Du laster opp en fil til WordPress-mediebiblioteket og får en rød advarsel som svar: «Beklager, denne filtypen er ikke tillatt av sikkerhetsgrunner.» En.woff-font for et tilpasset design, et SVG-ikon for en logo, en.epub-bok for brukere: WordPress nekter rett og slett å godta dem.

Problemet ligger ikke i filen din. WordPress filtrerer strengt hvilke datatyper som kan lastes opp som standard. Dette er en innebygd sikkerhetsmekanisme som beskytter nettstedet ditt mot potensielt farlige filer. Men den blokkerer også helt legitime formater du trenger i arbeidet ditt.

Nedenfor finner du tre fungerende metoder for å omgå begrensningen: en rask metode med kode i wp-config.php, en fleksibel metode med en utvidelse, og en spesialisert metode for SVG-grafikk. Ingen kjernemodifikasjoner, ingen risiko for nettstedet ditt.

💡 Rask oversikt:

• Fjern WordPress-begrensninger ved hjelp av konstanten ALLOW_UNFILTERED_UPLOADS i wp-config.php.
• Installer utvidelsen Add MIME Types for presise formattillegg via administrasjonspanelet.
• For SVG-grafikk, bruk Safe SVG med sin innebygde renser.

Hvorfor WordPress blokkerer filopplastinger

WordPress støtter dusinvis av formater som standard, men ikke alle. Systemet sjekker MIME-typen til hver opplastet fil mot en fastkodet liste over tillatte typer. Hvis typen ikke finnes, ser du meldingen «Beklager, denne filtypen er ikke tillatt av sikkerhetsgrunner.»

Som standard tillater WordPress opplasting av følgende kategorier:

Alt som ikke står i tabellen (.woff/.woff2 for fonter,.svg for vektorgrafikk,.epub for e-bøker,.json,.xml,.csv) blokkerer WordPress.

Et typisk eksempel: du legger til en tilpasset font i temaet ditt og prøver å laste opp en .woff-fil via mediebiblioteket. Resultatet:

Filen ligger på serveren, filtypen er korrekt, innholdet er trygt, men WordPress gjenkjenner ikke MIME-typen font/woff og avviser den. Det finnes tre løsninger.

Metode 1: Kode i wp-config.php (raskt, for alle formater)

Den korteste veien er å legge til én linje i WordPress-konfigurasjonsfilen. Konstanten ALLOW_UNFILTERED_UPLOADS deaktiverer MIME-type-sjekking, slik at du kan laste opp filer av alle formater.

Før du begynner, ta en sikkerhetskopi av nettstedet ditt. Å redigere wp-config.php direkte er en operasjon med lav risiko, men filen er kritisk for at WordPress skal fungere.

Koble til serveren din via FTP/SFTP (FileZilla, WinSCP, eller filbehandleren til hostingleverandøren din). Filen wp-config.php ligger i rotmappen, på samme sted som katalogene wp-admin og wp-includes.

Åpne wp-config.php og legg til følgende linje før kommentaren /* That's all, stop editing! Happy blogging. */:

1
define('ALLOW_UNFILTERED_UPLOADS', true);

Lagre filen og last den opp til serveren igjen hvis du redigerte den lokalt. Deretter logger du ut av WordPress-administrasjonen og logger inn igjen. Dette er obligatorisk; ellers vil ikke den endrede konfigurasjonen tre i kraft.

Etter at du har logget inn igjen, prøver du å laste opp filen. Begrensningen er fjernet.

Fordeler med denne metoden: umiddelbar, krever ingen utvidelser, fungerer for alle formater. Ulempe: den åpner opplasting for absolutt alt. ALLOW_UNFILTERED_UPLOADS skiller ikke mellom en trygg .woff og en potensielt farlig kjørbar fil. Hvis det finnes andre administratorer eller forfattere på nettstedet, er det bedre å ikke bruke denne metoden.

Metode 2: Utvidelsen Add MIME Types (fleksibel, via administrasjonspanelet)

Hvis du ikke vil røre wp-config.php eller trenger presis kontroll (kun .woff og .svg, men ikke .exe), bruk Add MIME Types-utvidelsen på WordPress.org.

Utvidelsen vedlikeholdes aktivt (versjon 3.2.0, kompatibel med PHP 8.5 og WordPress 7.0) og endrer ikke kjernefiler. Den legger bare til de nødvendige MIME-typene gjennom standard WordPress-filter.

Installer og aktiver utvidelsen, og gå deretter til Innstillinger → Add MIME Types. Du vil se en liste over allerede tillatte formater; utvidelsen viser dem i rødt på slutten av listen.

For å legge til en ny type, skriver du inn filendelsen og den tilsvarende MIME-typen i feltet. For eksempel:

1
woff = font/woff
2
woff2 = font/woff2
3
svg = image/svg+xml
4
epub = application/epub+zip

Klikk Lagre endringer, så er formatet lagt til. Bekreft ved å laste opp en fil av den ønskede typen til mediebiblioteket. WordPress vil godta den uten feilmelding.

