WordPress-tietoturva: näin sivusto suojataan käytännössä

WordPressin tietoturva ratkeaa arjen valinnoissa: mitä lisäosia käytetään, kuinka nopeasti ne päivitetään ja kuka pääsee hallintaan. Tämä sivu kertoo, mitä ne valinnat ovat.

AKT:n WordPress-verkkopalvelu kannettavalla tietokoneella, toteutus redandblue

Lyhyesti

  • WordPress on turvallinen julkaisujärjestelmä, kun se toteutetaan huolellisesti ja sitä ylläpidetään jatkuvasti.
  • Patchstackin mukaan vuonna 2025 löydetyistä WordPress-haavoittuvuuksista 91 % oli lisäosissa ja vain kuusi WordPressin ytimessä.
  • Tärkeimmät suojauskeinot ovat harkittu lisäosavalikoima, nopeat päivitykset, kaksivaiheinen tunnistautuminen ja rajatut käyttöoikeudet.
  • Päivitys ei aina riitä: osaan haavoittuvuuksista ei ole korjausta julkistushetkellä, joten tarvitaan myös valvontaa ja palomuuria.
  • Varmuuskopio on tietoturvaa vasta, kun palautus on testattu.

Kyllä, WordPress on turvallinen, kun se toteutetaan huolellisesti ja sitä ylläpidetään. Suurin osa WordPress-sivustoihin kohdistuvista ongelmista ei johdu WordPressistä itsestään vaan lisäosista, heikoista tunnuksista ja päivittämättömistä ympäristöistä.

WordPressin ytimellä on oma tietoturvatiiminsä, johon kuuluu yli 50 asiantuntijaa. Kriittiset korjaukset jaetaan automaattisesti myös vanhempiin versioihin. Tietoturvayhtiö Patchstackin raportin mukaan vuonna 2025 WordPress-ekosysteemistä löytyi 11 334 uutta haavoittuvuutta. Niistä 91 % oli lisäosissa, 9 % teemoissa ja ytimessä vain kuusi.

Lukuja voi tulkita seuraavasti: Ekosysteemi on suuri ja tutkittu, joten haavoittuvuuksia myös löydetään ja korjataan. Jokainen lisäosa on kuitenkin oma riskinsä, josta joku on vastuussa.

Uhkakuvaa, kyberturvallisuuslakia ja tietosuojaa käsittelimme artikkelissa Verkkopalveluiden tietoturva murroksessa. Tällä sivulla keskitymme siihen, mitä sivustolle tehdään käytännössä.

Onko WordPress turvallinen?

Miten lisäosat valitaan turvallisesti?

Lisäosa valitaan turvallisesti arvioimalla sen ylläpito, tarpeellisuus ja kehittäjä ennen asennusta. Paras lisäosa on usein se, jota ei tarvitse asentaa lainkaan.

Käytämme lisäosille näitä kysymyksiä:

  • Tarvitaanko tätä? Pieni toiminto on usein turvallisempi tehdä teemaan kuin asentaa sitä varten laaja lisäosa.
  • Onko lisäosa aktiivisesti ylläpidetty? Tuore päivitys, vastatut tukikysymykset ja yhteensopivuus nykyisen WordPress-version kanssa.
  • Kuka sen kehittää? Tunnettu yritys tai pitkäaikainen kehittäjä, jolla on näkyvä tapa ottaa vastaan haavoittuvuusilmoituksia.
  • Mitä oikeuksia se tarvitsee? Lisäosa, joka käsittelee lomakkeita, tiedostoja tai käyttäjätietoja, vaatii tarkemman arvion kuin ulkoasua muokkaava.
  • Mitä tapahtuu, jos kehitys loppuu? Tärkeälle toiminnolle pitää olla varasuunnitelma.

Lisäosia kannattaa myös karsia säännöllisesti. Käyttämätön lisäosa on riski, vaikka se olisi pois päältä, jos sen tiedostot ovat yhä palvelimella.

