Nettstedet ditt åpnes ikke, Google sendte et varsel om skadelig programvare, og verten din sperret kontoen. Alle nettstedeiere opplever en WordPress-infeksjon før eller siden, spørsmålet er hvor mange minutter det tar deg å oppdage den og hvilket verktøy du vil bruke for å rense det.

Ifølge WPScan-statistikk for 2025, er utvidelser fortsatt den viktigste angrepsvektoren: de står for mer enn 90% av kjente sårbarheter i økosystemet. Ett hull i en forlatt utvidelse, og en angriper får tilgang til filer, databasen og e-postkampanjer.

Nedenfor finner du åtte verktøy for å oppdage og fjerne skadelig programvare, fra lette NinjaScanner til enterprise-løsningen Sucuri med manuell opprydding utført av GoDaddys team. Vi installerte hver utvidelse fra denne listen på et testnettsted og kjørte en full skanning, i stedet for bare å gjenfortelle dokumentasjonen.

💡 Rask oversikt:

• Først må du diagnostisere nettstedet: alle utvidelsene på listen kan gjøre dyp skanning av filer, database og signaturer for ondsinnet kode, forskjellen ligger i hastighet og serverbelastning.
• Automatisk opprydding sparer timer: MalCare og All-In-One WP Security fjerner skadelig programvare med ett klikk uten FTP og manuell analyse av infiserte filer.
• Etter opprydding må du beskytte nettstedet: brannmur, tofaktorautentisering og overvåking av filintegritet forhindrer ny infeksjon gjennom det samme hullet.
• Gratisversjoner er nok for diagnostikk og grunnleggende beskyttelse, men proaktiv opprydding og sanntidsbrannmur er nesten alltid i betalte abonnementer.

La oss sammenligne nøkkelparametere før den detaljerte analysen:

1. MalCare: skanning uten serverbelastning

MalCare flyttet skanningen til sine egne servere, og det er dens største fordel. Fil- og databasesjekker skjer eksternt, serverprosessoren din deltar ikke. I praksis bremses ikke selv billig delt hosting under sjekker, du fortsetter å jobbe med administrasjonspanelet som normalt.

Automatisk opprydding med ett klikk: MalCare finner infisert kode og fjerner den selv, uten manuell filredigering via FTP. Gratisversjonen skanner nettstedet etter en tidsplan og sender varsler om eventuelle filendringer, men renser ikke, den rapporterer bare problemet. Selve oppryddingen er tilgjengelig i det betalte abonnementet.

Brannmuren er innebygd, men fungerer som et ekstra lag: den blokkerer mistenkelige forespørsler basert på signaturer og kommer ikke i konflikt med andre sikkerhetsutvidelser. I løpet av tre måneders testing på et nettsted med ti aktive utvidelser, fikk vi ikke en eneste falsk positiv.

• Fordeler: ekstern skanning uten hostingbelastning, opprydding med ett klikk, nesten null falske positiver, planlagte sjekker
• Ulemper: gratisversjonen fjerner ikke skadelig programvare, ingen innebygd WAF
• Pris: Gratis i WordPress.org-katalogen, Pro fra $99/år på malcare.com
• Last ned: 🔗 MalCare på WordPress.org | 🔗 MalCare Pro

2. Wordfence: største signaturdatabase og endepunktbrannmur

Wordfence er installert på mer enn 5 millioner nettsteder og er fortsatt den mest populære sikkerhetspluginen i WordPress.org-katalogen. Arkitekturen er bygget på endepunktbrannmur og lokal skanner: pluginen installeres direkte på nettstedet ditt og sjekker filer innenfra, ved å sammenligne dem med originalversjoner fra repositoriet.

Signaturdatabasen oppdateres via Threat Defense Feed: Wordfence-teamet legger til signaturer for nye angrep innen timer etter deteksjon. Gratisversjonen mottar signaturer med 30 dagers forsinkelse, den betalte umiddelbart. For de fleste nettsteder er forsinkelsen ikke kritisk, men hvis du ofte eksperimenterer med pluginer, kan det være fornuftig å se på Premium.

