WordPress-plugins: de viktigste for bedriftsnettsider, og hvordan du velger trygt

En bedriftsnettside på WordPress trenger plugins for sikkerhetskopi, sikkerhet, SEO, hurtigbuffer, skjema og samtykke til informasjonskapsler. Booking legger du bare til hvis du trenger det. Velg plugins som oppdateres ofte og har en kjent leverandør. Hele 91 % av de nye sårbarhetene i WordPress i 2025 ble funnet i plugins. Derfor er det tryggere med få gode enn mange gratis.

Plugins gjør WordPress til et sterkt verktøy for små og mellomstore bedrifter. Samtidig er de den vanligste veien inn for angripere. Her får du hvilke utvidelser en bedriftsnettside faktisk trenger, hvordan du velger plugin for booking, hvilke norske lovkrav som styrer valget, og hva det koster å holde alt i drift.

Hvilke plugins trenger en bedriftsnettside?

De fleste bedriftsnettsider trenger plugins for seks ting: sikkerhetskopi, sikkerhet, søkemotoroptimalisering, hastighet, skjema og samtykke til informasjonskapsler. Booking, nettbutikk og flere språk legger du bare til når virksomheten faktisk har behov for det.

En plugin (utvidelse) er en pakke med kode som gir WordPress nye funksjoner uten at du må programmere. Det er styrken ved WordPress som publiseringsverktøy. Det er også den største risikoen, fordi hver utvidelse er kode fra en annen leverandør som har full tilgang til nettstedet ditt.

Grunnpakken for en bedriftsnettside

• Behov | Typiske valg | Holder gratisversjonen? | Dette bør du vite
• Sikkerhetskopi | UpdraftPlus eller backup fra webhotellet | Ofte | Lagre kopiene utenfor serveren, ellers forsvinner de hvis nettstedet blir hacket
• Sikkerhet og brannmur | Wordfence, Patchstack, Solid Security | Delvis | Beskyttelse mot nye sårbarheter før de er tettet (virtuell lapping) krever som regel betalt versjon
• SEO | Yoast SEO, Rank Math, SEOPress | Ja, for de fleste | Bruk bare én. To SEO-plugins lager doble metadata og strukturerte data
• Hurtigbuffer (cache) | WP Rocket, LiteSpeed Cache | Avhenger av webhotellet | LiteSpeed Cache krever LiteSpeed-server. Ikke kjør to hurtigbuffere samtidig
• Skjema | Gravity Forms, WPForms, Contact Form 7 | Ja, for enkle skjema | Alt som sendes inn, er personopplysninger som lagres i databasen
• Samtykkebanner | Complianz, CookieYes, Cookiebot | Begrenset | Må blokkere sporingsskript til brukeren har sagt ja
• Booking | Amelia, Bookly, Booknetic | Til testing | Se egen seksjon nedenfor

Mange temaer og sidebyggere har egne utvidelser med på kjøpet. Sjekk hva temaet ditt allerede gjør før du installerer noe nytt. Det vi ser oftest, er nettsteder som laster to skjemaløsninger og to bildeoptimaliserere fordi temaet hadde én og noen la til en til.

SEO-pluginen og AI-svar i søk

En SEO-plugin gir deg grunnmuren: titler, metabeskrivelser, nettstedskart og strukturerte data (schema). Det gjør det lettere for Google å forstå innholdet og hente det inn i AI Overview og andre AI-svar. Men pluginen skriver ikke innholdet for deg. Grønne lys i Yoast er ingen garanti for synlighet. Les mer om søkemotoroptimalisering i WordPress.

Hvor mange plugins er for mange?

Det finnes ikke noe magisk tall. Én dårlig vedlikeholdt plugin er farligere enn tjue gode. Det som teller, er hvor mye kode som lastes på hver side, og hvor mange leverandører du må stole på.

Ifølge Patchstacks rapport State of WordPress Security in 2026 ble det funnet 11 334 nye sårbarheter i WordPress i 2025, en økning på 42 % fra året før. 91 % lå i plugins og 9 % i temaer. Bare 6 ble funnet i selve WordPress, og alle var lav risiko. Rapporten viser også at 46 % av sårbarhetene ikke var tettet da de ble gjort kjent. Typisk tid fra en sårbarhet blir kjent til masseangrepene starter (median), var fem timer.

Konsekvensen er konkret: Hver plugin du fjerner, er én mulig vei inn mindre. Det er ikke nok å deaktivere den. En deaktivert plugin kjører ikke gjennom WordPress, men filene ligger fortsatt på serveren og kan i noen tilfeller nås direkte. Vårt råd er å slette det du ikke bruker. Er skaden først skjedd, finner du framgangsmåten i guiden om hva du gjør når WordPress er hacket.

Antall plugins påvirker også hastigheten. Mange utvidelser legger inn egne skript og stilark på alle sider, også der de ikke brukes. Et skjema på kontaktsiden kan for eksempel laste kode på forsiden.

Etter Lighthouse-optimalisering (bildekomprimering, caching, opprydding i skript) forbedres ytelsesscore hos Box sine kunder typisk fra under 55 til over 80.

Hvordan velger du en trygg plugin?

