Vedlikehold av WordPress for norske bedrifter: hva som betyr noe, og hva som ikke gjør det

Vedlikehold av WordPress handler om fire ting: oppdatere kjerne, temaer og utvidelser, ta og teste sikkerhetskopier, holde ytelsen oppe og fjerne det du ikke bruker. De fleste innbrudd skjer via utdaterte utvidelser. For en vanlig bedriftsside holder det med en fast månedlig rutine og et tydelig ansvar for hvem som utfører den.

De fleste norske småbedrifter kjøper en WordPress-side én gang, og tenker på den som ferdig. Så går det atten måneder, og da er det tolv utvidelser som skriker etter oppdatering, en kontaktskjemaløsning som ikke sender e-post lenger, og en forside som bruker seks sekunder på å laste på mobil. Løpende vedlikehold av WordPress er det som skiller en nettside som fortsatt fungerer fra en som stille slutter å levere henvendelser. Det er ikke spennende arbeid, men det er billigere enn alternativet.

Denne artikkelen er skrevet for deg som skal bestemme: skal vi gjøre dette selv, kjøpe en avtale, eller la det ligge? Vi går gjennom hva som faktisk har effekt, hva som er ren fakturering av luft, og hva det bør koste. Hvis du fremdeles vurderer plattform, er det verdt å lese om forskjellen mellom ulike tilnærminger til temaet drift av nettside først – vedlikeholdsbehovet varierer mye mellom en selvhostet WordPress-installasjon og en lukket skyløsning.

Hva vedlikehold av WordPress egentlig består av

Det vi ser oftest, er at «vedlikehold» selges som en pakke med tjue punkter der fem av dem betyr noe. La oss være ærlige om hvilke fem det er.

Oppdateringer av kjerne, tema og utvidelser

WordPress-kjernen oppdaterer seg selv for små sikkerhetsrettelser. Det er utvidelsene og temaet som krever menneskelig oppmerksomhet, fordi en oppdatering kan bryte noe annet – typisk et skjema, en bookingløsning eller et kolonneoppsett i sidebyggeren. Rutinen vår er enkel: ta full sikkerhetskopi, oppdater, last forsiden, en tjenesteside og et skjema, og se etter feil i loggen. Tar du dette månedlig, er jobben på tjue minutter. Tar du det årlig, er det en halv dag med feilsøking fordi ti utvidelser hopper flere hovedversjoner samtidig. Har du egenutviklet funksjonalitet i temaet, bør du vite hvem som eier den koden – det er her temaet wordpress utvikling og vedlikehold går over i hverandre.

Sikkerhetskopier du faktisk har testet

En sikkerhetskopi du aldri har gjenopprettet, er en antakelse. Vi anbefaler daglige kopier av database og filer, lagret utenfor samme server som nettsiden, med minst 30 dagers historikk. Og så én test i året der du faktisk ruller en kopi tilbake til et testmiljø. Vi fraråder å stole utelukkende på webhotellets egen «vi tar backup»-formulering uten å vite hvor lenge kopiene lagres og hvor raskt du får dem ut. Sjekk dette når du vurderer temaet webhotell – responstid ved gjenoppretting er en reell forskjell mellom leverandører.

Opprydding: det som ikke brukes, skal bort

Deaktiverte utvidelser er fortsatt filer på serveren, og de kan fortsatt utnyttes. Det samme gjelder gamle temaer, glemte testbrukere med administratortilgang og mediebiblioteket fra den gangen noen lastet opp 4 MB-bilder rett fra mobilen. En typisk WordPress-side vi overtar har mellom 25 og 40 aktive utvidelser. Etter gjennomgang ender de fleste på 12–18 uten at noe funksjonalitet forsvinner. Færre utvidelser betyr færre oppdateringer, færre konflikter og raskere sider.