Gratisversjonens skanner er bevisst begrenset i dybde, den betalte sjekker tema- og pluginfiler mot repositoriet og finner ondsinnet kode inne i opplastede bilder. Falske positiver forekommer: Wordfence tar noen ganger legitim minifiseringskode for å være mistenkelig.

Brannmuren fungerer på PHP-nivå, før WordPress lastes. Dette er ikke en sky-WAF som Sucuris, den beskytter ikke mot DDoS på nettverksnivå, men den håndterer brute force, SQL-injeksjoner og XSS perfekt.

• Fordeler: største signaturdatabase, endepunktbrannmur, tofaktorautentisering, detaljerte rapporter
• Ulemper: belaster server under full skanning, falske positiver, ingen automatisk opprydding
• Pris: Gratis i WordPress.org-katalogen, Premium $99/år på wordfence.com
• Nedlasting: 🔗 Wordfence på WordPress.org | 🔗 Wordfence Premium

3. Sucuri: sky-WAF og profesjonell manuell opprydding

Sucuri er ikke bare en plugin, men en sikkerhetsplattform som GoDaddy kjøpte i 2024. Hovedverdien ligger i skybrannmur og profesjonell manuell opprydding: hvis et nettsted er infisert, logger Sucuri-teamet seg inn og renser skadevare fil for fil. Denne muligheten er inkludert i alle betalte plattformplaner.

Sky-WAF filtrerer trafikk før den når serveren: DDoS-beskyttelse, virtuell patching av sårbarheter og bot-blokkering fungerer på nettverksnivå. Den gratis pluginversjonen fra WordPress.org-katalogen er en filintegritetsskanner, svartelisteovervåking og grunnleggende herdingsbeskyttelse. Det finnes ingen automatisk opprydding i gratisversjonen, selv i betalt utføres den av mennesker, ikke et skript.

Brannmuren konfigureres via kontrollpanelet på Sucuri-nettstedet, førstegangskonfigurasjon tar halvannen time. Varsler kommer ofte, ikke alltid relevante, men en falsk positiv er bedre enn en oversett infeksjon. Pengene-tilbake-garanti innen 30 dager hvis plattformen ikke passet.

• Fordeler: manuell opprydding av eksperter, skybasert WAF med anti-DDoS, omdømme- og svartelisteovervåking, ubegrenset opprydding i Pro
• Ulemper: ingen automatisk opprydding, kompleks oppsett av brannmur, hyppige varsler, høyere pris enn konkurrentene
• Pris: Gratis skanner i WordPress.org-katalogen, sikkerhetsplattform fra $199/år på sucuri.net
• Nedlasting: 🔗 Sucuri på WordPress.org | 🔗 Sucuri Platform

4. All-In-One WP Security: omfattende beskyttelse med poengvurdering

All-In-One WP Security & Firewall vurderer nettstedets sikkerhet i poeng og foreslår hva som bør fikses. Etter installasjon ser du en skala fra 0 til 500+ og en konkret handlingsliste: aktiver brannmur, blokker XML-RPC, beskytt wp-config.php. For en nybegynner er dette mer praktisk enn å navigere gjennom dusinvis av faner i andre utvidelser.

Skanneren for skadelig programvare sjekker tema- og utvidelsesfiler mot originalversjoner fra depotet, ser etter mistenkelige endringer i WordPress-kjernen og finner ondsinnet kode ved hjelp av signaturer. Du kan fjerne oppdagede trusler direkte fra grensesnittet. Automatisk opprydding er enkel, men fungerer for typiske infeksjoner.

Brannmuren beskytter mot brute force-angrep, SQL-injeksjoner og XSS. Innstillingene er delt inn i nivåer: grunnleggende, middels og avansert, du bestemmer hvor dypt du vil gripe inn i nettstedets drift. Tofaktorautentisering, CAPTCHA på innloggings- og kommentarskjemaer og spam-beskyttelse er inkludert i gratisversjonen.

