säilyy osana käyttöoikeuskerrosta. Se vain lakkaa olemasta ainoa toimenpide. Vahva salasana, epästandardi kirjautumisosoite ja kaksivaiheinen tunnistautuminen ovat pakollinen minimi, mutta eivät ainoa.

Kun olet rakentanut muut neljä kerrosta, kirjautumissuojaus asettuu loogisesti paikalleen: se suojaa yhdeltä tietyltä skenaariolta, tunnusten varastamiselta. Ei kolme vuotta vanhan gallerialiitännäisen aukolta.

Visuaalinen video WordPressin tietoturvan perusasetuksista: käyttämättömien ominaisuuksien poistaminen, oikeuksien määrittäminen ja tietoturvaliitännäisten asentaminen 15 minuutissa.

⁉️🤔 Usein kysytyt kysymykset

Riittääkö pelkkä vahva salasana ja kaksivaiheinen tunnistautuminen?

Ei. Vahva salasana ja kaksivaiheinen tunnistautuminen suojaavat vain tunnusten arvaamiselta. Patchstackin vuoden 2026 tietojen mukaan 91% haavoittuvuuksista on liitännäisissä, ja niitä hyödynnetään ilman minkäänlaista vuorovaikutusta kirjautumislomakkeen kanssa. Automaattinen skanneri löytää haavoittuvan liitännäisen, lähettää erityisesti muotoillun pyynnön ja saa pääsyn sivustolle; se ei tarvitse salasanaasi.

Mikä palomuuri minun pitäisi valita pienelle WordPress-sivustolle?

Useimmille sivustoille optimaalinen yhdistelmä on pilvipohjainen WAF (Cloudflaren ilmainen paketti) ja Wordfence- tai Solid Security -liitännäinen. Cloudflare estää hyökkäykset DNS-tasolla; botit suodatetaan pois ennen kuin pyyntö saavuttaa palvelimen. Liitännäinen lisää WordPress-kohtaisia sääntöjä: väsytyshyökkäysten esto, tiedostoskannaus ja muutosten valvonta. Asennus vie puoli tuntia.

Pitääkö xmlrpc.php poistaa käytöstä?

Useimmissa tapauksissa kyllä. xmlrpc.php on tarpeen vain, jos käytät WordPressin mobiilisovellusta, julkaiset kolmannen osapuolen editorin (kuten MarsEdit) kautta tai olet yhdistänyt ulkoisen palvelun XML-RPC:n kautta. Jos mikään näistä ei koske sinua, poista se käytöstä. Tiedosto sallii jopa sata kirjautumisyritystä yhdessä HTTP-pyynnössä, mikä tekee väsytyshyökkäyksestä sen kautta moninkertaisesti nopeampaa kuin wp-login.php:n kautta.

Kuinka usein minun pitäisi päivittää liitännäiset ja teemat?

Välittömästi päivityksen julkaisun jälkeen. Haavoittuvuuden julkistamisen ja massahyökkäysten ilmaantumisen välinen aika on kutistunut muutamaan tuntiin. Jos liitännäistä ei ole päivitetty yli vuoteen, poista se ja etsi elävä korvaaja. Liitännäinen ilman päivityksiä ei ole "se toimii, joten se on kunnossa"; se on potentiaalinen sisäänpääsypiste hyökkääjälle.

Mitä minun pitäisi tehdä, jos sivusto on jo hakkeroitu?

Ensiksi: älä panikoi äläkä sokeasti poista tiedostoja. Toiseksi: palauta sivusto viimeisimmästä puhtaasta varmuuskopiosta. Kolmanneksi: heti palautuksen jälkeen vaihda KAIKKI salasanat (WordPress, isännöinti, tietokanta, FTP) ja päivitä kaikki uusimpiin versioihin. Neljänneksi: asenna palomuuri ja määritä tiedostojen eheyden valvonta. Viidenneksi: tarkista, lisäsikö hyökkääjä piilotettuja ylläpitäjiä tietokantaan. Jos varmuuskopiota ei ole, ota yhteyttä WordPress-haittaohjelmien puhdistamiseen erikoistuneeseen asiantuntijaan.

WordPress-suojaus: mikä todella toimii

WordPressin tietoturva ei ole tuote, jonka voit ostaa ja unohtaa. Se on prosessi, joka rakentuu viidestä kerroksesta: päivitykset, palomuuri, käyttöoikeudet, varmuuskopiot ja valvonta. Kirjautumissuojaus on vain osa yhtä niistä.

Aloita nykytilan auditoinnilla: tarkista, mitä liitännäisiä ei ole päivitetty yli kuuteen kuukauteen, onko xmlrpc.php käytössä, onko sinulla päivittäiset varmuuskopiot ja säilytetäänkö ne palvelimen ulkopuolella. Sulje sitten vaarallisimmat aukot ja rakenna loput kerrokset. Puoli tuntia tänään säästää viikkojen palautukselta myöhemmin.

Jos WordPress-tietoturvan aihe on sinulle ajankohtainen, kirjoita kommentteihin, mikä viidestä kerroksesta on tällä hetkellä heikoin. Käsittelemme sitä tulevissa materiaaleissa.