Säkerhetsplugins gör nytta, men de skapar också en risk: falsk trygghet. Ett grönt märke som säger ”din sajt är skyddad” får många att sluta tänka på säkerhet — trots att flera av de största riskerna ligger helt utanför pluginets räckvidd.
Vad pluginet inte ser
- Serversårbarheter — föråldrad PHP, felkonfigurerad webbserver, öppna portar eller svaga grannar på en delad server.
- En redan komprometterad miljö — är servern själv hackad hjälper inget plugin inuti WordPress.
- Sig själv avstängt — en angripare med filåtkomst kan inaktivera pluginet, och då slutar även skanningen och loggen fungera.
- Nya, osignerade hot — det som inte finns i signaturdatabasen ännu.
Problemet med att lita på ett enda lager
Ett plugin som körs på samma nivå som det ska skydda är i grunden i underläge. Angriparen behöver bara ta sig förbi en gång, medan pluginet måste ha rätt varje gång — och saknar det ett lager under sig finns ingen som fångar det pluginet missar. Det är därför riktig säkerhet aldrig vilar på en enda komponent.
Säkerhet är lager, inte en kryssruta
Riktig WordPress-säkerhet byggs i lager: isolering på servernivå så en granne eller en komprometterad process inte kan nå din sajt, uppdateringar som faktiskt görs i tid, backup som inte kan raderas inifrån, och en människa som reagerar när något ser fel ut. Pluginet är ett av lagren — men bara ett.
Lagren som pluginet inte ger
De lager ett plugin inte kan leverera ligger i plattformen. Managed WordPress-hosting ger isolering per sajt, force SSL på servern, bevakade uppdateringar och en supportpartner som agerar — inte bara ett märke i wp-admin. Och skulle något ändå ta sig in finns sanering ett samtal bort, med skanning på servernivå bortom vad ett plugin kan se.