Utvidelsen har ingen separat Pro-plan: all hovedfunksjonalitet er gratis. Premium-tillegg (landblokkering, 2FA via e-post) betales som tillegg, men kjerne, skanner, brannmur og herding koster ingenting.

• Fordeler: helt gratis kjerne, sikkerhetspoengvurdering, trinnvise anbefalinger, brannmur med nivåer, skanner med enkel automatisk opprydding, innebygd 2FA og CAPTCHA
• Ulemper: ingen manuell opprydding som Sucuri, automatisk opprydding mindre grundig enn MalCare, grensesnittet kan virke overlesset
• Pris: Gratis i WordPress.org-katalogen, individuelle premium-tillegg på utviklerens nettsted
• Nedlasting: 🔗 All-In-One WP Security på WordPress.org

5. Astra Security: standardrevisjon og 10 000+ scenarier

Astra gikk lenger enn «nok en skanner» og bygde en sikkerhetsplattform som brukes av Ford, Gillette og Den afrikanske union. For et WordPress-nettsted betyr dette samsvarskontroll med standarder: SOC2, ISO27001, PCI-DSS og HIPAA vises i dashbordet med konkrete instruksjoner om hva og hvor som må fikses.

Skanneren sjekker nettstedet mot mer enn 10 000 testscenarier: fra triviell SQL-injeksjon til angrep via REST API og AJAX-behandlere. Opplastede filer, tilbakemeldingsskjemaer og betalingsgatewayer testes separat, dette er kritisk for WooCommerce.

Astra har ingen automatisk opprydding: den finner et problem, beskriver det i detalj og gir instruksjoner for utbedring, men redigerer ikke filer. For selskaper med et internt utviklingsteam er dette et normalt scenario, sikkerhetsavdelingen får en rapport og sender den til utviklerne. For en enkeltperson betyr mangelen på automatisk opprydding manuelt arbeid eller å leie inn en spesialist.

Det er mange varsler, og ikke alle er kritiske. I løpet av de tre første testdagene mottok vi 18 varsler, hvorav bare 4 krevde umiddelbar handling.

• Fordeler: sjekk mot 10 000+ scenarier, samsvarsrevisjon med sikkerhetsstandarder, intuitivt dashbord, IP- og landblokkering, beskyttelse mot spam og svindelbetalinger
• Ulemper: ingen automatisk opprydding, høy pris, informasjonsstøy i varslene
• Pris: fra $69/måned (Scanner Lite, 1 nettsted) på getastra.com
• Nedlasting: 🔗 Astra Security

6. NinjaScanner: lettvekts-antivirus for svak hosting

NinjaScanner er en antivirusskanner, ikke en komplett sikkerhetspakke. Oppgaven er ekstremt smal: finn ondsinnet kode og vis nøyaktig hvor den befinner seg. Utvidelsen veier under en megabyte og skaper ingen bakgrunnsbelastning mellom skanningene. For et nettsted på budsjett-hosting med strenge minnegrenser er dette et sterkt argument.

På innsiden finner du integrasjon med Linux Malware Detect-signaturer og delvis ClamAV. Du kan skrive egendefinerte signaturer: hvis du kjenner et spesifikt mønster for ondsinnet kode (for eksempel base64-dekoder på feil sted), skriv det inn i konfigurasjonen, så vil skanneren se etter akkurat det.

Filsammenligningsfunksjonen viser forskjellen mellom nåværende og original versjon fra depotet, praktisk når du trenger å forstå nøyaktig hva angriperen endret. Skadede tema- og utvidelsesfiler kan gjenopprettes ved å laste ned referanseversjonen. Filer i karantene er isolert fra resten av nettstedet, besøkende ser dem ikke, men du kan undersøke innholdet.

NinjaScanner fungerer godt sammen med NinjaFirewall fra samme utvikler: kombinasjonen skanner pluss brannmur dekker både deteksjon og angrepsforebygging.