Sikkerhet: nesten alt skjer via utvidelser

Det er verdt å forstå hvor risikoen faktisk ligger. I Patchstack sin sikkerhetsrapport for 2024 ble det registrert nesten 8 000 nye sårbarheter i WordPress-økosystemet, og over 96 % av dem lå i utvidelser. Under én prosent lå i selve kjernen. Konklusjonen er ubehagelig enkel: det er ikke WordPress som er usikkert, det er bunken med tredjepartsutvidelser ingen har sett på siden lansering.

Det praktiske svaret er ikke et dyrt sikkerhetsverktøy, men disiplin: oppdater raskt, fjern det du ikke bruker, velg utvidelser med aktiv utvikling og mange installasjoner, og bruk tofaktorpålogging for administratorer. Legg til automatisk sperring etter mislykkede innlogginger og HTTPS på hele domenet. Det dekker det store flertallet av angrepene som rammer norske småbedriftssider, som stort sett er automatiserte skanninger – ikke noen som har valgt akkurat deg.

Serverlaget hører med. WordPress sine systemkrav angir PHP 7.4 eller nyere, MySQL 8.0 eller MariaDB 10.5, og HTTPS-støtte. Men minstekrav er ikke det samme som forsvarlig: ifølge PHP-prosjektets oversikt over støttede versjoner mistet PHP 8.1 sikkerhetsstøtte 31. desember 2025, mens PHP 8.2 har sikkerhetsstøtte ut 2026. Kjører du på en versjon uten støtte, får du ikke sikkerhetsrettelser uansett hvor flink du er med oppdateringer inne i WordPress. Å sjekke PHP-versjon én gang i året er fem minutters arbeid som mange hopper over.

Ytelse, teknisk helse og synlighet i søk

Vedlikehold handler ikke bare om at siden er oppe. Den skal være rask, indekserbar og forståelig for både mennesker og maskiner. I praksis er det de samme tre feilene som går igjen når vi åpner panseret på en eldre WordPress-side.

I tekniske SEO-gjennomganger hos Box er de tre vanligste funnene manglende/feil canonical-tagger, uoptimaliserte bilder og treg mobil-lastetid — alle tre er normalt løst på under en arbeidsdag.

Bildene er nesten alltid den største gevinsten. Et mediebibliotek der originalbildene ligger i full oppløsning drar ned lastetiden på hver eneste sidevisning. Komprimering, moderne bildeformater, hurtiglagring og opprydding i skript som lastes uten grunn gir målbar effekt raskt – og det er arbeid som hører hjemme i en vedlikeholdsavtale, ikke i et nytt prosjekt. Vil du gå dypere i hvordan dette henger sammen med rangering, har vi skrevet mer om teknisk søkemotoroptimalisering og om søkemotoroptimalisering av WordPress-sider spesielt.

Etter Lighthouse-optimalisering (bildekomprimering, caching, opprydding i skript) forbedres ytelsesscore hos Box sine kunder typisk fra under 55 til over 80.

Det er også en ny grunn til å holde det tekniske i orden: AI-genererte svar. Når Google viser AI Overview, eller når en språkmodell henter kilder direkte, er det sider med ryddig struktur, tydelige overskrifter og korrekte metadata som blir plukket opp. Sider som er trege, delvis ødelagte eller blokkert av feil innstillinger blir hoppet over. Vi har skrevet mer om hvordan søk med AI-svar endrer prioriteringene, men kortversjonen er at teknisk slurv nå koster synlighet to steder samtidig. En enkel månedlig kontroll av at sidene faktisk er indeksert hører med – her kan du bruke vår gjennomgang av hvordan du sjekker nettsider for åpenbare feil.

To formelle ting glemmes ofte i driftsrutinen: samtykkeløsning og tilgjengelighet. Endrer du analyseverktøy eller legger til et nytt sporingsskript, må personvernerklæringen oppdateres deretter. Og skjemaer, kontraster og tastaturnavigasjon kan bli brutt av en temaoppdatering – noe som er relevant når du ser på kravene til universell utforming som gjelder for norske nettsteder.

Hva koster vedlikehold av en WordPress-side?

Prisen styres av tre ting: hvor mange utvidelser som må følges opp, hvor kritisk siden er for omsetningen din, og om avtalen inkluderer timer til endringer. Her er nivåene vi ser i markedet for norske småbedrifter.

