Tänk dig en klinik som tar emot bokningar via sin webbplats. En fredag uppdaterar ett plugin sig självt, och bokningsformuläret slutar fungera. Inget larm, ingen kraschad sajt. På måndagen är telefonen tystare än vanligt, men ingen förstår varför förrän på onsdagen. Då har kunder i tre dygn försökt boka tid, inte kunnat, och gått vidare till någon annan.
Så ser det oftast ut när en webbplats går sönder. Inte med en dramatisk hackerattack, utan med något litet och tyst som ingen märker förrän affären redan har förlorats.
Den här artikeln handlar om varför det händer, vad det kostar, och varför ett underhållsavtal i praktiken är billig försäkring. Inte skräckpropaganda. Bara vad som faktiskt går fel, och vad som faktiskt skyddar.
Sajter går sällan sönder dramatiskt. De slutar bara fungera.
WordPress i sig är litet och välskött. Problemen sitter nästan alltid i det som byggts ovanpå: plugins och teman. En företagssajt samlar lätt på sig ett plugin för varje liten funktion. Varje plugin är extra kod, och varje extra bit kod är något som kan krocka när det uppdateras.
Den vanligaste orsaken till att något slutar fungera är just en sådan krock. Ett plugin uppdateras, men det är inte längre kompatibelt med en annan del av sajten. Resultatet blir sällan en vit skärm. Oftare är det ett formulär som tyst slutar skicka, en bokningsknapp som inte svarar, eller en bild som försvinner. Sådant du inte märker förrän en kund säger det, eller tills du själv råkar testa.
Sedan finns de plugins som ingen underhåller längre. Säkerhetsverktyget Wordfence räknar ett plugin som potentiellt övergivet om det inte uppdaterats på minst två år. Problemet är att din WordPress inte varnar dig när det händer. Som Patchstack har påpekat visas ett plugin som stängts på WordPress.org, till exempel på grund av ett säkerhetshål, fortfarande som uppdaterat i din admin, eftersom det inte finns någon ny version att hämta. Allt ser lugnt ut, fast det inte är det.
Till det kommer gammal PHP, programspråket som WordPress bygger på. När din server kör en föråldrad PHP-version börjar plugins krångla och säkerheten försämras. Och så de allra mest banala orsakerna av alla: en domän som inte förnyades i tid, eller ett SSL-certifikat som gick ut. Då ligger sajten nere helt, eller möts besökaren av en röd säkerhetsvarning. Inget av det har med hackare att göra. Allt går att förebygga. Om du vill förstå hur domän, webbhotell och e-post hänger ihop, och varför en utgången domän kan släcka allt på en gång, har vi skrivit om just det.
Det du inte ser: gammal kod är en öppen dörr
Nu till den delen folk är rädda för. Hackade sajter.
Här är det viktiga, och det är faktiskt lugnande: de allra flesta intrång sker inte för att någon riktade in sig på just ditt företag. De sker för att en känd lucka i ett gammalt plugin lämnades öppen, och automatiska bottar hittade den. Det är inget personligt. Det är bara en olåst dörr som någon gick förbi.
Och kända luckor utnyttjas snabbt. Verizons stora säkerhetsrapport för 2026, en oberoende källa som täcker hela näringslivet och inte bara WordPress, visar att utnyttjande av sårbarheter nu är den vanligaste vägen in i de dataintrång de analyserat. Det står för 31 procent av intrången och har gått om stulna inloggningsuppgifter.
Säkerhetsbranschens egna siffror pekar åt samma håll, att den stora majoriteten av WordPress-intrång går via plugins, teman eller kärna som inte hållits uppdaterade. De siffrorna kommer från företag som säljer säkerhetstjänster, så ta exakta procenttal med en nypa salt. Men riktningen är tydlig och bekräftas av oberoende håll. Gammal kod är vägen in. Vad du själv kan göra åt det går vi igenom i vår guide till WordPress-säkerhet för företag.
Vad det faktiskt kostar när det går fel
Vad händer om det väl smäller? Det beror på företaget, men mönstret är detsamma.
Det första du förlorar är kunder du aldrig får veta om. En klinik eller en hantverkare som tar bokningar via sajten tappar varje förfrågan som kommer in medan något är trasigt. Det syns inte i någon statistik. Folk bara går vidare.
Blir sajten hackad och Google flaggar den för skadlig kod, blir det värre. Då visar webbläsare en röd varningssida, och sajten plockas i praktiken bort ur sökresultaten. Säkerhetsföretaget Sucuri uppskattar att en blockad sajt tappar nästan all sin organiska trafik så länge varningen ligger kvar. Det är en uppskattning från en leverantör, inte en oberoende studie, men storleksordningen stämmer med hur Google hanterar flaggade sajter. Annonser till den sidan stoppas också.