Velg plugins som oppdateres ofte, har en navngitt leverandør med eget nettsted og ikke har kjente sårbarheter uten rettelse. Test alltid i et testmiljø (staging) før du installerer på det ekte nettstedet.

• Definer behovet først. Kan temaet, WordPress selv eller en plugin du allerede har, løse oppgaven?
• Åpne pluginens side i katalogen på wordpress.org og se på «Sist oppdatert» og «Testet opp til». Vi anbefaler å se etter alternativer hvis det ikke har kommet en oppdatering på et halvt år.
• Sjekk antall aktive installasjoner og hvor mange spørsmål i supportforumet som faktisk blir løst. Ubesvarte tråder sier mye om hvordan leverandøren følger opp.
• Søk opp pluginnavnet i Patchstacks eller WPScans sårbarhetsdatabase. Les historikken, ikke bare status i dag.
• Kjøp premiumversjoner bare fra leverandørens egen nettside. Vi fraråder piratkopierte («nulled») plugins helt. De mangler oppdateringer og har ofte skadelig kode innebygd.
• Installer i et testmiljø og mål hastigheten før og etter med Lighthouse eller PageSpeed Insights.
• Skriv ned hvem som eier lisensen, hvilken e-postadresse den er knyttet til, og når den går ut. Det er ofte her det stopper når en ansatt slutter.

Ikke tro at betalte plugins automatisk er tryggere. Patchstack mottok 1 983 sårbarhetsrapporter for premium- og freemiumprodukter i 2025. 76 % av disse kunne utnyttes i ekte angrep. Kildekoden i premiumprodukter blir sjeldnere gransket av uavhengige sikkerhetsforskere, ifølge rapporten.

Hva er den beste WordPress-pluginen for booking?

For tjenestebedrifter med én til ti ansatte er Amelia og Bookly de mest modne bookingpluginene. Har du allerede en nettbutikk i WooCommerce, er WooCommerce Bookings mer naturlig. Spør deg likevel først om bookingen bør ligge i WordPress i det hele tatt.

Booking i WordPress eller i eget bookingsystem

• Løsning | Passer for | Gratisversjon | Prisnivå 2026 | Viktigste ulempe
• Amelia | Frisører, kursholdere, små klinikker | Ja (Lite) | Starter fra 49 USD/år for ett domene | Betaling, kalendersynk og flere lokasjoner krever høyere plan
• Bookly | Små team med enkel timebestilling | Ja, begrenset | Pro fra 99 USD/år, ofte med kampanjepris | Mange funksjoner selges som egne tillegg
• WooCommerce Bookings | Bedrifter som allerede bruker WooCommerce | Nei | Sjekk woocommerce.com | Krever WooCommerce og mer vedlikehold
• Eget bookingsystem utenfor WordPress (abonnement) | Klinikker, bransjer som trenger SMS og journal | Varierer | Månedspris | Mindre kontroll over design, men leverandøren står for sikkerheten

Prisene er hentet fra Bookly sin egen sammenligning med Amelia. Ifølge den starter Bookly Pro på 39 USD per år i kampanje og 99 USD ordinært, mens Amelia Starter koster 49 USD per år. Prisene endres ofte, så sjekk leverandørens prisside før du kjøper. Legg merke til at betalingsløsninger, synkronisering med Google- eller Outlook-kalender og SMS-varsler ofte bare følger med i de dyrere planene.

Betaling med Vipps ved booking

Vil du ta betalt når kunden booker, skjer det som regel gjennom WooCommerce eller bookingpluginens egen betalingsløsning. Sjekk at Vipps-integrasjonen bruker Vipps MobilePays ePayment-API, som er det gjeldende grensesnittet. Det eldre eCom-API-et er avviklet. Utvidelser som fortsatt er bygget på eCom, bør byttes ut. Les mer om Vipps for bedrifter.

Helseopplysninger: fellen for klinikker

Alt som viser at noen har bestilt time hos fysioterapeut, psykolog eller kiropraktor, kan regnes som helseopplysninger. Det er en særlig kategori personopplysninger etter GDPR artikkel 9. Et fritekstfelt som «Beskriv plagene dine» gjør det enda mer følsomt. Fjern slike felt, sørg for at påminnelser på SMS og e-post ikke viser hvilken behandling det gjelder, og vurder et bookingsystem der leverandøren har databehandleravtale og sikker lagring. For klinikker mener vi at et eget bookingsystem utenfor WordPress nesten alltid er det tryggeste valget.

Hvilke lovkrav må pluginene dine oppfylle?

Tre regelsett påvirker valget av plugins direkte: ekomloven § 3-15 om informasjonskapsler, GDPR for skjema og booking, og kravene til universell utforming. Det er du som eier nettstedet, som har ansvaret, ikke leverandøren av pluginen.

Informasjonskapsler: banneret må faktisk blokkere

Den nye ekomloven gjelder fra 1. januar 2025. Ifølge Nkom krever den at samtykke til informasjonskapsler oppfyller kravene i GDPR. Datatilsynet og Nkom fører tilsyn sammen. Før holdt det at nettleseren tillot informasjonskapsler som standard. Det gjør det ikke lenger.