AKT:n WordPress-verkkopalvelu mobiilinäkymässä, toteutus redandblue
Omnian WordPress-verkkopalvelu kannettavalla tietokoneella, toteutus redandblue

Tietoturvapäivitykset pitää tehdä tunneissa tai päivissä, ei viikoissa. Patchstackin mukaan laajasti hyödynnettyjä haavoittuvuuksia aletaan käyttää massahyökkäyksissä mediaaniltaan viidessä tunnissa julkistuksesta.

Siksi päivityksiä ei voi jättää kuukausittaisen huoltoikkunan varaan. Hyvä päivityskäytäntö on kolmiportainen:

  • Kriittiset tietoturvakorjaukset asennetaan heti, tarvittaessa automaattisesti.
  • Tavalliset päivitykset testataan ensin testiympäristössä ja viedään tuotantoon säännöllisesti.
  • Pääversiot WordPressistä ja isoista lisäosista testataan huolellisemmin, koska ne voivat muuttaa toimintaa.

Samassa raportissa todetaan, että 46 % haavoittuvuuksista oli yhä ilman korjausta julkistushetkellä. Silloin päivitystä ei ole vielä olemassa. Suojana toimivat sovellustason palomuuri, joka torjuu tunnetut hyökkäystavat, sekä valvonta, joka huomaa poikkeamat. Jos korjausta ei tule, lisäosa korvataan.

Päivitysten käytännön järjestely kuuluu ylläpitoon. Lue lisää: WordPress-ylläpito käytännössä.

Kuinka nopeasti päivitykset pitää tehdä?

Mitä tunnuksille, palvelimelle ja varmuuskopioille pitää tehdä?

Tunnukset suojataan kaksivaiheisella tunnistautumisella ja rajatuilla rooleilla, palvelin pidetään ajan tasalla ja varmuuskopioiden palautus testataan. Nämä ovat perustoimia, mutta ne unohtuvat helposti.

Tunnukset ja roolit

  • Kaksivaiheinen tunnistautuminen kaikille, joilla on muokkausoikeus.
  • Jokaiselle käyttäjälle vain tehtävän vaatima rooli. Sisällöntuottaja ei tarvitse pääkäyttäjän oikeuksia.
  • Henkilökohtaiset tunnukset, ei yhteisiä. Kun joku lähtee organisaatiosta, tunnus poistetaan samana päivänä.
  • Kirjautumisyritysten rajoittaminen ja epäonnistuneiden kirjautumisten seuranta.

Palvelin

  • WordPressin suosittelema PHP-versio (tällä hetkellä 8.3 tai uudempi) ja tuettu tietokantaversio.
  • HTTPS kaikilla sivuilla.
  • Erillinen testiympäristö, jossa päivitykset kokeillaan ennen tuotantoa.
  • Palvelin, jolla sivustot on eristetty toisistaan, jotta yhden sivuston ongelma ei leviä.

Ajan tasalla oleva ympäristö on usein myös nopeampi. Lue lisää: WordPress-sivuston nopeus.

Varmuuskopiot

  • Automaattinen, päivittäinen varmuuskopio tiedostoista ja tietokannasta.
  • Kopiot eri paikassa kuin sivusto.
  • Palautus testataan säännöllisesti. Varmuuskopio, jota ei ole koskaan palautettu, on oletus eikä suunnitelma.

Valvonta

Automaattinen valvonta seuraa sivuston saatavuutta, tiedostomuutoksia ja kriittisiä toimintoja, kuten lomakkeita ja kassaa. Poikkeamaan reagoidaan ennen kuin käyttäjä huomaa sen.

Tarkistuslista viestintä- ja IT-vastaavalle

Näillä kysymyksillä saat nopean kuvan oman sivustonne tilasta:

  • Tiedämmekö, kuka päivittää sivuston ja kuinka nopeasti kriittinen korjaus asennetaan?
  • Onko kaikilla hallinnan käyttäjillä kaksivaiheinen tunnistautuminen?
  • Onko lähteneiden työntekijöiden ja entisten kumppaneiden tunnukset poistettu?
  • Milloin varmuuskopio on viimeksi palautettu testiksi?
  • Montako lisäosaa sivustolla on, ja tarvitaanko niitä kaikkia?
  • Kuka saa hälytyksen, jos sivusto kaatuu yöllä?