Sedan kommer städningen, och den har ingen fast prislapp. Kostnaden styrs framför allt av hur gammal den senaste rena säkerhetskopian är och hur länge angriparen hunnit vara inne. Innehåll går ibland förlorat för gott, och det kan dröja innan sajten är tillbaka där den var i sökresultaten. Det är sällan billigt, och det är alltid dyrare än att ha undvikit det.
GDPR: en verklig skyldighet, men inte skräckpropaganda
Här blir många byråer oärliga, och det tänker vi inte vara.
Om din sajt hackas och kunduppgifter läcker är det en personuppgiftsincident, och GDPR ger dig då tre dygn från att du fått veta om den att anmäla den till Integritetsskyddsmyndigheten, IMY. Är risken hög ska du dessutom informera de drabbade direkt. Det är en riktig lag och en riktig deadline, och det är inget du vill stå och försöka klara av i panik dagarna efter ett intrång.
För en klinik väger det extra tungt, eftersom hälsouppgifter och personnummer räknas som särskilt känsliga. Det är precis sådant många små företag lagrar.
Men nu till det byråer sällan berättar: hur stor är egentligen risken att du blir bötfälld? Dataskyddsförordningen säger själv att en sanktionsavgift ska vara proportionell, och att myndigheten vid en mindre överträdelse kan ge en reprimand i stället (skäl 148). När IMY bestämmer påföljd ska den enligt artikel 83 bland annat väga in vad företaget gjort för att begränsa skadan och hur det samarbetat.
Det betyder att det du gör efter ett intrång räknas. Att reagera snabbt, informera de drabbade och införa nya rutiner väger till din fördel.
Det är den ärliga bilden. Ett litet företag som sköter sin sajt och reagerar rätt har mycket på sin sida. De stora avgifterna i Sverige har gått till organisationer som hanterat uppgifter om väldigt många människor, vilket IMY:s lista över beslut om sanktionsavgift visar. Poängen med GDPR här är inte skräck. Det är att du har en faktisk skyldighet, och att den är mycket lättare att leva upp till om sajten sköts innan något händer.
Varför ”klicka uppdatera” inte räcker
Här tänker du kanske: det här fixar jag väl själv? Loggar in, klickar uppdatera då och då. Och visst, det är bättre än ingenting. Men det räcker inte, och det är värt att förstå varför.
För det första finns inte alltid en uppdatering att klicka på. Enligt Patchstack saknade 46 procent av de WordPress-sårbarheter som rapporterades under 2025 en färdig patch när de blev kända. Övergivna plugins får aldrig någon. Att hålla sig uppdaterad hjälper inte mot ett hål som ingen täppt till.
För det andra kan själva uppdateringen vara det som sänker sajten. Det var precis det som hände kliniken i exemplet i början. En uppdatering utan att först testa den i en säker miljö är en chansning.
Ett riktigt underhåll är därför mer än att trycka på en knapp. Det är uppdateringar som testas innan de går live, regelbundna säkerhetskopior så att en kraschad sajt är tillbaka på minuter istället för ombyggd från noll, övervakning som fångar intrång tidigt, och bevakning som larmar när sajten ligger nere eller ett certifikat löper ut. Det är också någon som faktiskt märker när ett plugin övergetts och byter ut det innan det blir en öppen dörr.
Det är skillnaden mellan att hoppas att inget går fel och att veta att någon håller koll.
Ett underhållsavtal är billig försäkring
Så vad kostar det att ha någon som sköter det här? Det beror på sajten och vad som ingår: hur många tillägg som ska hållas efter, hur ofta det görs, och om övervakning och säkerhetskopior är med. Be om ett fast pris per månad, så vet du vad du jämför med.
Ställ det mot andra sidan. En sanering. Tappad synlighet i sök medan varningen ligger kvar. Bokningar som aldrig kom in medan formuläret låg nere. En 72-timmarsdeadline att hantera mitt i allt annat. Sett så är ett underhållsavtal inte en kostnad. Det är en billig försäkring mot att behöva betala det större priset.
Börja med tilläggslistan
Logga in och öppna listan över tillägg. Hur många är det, och när uppdaterades vart och ett senast? Det ser du på tilläggets sida på WordPress.org. Ett tillägg som inte uppdaterats på länge, eller som har stängts på WordPress.org, är det första du bör byta ut eller ta bort.
Skicka oss listan om du vill ha en andra åsikt om vilka som bör bytas. Vill du hellre att någon annan håller koll på den hela tiden är det precis vad ett löpande underhåll gör.