Den vanligste feilen er et samtykkebanner som ser riktig ut, men der Google Analytics eller Meta Pixel lastes før brukeren har trykket på noe. Slik tester du: Åpne nettstedet i et privat vindu, åpne utviklerverktøyene og se under Nettverk og Informasjonskapsler før du klikker på noe. Står det _ga- eller _fbp-kapsler der allerede, oppfyller ikke banneret kravet. Sjekk også at cookieerklæringen viser til § 3-15 og ikke den gamle § 2-7b, og at «Avvis» er like lett å velge som «Godta».

Skjema, booking og personvernerklæringen

Hver plugin som sender data til en annen tjeneste, må stå oppført i personvernerklæringen din. Eksempler er Google reCAPTCHA, nyhetsbrevverktøy og bookingsystemer med skylagring. Mange skjemaplugins lagrer alle innsendinger i databasen for alltid. Slå på automatisk sletting der pluginen har det, eller slett innsendingene manuelt etter en fast frist.

Universell utforming

Skjema, bookingkalendere og samtykkebannere fra plugins er ofte det som stryker når nettsteder blir testet for universell utforming. Typiske feil er felt uten etiketter og bannere som ikke kan lukkes med tastaturet. Sjekk dem opp mot kravene til universell utforming før du bestemmer deg for en løsning.

Bør du slå på automatiske oppdateringer for plugins?

Ja for plugins med lav risiko, nei for de som er kritiske for virksomheten. Siden WordPress 5.5 kan du velge automatiske oppdateringer for hver plugin for seg. Det betyr at du ikke trenger å velge alt eller ingenting.

Ifølge WordPress sin egen dokumentasjon går du til Utvidelser → Installerte utvidelser. Der har hver plugin en kolonne for automatiske oppdateringer som du slår av og på. Du kan også endre mange samtidig med massehandlinger. Vår tommelfingerregel:

• Slå på for sikkerhetsplugin, SEO, sikkerhetskopi, enkle skjema og bildeoptimalisering.
• Slå av for sidebygger, booking, betaling, nettbutikk og medlemsløsninger. Oppdater disse manuelt etter at du har tatt sikkerhetskopi og testet i et testmiljø.
• Ta en automatisk sikkerhetskopi hver dag, lagret utenfor serveren, uansett hva du velger.

Husk at oppdateringer ikke hjelper mot sårbarheter som ennå ikke er tettet. Når nesten halvparten er ukjent for leverandøren eller mangler rettelse i det de blir offentlige, trenger du også en brannmur som kan blokkere angrep mot kjente hull. Hvordan dette settes i system, står i guiden om vedlikehold av WordPress.

Hva koster plugins i drift?

Lisensene er sjelden den største kostnaden. Det som koster, er tiden det tar å oppdatere, teste og rydde opp når to plugins kolliderer. Lag budsjettet slik: summen av lisensene per år, pluss tid til vedlikehold hver måned.

Premiumplugins selges nesten alltid som årslisens i dollar eller euro, per domene. Uten fornyelse mister du oppdateringer, og da er du tilbake til sikkerhetsproblemet. Et poeng mange glemmer: Kjøper bedriften digitale tjenester fra utlandet, skal den selv beregne norsk merverdiavgift med såkalt snudd avregning (merverdiavgiftsloven § 3-30). Er bedriften mva-registrert, kan den normalt trekke avgiften fra igjen. Kvitteringen må tas vare på som bilag etter bokføringsloven, så send lisensfakturaene til regnskapet og ikke bare til en ansatts e-post.

Livstidslisenser kan virke billige, men de er bare verdt noe så lenge leverandøren finnes og fortsetter å utvikle produktet. Vi anbefaler årslisens for plugins som er kritiske for sikkerhet og betaling. Totalkostnaden for nettstedet ser du i oversikten over hva en nettside koster, og hva løpende drift av nettside innebærer.

Når plugins ikke er riktig løsning

Plugins er feil verktøy når funksjonen er kjernen i virksomheten, når den må snakke med økonomisystem eller kundesystem (CRM), eller når du trenger tre plugins for å få til én ting. Da blir det billigere over tid med en enkel, skreddersydd løsning.

• Du kombinerer flere plugins og kodesnutter for å få til én arbeidsflyt. Hver oppdatering kan ødelegge koblingen.
• Bookingen må hente data fra et journalsystem eller et eget kundesystem. Et eget bookingsystem med ferdig integrasjon eller tilpasset kode er tryggere.
• Du har ingen som kan teste oppdateringer. Da er en enklere nettsidebygger med færre bevegelige deler ofte et bedre valg enn WordPress.
• Du installerer en sidebygger bare for å få ett bestemt oppsett. Det kan som regel løses med blokker eller noen linjer kode.

Skreddersydd kode krever også vedlikehold, men du slipper kode du ikke bruker, og du slipper å være avhengig av en leverandør som kan legge ned. Les mer om når det lønner seg med wordpress utvikling. Vil du ha hjelp til å rydde i pluginlisten eller bygge nettstedet riktig fra start, kan du se hvordan vi jobber med nettsider for bedrifter.