Är WordPress fortfarande rätt val för ett lokalt företag?

WordPress fungerar fortfarande för många lokala företag, men det är inte längre ett val du kan göra och sedan glömma. PHP-larmet i oktober visade hur snabbt en hemsida blir en risk när ingen håller tekniken uppdaterad.

Svaret beror på hur ofta du ändrar sidan själv, vem som ansvarar för uppdateringarna och vad några dagars driftstopp skulle kosta dig. Artikeln är skriven för dig som driver ett lokalt företag, till exempel en klinik, en salong eller en hantverksfirma, och som har eller funderar på en hemsida.

Varför har så många lokala företag valt WordPress?

WordPress blev standardvalet av goda skäl. Det är ett verktyg som fungerar för många verksamheter.

• Lätt att komma igång. Du kan få en fungerande hemsida snabbt, ofta till en låg startkostnad.
• Lätt att ändra själv. Du loggar in och byter text och bilder utan att kunna kod.
• Stort utbud. Det finns teman och tillägg för det mesta, till exempel bokning och formulär, och många utvecklare kan WordPress.

Problemet är inte verktyget. Det är vad som krävs av dig efter att sidan har lanserats.

Vad har PHP med WordPress att göra, och vad hände i oktober?

PHP är programspråket som körs på webbservern och bygger sidan när någon besöker den. WordPress är skrivet i PHP, och därför pratar vi om PHP i en artikel om WordPress: det är grunden som sidan står på. När ett allvarligt fel upptäcks i PHP berör det alltså WordPress-sidor. PHP används dessutom av många andra system, och enligt säkerhetsföretaget Eset, som Dagens PS citerar, ligger det bakom ungefär två tredjedelar av världens aktiva webbplatser.

Så här gick det till:

1. 20 oktober. Två allvarliga fel i PHP blev kända innan uppdateringar fanns klara.
2. 21 oktober. PHP släppte uppdaterade versioner. Felen, som fått namnet PHP2Shell, kunde låta en angripare köra egen kod på en server utan att logga in och bedömdes som kritiska (9,2 av 10).
3. Samma dygn. Angreppsförsök pågick redan, och flera webbhotell satte sidor i underhållsläge eller stängde av dem tillfälligt. Webbhotellet Internet.se skrev att sidor på äldre PHP-versioner inte kunde slås på igen förrän de uppgraderats, vilket kan kräva ändringar i sidans kod, tema eller tillägg.

PHP 8.1 och äldre får inga uppdateringar från PHP-projektet, så de behöver uppgraderas eller få en egen rättelse från webbhotellet. För dig med ett vanligt webbhotell är det oftast hotellet som uppdaterar PHP, men den som har en egen server ansvarar själv, skriver Dagens PS.

Nationellt cybersäkerhetscenter (NCSC) uppmanade organisationer att snabbt kartlägga vilka system som använder PHP och uppdatera dem. Den 29 oktober varnade även Företagarna småföretagare. De skriver att bristerna har upptäckts med hjälp av avancerade AI-verktyg och drar slutsatsen: ”Det är med säkerhet inte sista gången liknande sårbarheter kommer att uppdagas.”

Är WordPress osäkert på grund av PHP-felet?

Nej. Felet satt i PHP och inte i WordPress, och det kunde drabba allt som körs på PHP. Men en WordPress-sida består av tre lager som alla måste hållas uppdaterade, och det är där riskerna ligger:

• PHP på servern. Ligger hos ditt webbhotell och uppdateras inte i WordPress.
• WordPress. Uppdateras i inloggningen.
• Tema och tillägg. Uppdateras av respektive utvecklare, och gamla versioner kan sluta fungera på en nyare PHP-version.

WordPress och PHP uppdateras alltså på olika ställen. Som HurBra skriver innebär en uppdatering av WordPress inte att serverns PHP-version ändras automatiskt. I oktober var det PHP på servern som behövde uppdateras.

Många låter PHP stå kvar eftersom uppgraderingar upplevs som besvärliga och många är rädda att sidan ska gå sönder. I en genomgång från juli 2026 fann Censys att över 70 procent av de WordPress-sidor där PHP-versionen syns körde en föråldrad version. Vanligast var PHP 7.4, som slutade få säkerhetsuppdateringar i november 2022. WordPress rekommenderar själv PHP 8.3 eller senare, men fungerar fortfarande på 7.4, så ingenting hindrar dig från att köra en gammal version.

Frågan är därför inte om WordPress är ett dåligt verktyg. Frågan är vem som tar hand om sidan efter lanseringen. Jacob Ämtvall, Företagarnas expert på brott mot företagare, säger det så här: ”Det viktiga är att ha rutiner för säkerhetsuppdateringar och veta vem som ansvarar för företagets olika system.”

Vilka alternativ finns, och är de bättre för Google och AI-sökning?

Ett modernt bygge kan vara lättare att göra rätt, men det är inte automatiskt bättre. Fördelarna är framför allt färre delar som kan gå sönder och full kontroll över hur sidan ser ut för Google och AI-verktyg.