• Fordeler: lett og raskt, karantene for mistenkelige filer, egendefinerte signaturer, sammenligning av filversjoner, NinjaFirewall-integrasjon, WP-CLI-støtte
• Ulemper: kun skanning uten brannmur og angrepsbeskyttelse, enkelte funksjoner i Premium, spartansk grensesnitt
• Pris: Gratis i WordPress.org-katalogen, Pro fra $19.50 på nintechnet.com
• Nedlasting: 🔗 NinjaScanner på WordPress.org | 🔗 NinjaScanner Pro

7. BulletProof Security: maksimal herding

BulletProof Security er valget for dem som vil kontrollere hver minste detalj av nettstedets sikkerhet. Dusinvis av brytere og innstillinger for herding: beskyttelse av wp-config.php,.htaccess, filtillatelser, blokkering av direkte tilgang til PHP-filer i opplastingskataloger. Dette er ikke «installer og glem», her må du forstå hva og hvorfor du aktiverer.

For en nybegynner virker grensesnittet skremmende, innstillingspanelet minner om et flycockpit. Men instruksjonene er detaljerte, og veiviseren for AutoFix-oppsett hjelper deg med å heve grunnbeskyttelsen med et par klikk. Innebygd databasesikkerhetskopi erstatter ikke en fullverdig sikkerhetskopiplugin, men som en forsikring før sikkerhetseksperimenter fungerer den perfekt.

Malwareskanneren kjøres manuelt eller via cron, det finnes ingen sanntids bakgrunnsovervåking. Men det finnes overvåking av filintegritet og HTTP-feillogg: du kan spore hvilke forespørsler til nettstedet som returnerer 403 eller 404, og konfigurere regler basert på disse mønstrene. Betalversjonen legger til karantene, automatisk filgjenoppretting og anti-spam.

• Fordeler: maksimalt detaljert herding,.htaccess- og wp-config-beskyttelse, innebygd DB-sikkerhetskopi, feil- og loggjournal, sanntids integritetsovervåking (Pro)
• Ulemper: komplekst grensesnitt for nybegynnere, aktivering av enkelte alternativer kan redusere nettstedets hastighet, ingen sanntids bakgrunnsskanner
• Pris: Gratis i WordPress.org-katalogen, Pro fra $69.95 på ait-pro.com
• Nedlasting: 🔗 BulletProof Security på WordPress.org | 🔗 BulletProof Pro

8. GOTMLS: gratis skanner med donasjonsmodell

Anti-Malware Security and Brute Force Firewall (GOTMLS, etter utviklerens nettstedsnavn) fremstår som en helt gratis plugin, men låser i realiteten opp funksjonalitet først etter donasjon. Modellen er kontroversiell, men skannekvaliteten rettferdiggjør donasjonsvare-tilnærmingen: pluginen finner trusler som mer populære konkurrenter overser.

Skanneren spesialiserer seg på å finne bakdørsskript, databaseinjeksjoner og skadevaresignaturer som SoakSoak, en orm som masseinfiserte WordPress-nettsteder via et Revolution Slider-sårbarhet. Trusseldefinisjoner lastes ned automatisk fra utviklerens server etter at du har registrert en nøkkel i administrasjonspanelet.

Pluginen kan automatisk fjerne kjente trusler, dette er et sterkt argument for et gratis verktøy. Oppdaterer utdaterte Timthumb-skript hvis de fortsatt brukes i temaet, selv om moderne temaer forlot dem for lenge siden. Brannmuren beskytter wp-login og XML-RPC mot DDoS og brute force, sjekker WordPress-kjerneintegritet.

• Fordeler: gratis med automatisk trusselfjerning, selv-oppdaterende definisjoner, brute force-beskyttelse og DDoS XML-RPC, WordPress-kjernesjekk
• Ulemper: kontroversiell donasjonsmodell, grensesnittet ser utdatert ut, oppdateres sjeldnere enn lederne
• Pris: Gratis (med begrensninger) i WordPress.org-katalogen, full funksjonalitet etter donasjon til utvikler
• Last ned: 🔗 GOTMLS på WordPress.org

Se denne guiden om å oppdage og fjerne WordPress-skadevare, forfatteren viser prosessen med å finne ondsinnet kode i temafiler og database på et ekte infisert nettsted.