Fordeler: tryggere enn konstanten ALLOW_UNFILTERED_UPLOADS (du legger bare til det du trenger), administrasjon via administrasjonspanelet, innstillinger bevares under kjerneoppdateringer. Ulempe: ett steg lenger enn å redigere kode.

Alternativ for SVG: Utvidelsen Safe SVG

Hvis det eneste "ikke tillatte" formatet på nettstedet ditt er SVG, finnes det en spesialisert løsning. Safe SVG fra 10up-teamet tillater ikke bare opplasting av vektorgrafikk; den renser hver fil ved opplasting og fjerner potensielt skadelig XML-/JavaScript-kode.

Etter installasjon fungerer utvidelsen rett ut av boksen: ingen innstillinger kreves. SVG-filer er umiddelbart tilgjengelige for opplasting og vises korrekt i mediebiblioteket (inkludert forhåndsvisninger, som WordPress ikke tilbyr for SVG som standard).

Utvidelsen er aktiv på over 1 million nettsteder, kompatibel med WordPress 7.0 og oppdateres jevnlig. Hvis SVG er alt du trenger, håndterer Safe SVG oppgaven renere enn en universell MIME-utvidelse.

Her er en kort video om emnet som tydelig demonstrerer alle tre metodene for å fikse feilen i WordPress-administrasjonen:

⁉️🤔 Ofte stilte spørsmål

Er det trygt å bruke ALLOW_UNFILTERED_UPLOADS på et produksjonsnettsted?

Med forbehold. Konstanten deaktiverer MIME-type-sjekking fullstendig. Enhver bruker med filopplastingsrettigheter kan laste opp hva som helst til mediebiblioteket, inkludert kjørbare skript. På et produksjonsnettsted med flere forfattere, bruk den andre metoden (Add MIME Types) eller begrens i det minste hvem som har tilgang til mediebiblioteket.

Hvorfor tillater ikke WordPress SVG som standard?

SVG er et XML-dokument, ikke et binært bilde. Inne i en SVG-fil kan det finnes JavaScript, hendelsesbehandlere og <foreignObject>-tagger, noe som åpner en vektor for XSS-angrep. Dette er nøyaktig grunnen til at WordPress-kjernen blokkerer SVG, og utvidelser som Safe SVG sender filer gjennom en renser som fjerner all potensielt farlig kode og bare etterlater grafikken.

Etter å ha lagt til koden i wp-config.php, består feilen. Hva bør jeg gjøre?

Det er tre sannsynlige årsaker. For det første: du logget ikke ut og inn igjen av administrasjonspanelet. Konfigurasjonen bufres av økten, så en ny pålogging er nødvendig. For det andre: filen ble lastet opp til feil plassering. wp-config.php må ligge i nettstedets rotmappe, ikke i /wp-content/ eller /wp-admin/. For det tredje: en sikkerhetsutvidelse er aktiv på nettstedet (Wordfence, Solid Security) som fanger opp opplastinger uavhengig av konstanten. Sjekk innstillingene deres.

Kan jeg tillate opplastinger for bare én bruker?

Ikke via ALLOW_UNFILTERED_UPLOADS; konstanten er global. Utvidelsen Add MIME Types gjelder også for alle roller med upload_files-egenskapen. For selektiv tilgang, bruk upload_mimes-filteret i functions.php med en current_user_can()-sjekk, men dette er allerede tilpasset utvikling.

Hva bør jeg gjøre hvis utvidelsen Add MIME Types ikke fungerer for formatet mitt?

Noen formater krever et nøyaktig samsvar med MIME-typen som PHP-funksjonen finfo_file fastslår på serveren din. Dette kan avvike fra den "standard" typen. I utvidelsens innstillinger aktiverer du alternativet "Enable to debug output for file types recognized by WordPress", laster opp filen og ser hvilken MIME-type serveren faktisk fastslo. Skriv deretter inn nøyaktig den typen. Etter kontroll, deaktiver feilsøkingsmodus.

Fjerne blokkeringen: hvilken metode bør du velge

Tretrinns utvalgslogikk:

• Trenger du å laste opp én fil akkurat nå? Rediger wp-config.php. Det tar 30 sekunder, og begrensningen er borte. Ikke glem å fjerne eller kommentere ut linjen etterpå hvis nettstedet er offentlig.

• Laster du jevnlig opp bestemte formater? Add MIME Types er tryggere, mer visuelt og nullstilles ikke når WordPress-kjernen oppdateres.

• Jobber du bare med SVG? Safe SVG er et spesialisert verktøy med en renser som ikke bare «tillater», men også vasker filene. For alt annet, bruk den første eller andre metoden.

Feilmeldingen «Beklager, denne filtypen er ikke tillatt» er ikke en feil, men en tilsiktet begrensning. WordPress har imidlertid lagt til rette for legitime måter å omgå den på. Velg den som passer, og kom deg tilbake i arbeid. 🔗 Add MIME Types på WordPress.org | 🔗 Safe SVG på WordPress.org