Med modern hemsida menar vi sidor som byggs med verktyg som Astro eller React. Astro bygger sidan som färdiga filer i förväg, så servern behöver inte köra PHP för att visa den. React är mer flexibelt och passar när en sida ska göra mer än att visa innehåll. Vi utgår från Astro för enklare hemsidor och väljer React när en kund har särskilda behov.

Tabellen visar att skillnaden inte är att WordPress skulle vara oläsligt för Google eller AI-verktyg. WordPress skickar också färdig HTML. Skillnaden är fart, kontroll och hur många delar som kan gå sönder.

Google mäter hur snabbt och stabilt en sida laddas, något som kallas Core Web Vitals. Enligt Search Engine Journals genomgång av data från HTTP Archive klarade 67 procent av Astro-sajterna måtten, mot ungefär 49 procent av WordPress-sajterna. Det kan delvis bero på att Astro-sajter ofta är enklare, så siffran visar inte att tekniken ensam avgör.

React är inte heller automatiskt bättre. En React-sida som ritas upp först i webbläsaren kan se nästan tom ut för vissa AI-verktyg. Vercel och MERJ visade i december 2024 att sökrobotar från bland annat OpenAI, Anthropic och Perplexity inte kör JavaScript, till skillnad från Googles. Därför måste innehållet finnas färdigt i HTML:en som skickas från servern, oavsett vilket verktyg sidan byggs med.

Att synas i AI-sökning handlar om mer än tekniken. Innehållet och hur tydligt du beskriver vad du gör och var spelar också roll, och hur vi arbetar med det beskriver vi under AI-synlighet för lokala företag.

Kan du sköta en hemsida själv utan teknisk kunskap?

Ja, men bara om du har en fast rutin, och den kräver mer än många tror. En hemsida är inte klar när den lanseras – tekniken under den fortsätter att åldras. Det här behöver hända löpande:

• PHP-versionen. Den ligger på servern och byts hos webbhotellet, inte i WordPress.
• WordPress, tema och tillägg. Uppdateringar behöver provas, eftersom en ny version kan påverka något annat på sidan.
• Säkerhetskopior. En kopia som du aldrig har provat att återställa är en gissning.
• Övervakning. Någon behöver se att sidan är uppe och att formulär och bokning fungerar.

Räkneexempel (påhittade siffror): Din hemsida ger normalt 10 bokningar i veckan, och varje bokning är värd 800 kr. Ligger sidan nere en vecka går du miste om ungefär 8 000 kr, innan du räknar in kostnaden för att reda ut felet och att kunder tappar förtroendet. Den summan ska du väga mot arbetet med att hålla tekniken uppdaterad.

Det betyder inte att en modern hemsida är enklare att sköta själv. Den har färre delar som kan gå sönder, men du ändrar inte i koden själv, och även den behöver uppdateras. Oavsett teknik behövs någon som tar ansvar för uppdateringar, säkerhetskopior och övervakning. Därför handlar valet mindre om vilken teknik du väljer och mer om vem som ansvarar för underhållet.

Hos oss ingår hosting och säkerhet i månadspriset, och ändringar i innehållet gör vi på begäran. Vi bygger nya hemsidor och tar inte över drift eller underhåll av befintliga WordPress-sidor. Vill du se vad som ingår när någon annan tar ansvar för tekniken finns det beskrivet under SEO-optimerad hemsida för lokala företag.

Vad kan du göra redan i dag?

Fyra saker kan du göra redan nu, och ingen av dem kräver att du förstår varje teknisk detalj:

1. Ta reda på vilken PHP-version sidan kör. I WordPress hittar du den under Verktyg → Webbplatshälsa (Site Health) → Info → Server, eller så frågar du ditt webbhotell. Be dem också bekräfta att uppdateringen från den 21 oktober är installerad, eftersom rättelsen kan finnas på plats utan att versionsnumret ändras.
2. Kontrollera om din PHP-version snart går ut. PHP 8.1 och äldre får inga uppdateringar från PHP-projektet, och PHP 8.2 får säkerhetsuppdateringar bara till och med den 31 december 2026. Planera ett byte till en nyare version, ta en säkerhetskopia först och prova gärna på en testkopia, eftersom gamla tema och tillägg kan sluta fungera.
3. Uppdatera WordPress, tema och tillägg. Ta bort tillägg du inte använder, och kontrollera att säkerhetskopian går att återställa.
4. Bestäm vem som ansvarar. Skriv ner vem som uppdaterar, hur ofta, och vem som agerar nästa gång en allvarlig sårbarhet upptäcks. Det är samma råd som Företagarna ger.

Sammanfattning

WordPress fungerar fortfarande för många lokala företag, men det kräver att någon håller PHP, WordPress och alla tillägg uppdaterade. PHP-larmet i oktober visade hur snabbt en hemsida blir en risk när ingen gör det. Vilken teknik som passar beror på hur ofta du ändrar själv, vem som ansvarar för underhållet och vad driftstopp skulle kosta dig.