Kostnaden ved å la være er lett å regne på. Én kompromittert side betyr som regel gjenoppretting, opprydding, ny gjennomgang av tilganger og et par uker med redusert synlighet mens Google vurderer tilliten på nytt. Det er fort 15 000–40 000 kroner i arbeid, pluss tapte henvendelser. Et år med basisavtale koster mindre enn halvparten. Skal du budsjettere helhetlig for nettstedet, ser du sammenhengen mellom investering og drift i gjennomgangen vår av hva en nettside koster.

Månedshjulet vi bruker

En god rutine er kjedelig og forutsigbar. Dette er oppsettet vi kjører på WordPress-sidene vi drifter, og som du fint kan gjøre selv hvis du har en time i måneden til overs.

• Hver måned: full sikkerhetskopi før oppdatering, oppdater kjerne, tema og utvidelser, test forside, én tjenesteside og alle skjemaer.
• Hver måned: sjekk at e-post fra skjemaer faktisk kommer frem – det er den feilen som koster mest og oppdages senest.
• Hvert kvartal: mål lastetid på mobil, se over de ti tyngste bildene, sjekk brutte lenker og 404-feil i Search Console.
• Hvert kvartal: gjennomgå brukere og tilganger, fjern gamle administratorer og deaktiverte utvidelser.
• Én gang i året: verifiser PHP-versjon og databaseversjon hos webhotellet, test faktisk gjenoppretting av sikkerhetskopi, og gå gjennom om utvidelsene fortsatt vedlikeholdes av utvikler.
• Løpende: overvåking som varsler deg på e-post eller SMS hvis siden er nede mer enn et par minutter.

Legg merke til at ingenting av dette krever spesialverktøy for flere tusen kroner i måneden. Det krever at noen har ansvaret, og at det står i kalenderen.

Når fast vedlikehold av WordPress ikke er riktig løsning

Vi selger vedlikeholdsavtaler, og vi mener likevel at de ikke alltid er svaret. Tre situasjoner der vi pleier å fraråde det:

For det første: hvis nettsiden er så gammel og sammensatt at hver oppdatering utløser nye feil, betaler du for å holde liv i noe som burde vært byttet. Er temaet egenutviklet av noen du ikke lenger har kontakt med, og bygget på en sidebygger som ikke støttes, går pengene til symptombehandling. Da er vårt råd å bygge nytt på et rent oppsett – og så vedlikeholde det billig etterpå.

For det andre: hvis nettsiden ikke har noen rolle i hvordan bedriften får kunder. Har du en ren visittkortside på fem sider, ingen skjemaer og all kundetilgang via anbud eller telefon, holder det med oppdateringer et par ganger i året og en fungerende sikkerhetskopi. Da er en månedsavtale overkjøp.

For det tredje: hvis du har intern kapasitet og lyst. Rutinen over er fullt mulig å kjøre selv. Det som feiler er sjelden kompetansen, men kontinuiteten – rutinen overlever ikke en travel høst. Kjenner du deg igjen i det, kjøp avtalen. Ellers kan en enklere plattform være et bedre valg enn å tvinge frem WordPress-disiplin; vurderingen mellom selvhosting og tjenester som krever mindre stell, tar vi i artikkelen om hvordan du velger nettsideutvikler og leverandørmodell.

Slik vurderer du en vedlikeholdsavtale før du signerer

Still fire spørsmål til leverandøren: Hvor ligger sikkerhetskopiene, og hvor lenge lagres de? Hva er responstiden hvis siden er nede en fredag ettermiddag? Oppdaterer dere i testmiljø først, eller direkte i produksjon? Og: eier vi tilgangene selv, inkludert domene, webhotell og administratorbruker? Svarer noen unnvikende på det siste, er det et rødt flagg. Du skal alltid kunne flytte nettstedet ditt uten å be om tillatelse. Trenger du hjelp til både bygging og løpende drift, ser du hvordan vi jobber med nettsider hos Box.