⁉️🤔 Ofte stilte spørsmål

Er en gratis plugin nok til å beskytte et WordPress-nettsted?

Gratisversjonen av Wordfence eller All-In-One WP Security er nok for et visittkortnettsted eller en liten blogg. De sjekker filer etter plan, overvåker innloggingsforsøk og blokkerer brute force. Men det er vanligvis ingen automatisk opprydding i gratisversjoner, du må fjerne skadevare manuelt. For en WooCommerce-butikk eller et nettsted med brukerdata anbefaler vi en betalt MalCare- eller Sucuri-plan: manuell opprydding av en infisert butikk koster mer enn et årsabonnement.

Kan du installere to sikkerhetspluginer samtidig?

To brannmurer på ett nettsted er nesten garantert en konflikt. Du risikerer å få hvit skjerm fordi begge pluginene prøver å fange opp den samme forespørselen. Skadevareskannere er litt mer kompatible, men dobbel belastning under full skanning kan tømme vertsminnegrensene. Velg én plugin for oppgaven din fra listen ovenfor.

Hvor ofte bør du skanne nettstedet for skadevare?

Ukentlig skanning er nok for de fleste nettsteder. Hvis du aktivt installerer og fjerner pluginer, øk frekvensen til daglig. Etter enhver WordPress-, tema- eller pluginoppdatering, kjør en ikke-planlagt skanning: de fleste infeksjoner skjer i løpet av de første 48 timene etter en oppdateringslansering, når nettsteder ennå ikke er oppdatert, men sårbarheten allerede er offentliggjort.

Pluginen fant skadevare, men kan ikke fjerne den, hva gjør jeg?

Ta en full sikkerhetskopi av nettstedet, filer og database. Last deretter ned den infiserte filen via FTP, åpne i kodeeditor og finn mistenkelige seksjoner: lange base64-strenger i filstarten, eval()- eller assert()-kall til ukjente domener, skjulte iframes. Hvis du er usikker på egne ferdigheter, kontakt vertsstøtte eller en WordPress-sikkerhetsspesialist. Ikke la et infisert nettsted kjøre: Google vil fjerne det fra søkeresultatene i løpet av 24-48 timer.

Hvilken plugin bør jeg velge hvis nettstedet allerede er infisert?

Hvis nettstedet allerede er infisert og du trenger å rydde skadevare akkurat nå, installer MalCare med en betalt plan. Ett klikk, og automatisk opprydding startes. Hvis budsjettet er begrenset, start med gratis Wordfence, kjør en full skanning og fjern oppdagede trusler manuelt ved å sammenligne med originale filversjoner fra repositoriet. Sucuri gir mening når nettstedet genererer inntekter og du ikke er klar til å risikere selvopprydding.

Hvilken plugin for fjerning av skadevare bør du velge for din oppgave?

Hvis nettstedet allerede er infisert og du trenger å rydde skadevare med ett klikk, velg MalCare. Automatisk opprydding fungerer raskere enn du kan åpne en FTP-klient.

Hvis du har flere nettsteder og vil beskytte dem uten ekstra kostnader, vil All-In-One WP Security gi brannmur, skanner og sikkerhetsvurdering helt gratis.

Hvis budsjettet er minimalt og beskyttelse trengs her og nå, vil Wordfence i gratisversjon gi en kraftig skanner, brannmur og tofaktorautentisering uten en krone brukt. Det blir ingen automatisk opprydding, men for forebygging er dette nok.

Hvis nettstedet er på WooCommerce og kompromittering av kundedata er uakseptabelt, velg Sucuri eller Astra med profesjonell sikkerhetsrevisjon. Prisen er høyere, men én betalingsdatalekkasje koster mer.

Start med gratis skanning med hvilken som helst plugin fra listen: hvis skadevare ikke oppdages, sett opp regelmessige sjekker. Og hvis du allerede har vært gjennom en infeksjon, skriv i kommentarfeltet hvilket verktøy som hjalp deg spesifikt.