Fem timer. Så lang tid gik der typisk i 2025, fra en sårbarhed i et WordPress-plugin blev offentliggjort, til de første automatiserede angreb var i gang. Tallet stammer fra sikkerhedsfirmaet Patchstacks årsrapport om WordPress-sikkerhed, og det bør stå øverst på listen, når en virksomhed sammenligner tilbud fra bureauer i Aarhus.
Det står nemlig sjældent i tilbuddet. Der står design, antal sideskabeloner og måske SEO-opsætning. Der står ikke, hvad der sker en tirsdag aften klokken 21, når et populært formularplugin får en kritisk fejl.
Lanceringen er den mindste del af opgaven
En hjemmeside bliver bygget på nogle måneder. Bagefter skal den køre i fem, seks eller otte år. Alligevel bruger de fleste virksomheder næsten al deres opmærksomhed på de første måneder, når de vælger samarbejdspartner. Det svarer til at købe en bil ud fra lakken og glemme at spørge, om der følger service med.
Tallene bag problemet
Patchstack registrerede 11.334 nye sårbarheder i WordPress-økosystemet i 2025. Året før var tallet 7.966, en stigning på 42 procent. 91 procent af dem sad i plugins, resten i temaer. Selve WordPress-kernen havde kun en håndfuld, og ingen af dem var alvorlige.
Den nuance er vigtig. Platformen er ikke problemet. Problemet er alt det, der bliver bygget ovenpå. Hvert plugin er en dør ind til siden, og hver dør skal holdes låst.
Et WordPress-bureau med styr på driften kan svare præcist på, hvor mange plugins jeres løsning bruger, hvem der udvikler dem, og hvornår de sidst blev opdateret. Kan bureauet ikke det, ved I allerede noget vigtigt om samarbejdet.
Når jeres kunder begynder at spørge
Der er kommet et nyt lag oven på det tekniske. Den danske cybersikkerhedslov, som gennemfører EU’s NIS2-direktiv, trådte i kraft 1. juli 2025. Loven kræver blandt andet, at de omfattede virksomheder har styr på sikkerheden hos deres leverandører.
Aarhus er en by med havn, energiselskaber, logistik og en stor offentlig sektor. Transport og energi hører til de sektorer, loven dækker, og mange mindre virksomheder i byen leverer varer og ydelser til dem. Når kravene ruller ned gennem leverandørkæden, kan en underleverandør pludselig få et spørgeskema: Hvem har adgang til jeres systemer? Hvordan er de beskyttet? Hvad gør I ved et brud?
Hjemmesiden er en del af svaret. Det gælder i endnu højere grad, hvis den håndterer kundedata og betalinger. Skal I i gang med en ny webshop, bør sikkerhedsdriften derfor være planlagt fra første dag og ikke tilføjet, når kunden spørger.
Måske er jeres virksomhed slet ikke omfattet. Men er jeres største kunde det?
Fem spørgsmål, der skiller bureauerne
Aarhus har mange webbureauer, fra freelancere til større huse med egne udviklingsteams. Porteføljerne ligner ofte hinanden. Driftsmodellerne gør ikke. Derfor er det mere oplysende at spørge ind til tiden efter lanceringen end at bladre gennem endnu en case.
| Spørgsmål | Svar, der bør berolige | Svar, der bør vække tvivl |
|---|---|---|
| Hvor hurtigt opdaterer I efter en kritisk sårbarhed? | Samme døgn, med løbende overvågning | “Vi opdaterer én gang om måneden” |
| Hvem ejer domæne, hosting og administratorlogin? | Kunden, med bureauet som bruger | Bureauet |
| Hvornår har I sidst testet en gendannelse fra backup? | Inden for det seneste kvartal | “Hostingfirmaet tager sig af backup” |
| Kræver I totrinsbekræftelse på alle administratorkonti? | Ja, uden undtagelser | Det er valgfrit |
| Hvem betaler oprydningen, hvis siden bliver hacket? | Det er dækket af driftsaftalen | Det afregnes efter timeforbrug |
Ingen af spørgsmålene kræver teknisk viden at stille. Svarene kræver til gengæld, at bureauet har gjort sig nogle overvejelser.
Det sikreste plugin er det, I ikke installerer
Mange sårbarheder kommer ind ad bagdøren. Et plugin bliver installeret til en enkelt lille funktion, en slider på forsiden eller en ekstra formular, og bliver så liggende i årevis, også når funktionen ikke længere bruges.
Hos Medieplan, som bygger WordPress- og WooCommerce-løsninger til virksomheder i hele landet, er det derfor en del af samtalen allerede ved første møde: Hvilke funktioner har I brug for, og hvilke er bare rare at have? En funktion, der kan løses i temaet, kræver ikke et plugin. Hver gang svaret er “det kan vi undvære”, bliver siden lidt lettere at passe på.
Sammenlign prisen over tre år
Et tilbud på 40.000 kroner uden driftsaftale og et tilbud på 55.000 kroner med kan ikke sammenlignes direkte. Det første kan blive det dyreste, hvis siden en dag skal ryddes op efter et angreb, gendannes fra en backup, der viser sig ikke at virke, eller genopbygges.
Bed derfor alle bureauer om den samlede pris for de første tre år, inklusive hosting, opdateringer og support. Så taler I om det samme.
Nærhed betyder noget andet end før
Der er en udbredt forestilling om, at et lokalt bureau er det trygge valg, fordi man kan køre forbi kontoret. Den holder kun delvist. Når en hjemmeside går ned en fredag eftermiddag, hjælper det ikke, at bureauet ligger i Frederiksbjerg, hvis ingen tager telefonen.
Responstid slår postnummer
Det, der betyder noget, er aftalen. Hvor hurtigt reagerer bureauet på en kritisk henvendelse? Er der en navngiven person, der kender jeres løsning? Og findes der en plan for, hvad der sker, hvis den person er på ferie?
Det personlige møde har stadig værdi, især i opstarten, hvor bureauet skal forstå jeres forretning. Men driften foregår ikke over et mødebord. Den foregår i logfiler, opdateringskøer og overvågningssystemer, og den er enten organiseret eller også er den ikke.
Det rigtige valg ses først senere
Det sigende ved et bureau viser sig sjældent på lanceringsdagen. Det viser sig to år senere, når et plugin, ingen længere husker, får en kritisk fejl, og nogen skal reagere inden for de fem timer.
Så når I sidder med tre tilbud fra tre bureauer i Aarhus, er det måske ikke designet, der skal afgøre det. Spørg i stedet: Hvem holder øje med jeres hjemmeside, når I ikke selv gør det?