Jos jokin vastaus on ”en tiedä”, siitä kannattaa aloittaa.

Sitran verkkopalvelun sisältösivu mobiilinäkymässä, toteutus redandblue
Sitran verkkopalvelu kolmella puhelimella, toteutus redandblue

Näin teemme

redandblue ja WordPress

Tietoturva on mukana jo määrittelyssä: valitsemme lisäosat edellä kuvatuilla kriteereillä ja teemme pienet toiminnot mieluummin omaan pohjateemaamme. Ylläpidossamme on 127 sivustoa, ja vuonna 2025 ratkaisimme 941 tukitikettiä.

Käyttöpalvelumme sisältää automaattiset varmuuskopiot, ympäri vuorokauden toimivan automaattisen valvonnan, automaattiset lisäosapäivitykset ja kuukausittaiset tietoturva-auditoinnit. Tukipalvelu ja pienkehitys huolehtii päivityksistä ja korjauksista, ja asiakkaalla on nimetty tiimi, joka tuntee sivuston.

Kun rakennamme uutta sivustoa, tietoturva on osa samaa kokonaisuutta kuin saavutettavuus ja suorituskyky. Lue lisää WordPress-verkkosivuista.

Tutustu WordPress-verkkosivuihin
AKT:n verkkopalvelu kannettavalla tietokoneella, toteutus redandblue
WordPress-tietoturva

Asiakkaidemme projekteja

Katso kaikki työt
Katso kaikki työt

Ei yksinään. Tietoturvalisäosa auttaa esimerkiksi kirjautumisten rajoittamisessa ja palomuurina, mutta se ei korvaa päivityksiä, rajattuja oikeuksia, varmuuskopioita eikä valvontaa.

Tietoturvakorjauksille kyllä. Suurille versiopäivityksille suosittelemme testausta ennen tuotantoa, koska ne voivat muuttaa sivuston toimintaa.

Ota yhteys ylläpitäjään heti, vaihda pääkäyttäjien salasanat ja älä poista mitään ennen kuin tilanne on selvitetty. Sivusto palautetaan yleensä puhtaasta varmuuskopiosta, ja reikä korjataan ennen kuin sivusto palaa verkkoon.

Kumpikaan ei ole automaattisesti turvallisempi. Avoimen lähdekoodin haavoittuvuudet löydetään ja korjataan avoimesti, ja suljetussa järjestelmässä luotetaan toimittajan omaan prosessiin. Ratkaisevaa on ylläpito.

Laki koskee tiettyjen toimialojen organisaatioita, ja silloin se koskee myös niiden verkkopalveluita. Asiaa käsitellään tarkemmin tietoturva-artikkelissamme. Oman velvoitteen voi tarkistaa Traficomin ohjeista.

Usein kysyttyä WordPressin tietoturvasta

Webmaster Podcast

Miltä näyttää tulevaisuuden verkkosivut ja WordPress?

Monikanavaista keskustelua verkosta ja sen liepeiltä. Kaikesta hyvin hoidettuun, kauniiseen ja toimivaan verkkoon liittyvästä. Kuuntele ja tilaa kanavamme, ja pysyt kärryillä siitä millaisia ovat tulevaisuuden verkkosivut.

Webmaster Podcast

Onko sivustonne tietoturva kunnossa?

Kerro sivustostanne, niin kerromme, miten ylläpito ja tietoturva hoidetaan meillä. Tutustu WordPress-verkkosivuihin

WordPress-tietoturva

Kysy lisää – me vastaamme

redandbluen toinen perustaja, vanhempi suunnittelija ja asiakkuusjohtaja Petteri Laamo

Petteri Laamo

Senior designer, Client director, Co-Founder
Puhelin 040 194 4421
Sähköposti petteri@redandblue.fi

Yhteydenottolomake

Kenttä on validointitarkoituksiin ja tulee jättää koskemattomaksi.
Nimi(Pakollinen)
Rekisteriselosteen hyväksyntä(Pakollinen)