Varje vecka ser jag WordPress-installationer där admin-kontot fortfarande heter "admin" och lösenordet är företagsnamnet plus ett årtal. Det är inte ovanligt — det är standarden hos en stor del av de kunder vi tar över.
Det är ett problem. Inte för att det är slarv, utan för att angripare räknar med det.
Vad ett svagt lösenord faktiskt innebär
En brute force-attack mot WordPress-inloggningen kan testa hundratals kombinationer i minuten. "Sommar2023", "Foretagsnamn1" eller "wordpress" testas alltid. Det är inte avancerad hacking — det är ett skript som kör en lista.
Om ditt lösenord finns i de 10 000 vanligaste används det i varje attack. Det tar sekunder att knäcka.
Hur du vet om ditt lösenord håller
WordPress har en inbyggd lösenordsstyrkeindikator när du skapar eller ändrar lösenord. Den är grov men ger en fingervisning. "Starkt" enligt WordPress är inte nödvändigtvis starkt nog.
Ett lösenord som faktiskt håller:
- Minst 16 tecken
- Ingen igenkännbar ord-struktur
- Blandar versaler, siffror och specialtecken — men inte på ett förutsägbart sätt ("P@ssword1" är svagt trots specialtecken)
Enklaste testet: kan du komma ihåg det utan hjälp? Då är det förmodligen för enkelt.
Lösenordshanterare — det enda vettiga alternativet
Jag använder Bitwarden. Har gjort det i flera år. Slumpmässiga lösenord på 24 tecken som jag aldrig ser, aldrig skriver in manuellt och aldrig behöver komma ihåg.
Det finns flera alternativ — 1Password, Dashlane, KeePass om du vill ha allt lokalt. Vilket du väljer spelar mindre roll. Att du väljer ett spelar stor roll.
Den vanligaste invändningen är att det känns osäkert att ha alla lösenord på ett ställe. Det är en rimlig tanke, men fel slutsats. Ett svagt lösenord du återanvänder på tio ställen är exponentiellt farligare.
Användarnamnet "admin" ska bort
Om ditt WordPress-konto heter "admin" är det lågt hängande frukt för angripare. De vet redan halva inloggningen.
Så här ändrar du det:
- Skapa ett nytt adminskonto med ett annat användarnamn
- Logga in med det nya kontot
- Radera det gamla "admin"-kontot och tilldela dess innehåll till det nya
Det tar fem minuter. Gör det idag om du inte redan gjort det.
Flera adminanvändare är en risk du glömmer
Jag skrev nyligen om WordPress-användare du borde ta bort. Det hänger ihop med lösenordsfrågan. Varje adminanvändare är en potentiell ingång — och om en av dem har ett svagt lösenord spelar ditt eget ingenting.
Kolla vilka som faktiskt har admin-behörighet. Mer än en-två konton med full access är ofta fler än nödvändigt.
Tvåfaktorsautentisering täcker det lösenord inte kan
Oavsett hur starkt ett lösenord är kan det läcka. Databasen hos en annan tjänst du använt blir exponerad, du råkar logga in på ett phishing-formulär, eller något annat du inte kontrollerar.
Med tvåfaktorsautentisering (2FA) spelar ett läckt lösenord mindre roll — angriparen behöver fortfarande din telefon eller authenticator-app. Det är ett separat lager som täcker det lösenordet ensamt inte kan.
Det är inte komplicerat att sätta upp. Plugins som "WP 2FA" eller "Two Factor" i WordPress-repot funkar bra för de flesta installationer.
Lösenord för databas och FTP räknas också
WordPress-inloggningen är den synliga ytan. Men din databas, FTP/SFTP och webbhotellets kontrollpanel är minst lika viktiga. Svaga lösenord där ger direktåtkomst utan att gå via WordPress alls.
Om du aldrig ändrat databaslösenordet sedan installationen — eller om det ser ut som "root" eller "password123" — byt det nu. Det görs i wp-config.php och i din databaspanel.
Vill du ha någon som håller koll på det här löpande — uppdateringar, användarbehörigheter, lösenordspolicyer — tittar du på vad ett WordPress-supportavtal faktiskt täcker. Det är billigare än att städa upp efter ett intrång.
