Säkerhetschecklista för webbplatsen: 12 viktiga steg 2026

Dataintrång är inte längre ett storföretagsproblem. Enligt IBM:s Cost of a Data Breach Report 2025 kostar ett genomsnittligt intrång nu 4,44 miljoner dollar globalt, och i USA nådde snittet rekordhöga 10,22 miljoner dollar. Samtidigt visar Verizons Data Breach Investigations Report 2025 att de flesta intrång fortfarande börjar med grunderna: stulna inloggningsuppgifter (22 % av intrången), utnyttjade sårbarheter (20 %, en ökning med 34 % på ett år) och nätfiske (16 %).

Den goda nyheten: majoriteten av dessa ingångar stängs med oglamorös, väldokumenterad hygien. Den här säkerhetschecklistan går igenom 12 kontroller - från transportkryptering och DNS till e-postautentisering och exponering på dark web - i ungefärlig prioritetsordning. De snabba vinsterna klarar de flesta webbplatser av på en eftermiddag.

Checklistan i översikt

1. Tvinga HTTPS på varje sida

Varje anrop - inte bara inloggningssidan - ska serveras över HTTPS. Omdirigera all HTTP-trafik med permanent 301, uppdatera interna länkar och canonical-taggar till https://, och eliminera blandat innehåll (bilder, skript eller stilar som fortfarande laddas över HTTP) som webbläsare i allt högre grad blockerar helt. Om besökare möts av varningen "Din anslutning är inte privat" försvinner de innan startsidan ens hunnit ladda.

2. Bevaka certifikatets giltighet - livslängderna krymper snabbt

Ett utgånget certifikat sänker din webbplats lika effektivt som en attack. Och det blir svårare: enligt CA/Browser Forums beslut SC-081v3 sänktes den maximala livslängden för TLS-certifikat till 200 dagar i mars 2026, den faller till 100 dagar 2027 och landar på bara 47 dagar 2029. Manuell förnyelse är inte längre en hållbar plan.

Automatisera utfärdandet med en ACME-klient (Let's Encrypt eller din CA:s verktyg) och lägg till oberoende bevakning av utgångsdatum. Du kan kontrollera certifikatets datum från terminalen:

openssl s_client -connect example.com:443 -servername example.com </dev/null | openssl x509 -noout -dates

3. Härda din TLS-konfiguration

Att ha ett certifikat är inte samma sak som att ha bra TLS. Stäng av TLS 1.0 och 1.1 helt, stöd endast TLS 1.2 och 1.3 och ta bort äldre chiffersviter. En svag konfiguration bjuder in nedgraderingsattacker och fäller dig i compliance-granskningar. Vår guide till A+-betyg för SSL/TLS går igenom de exakta serverinställningarna.

4. Sätt de viktigaste säkerhetsheadrarna

Säkerhetsheaders är den billigaste härdning du någonsin inför - några rader serverkonfiguration som instruerar webbläsare att blockera hela attackklasser:

• Strict-Transport-Security (HSTS) - tvingar HTTPS vid återbesök
• Content-Security-Policy - ditt starkaste skydd mot XSS
• X-Content-Type-Options: nosniff - stoppar MIME-förväxling
• X-Frame-Options / frame-ancestors - förhindrar clickjacking
• Referrer-Policy och Permissions-Policy - begränsar dataläckage och känsliga webbläsarfunktioner

Se vår kompletta guide till säkerhetsheaders för färdiga nginx- och Apache-exempel.

5. Autentisera din e-post: SPF, DKIM och DMARC

Din domän skickar e-post även om webbplatsen inte gör det - och angripare spoofar den gärna om de får. Google och Yahoo kräver SPF, DKIM och DMARC för massutskick sedan februari 2024, och Microsoft införde samma krav för Outlook i maj 2025 för domäner som skickar över 5 000 meddelanden per dag. Mejl som inte uppfyller kraven hamnar i skräpposten eller avvisas helt.

Publicera en SPF-post, signera med DKIM och rulla ut DMARC med p=none för att samla rapporter innan du skärper till quarantine och reject. Vår steg-för-steg-guide till DMARC tar dig genom hela utrullningen.

6. Lås ner din DNS

DNS är kontrollplanet för allt annat på den här listan. Fyra kontroller: aktivera DNSSEC så att svar inte kan förfalskas i tysthet; publicera en CAA-post så att bara din valda certifikatutfärdare kan utfärda certifikat för domänen; slå på registrar-lås och MFA hos din DNS-leverantör; och rensa gamla underdomäner som pekar på avvecklade tjänster - hängande poster är en klassisk väg till subdomain takeover.

7. Uppdatera CMS, tillägg och beroenden

Utnyttjande av kända sårbarheter var första ingången i 20 % av intrången i 2025 års DBIR - en ökning med 34 % på ett år - och opatchade, internetexponerade system är främsta målet. Kör du WordPress eller annat CMS är attackytan mest tillägg och teman: aktivera automatiska mindre uppdateringar, ta bort allt som inte används och prenumerera på säkerhetsbulletiner för det du behåller.

Stulna uppgifter, opatchad mjukvara och nätfiske öppnade dörren i över hälften av de analyserade intrången. Källa: Verizon DBIR 2025.

8. Slå på MFA och pensionera svaga lösenord

Missbruk av inloggningsuppgifter är fortfarande den enskilt vanligaste vägen in (22 % av intrången). Aktivera flerfaktorsautentisering på varje konto som kan förändra din webbplats: CMS-admin, hostingpanel, domänregistrar, DNS-leverantör och e-post. Använd en lösenordshanterare för unika lösenord, byt namn på eller inaktivera standardkontot admin och ta bort konton för personer som inte längre behöver åtkomst.

9. Ta backup som om du blir angripen i morgon

Backuper är sista försvarslinjen mot ransomware och första mot felklick. Följ 3-2-1-regeln: tre kopior, på två olika medier, varav en off-site - och håll minst en kopia offline eller oföränderlig, så att en angripare som tagit över servern inte kan kryptera backuperna också. En backup du aldrig teståterställt är ett hopp, inte en plan: boka en återställningsövning minst varje kvartal.

10. Sätt WAF och rate limiting framför

En hanterad webbapplikationsbrandvägg (från ditt CDN, webbhotell eller en tjänst som Cloudflare) filtrerar injektionsförsök, skadliga bottar och skannerbrus innan de når applikationen. Lägg till rate limiting på inloggning, registrering och API-endpoints för att dämpa credential stuffing och brute force - attackerna som göder punkt 8.

11. Bevaka dark web efter läckta uppgifter

Dina inloggningsuppgifter kan läcka utan att din webbplats någonsin rörs - det räcker med ett intrång hos tredje part, och återanvända lösenord gör resten. Bevaka om konton på din domän dyker upp i kända läckor, och tvinga då fram lösenordsbyte och bekräfta att MFA är aktivt. Vår guide till dark web-övervakning förklarar hur exponering uppstår och vad du gör åt den.

12. Övervaka drift, prestanda och oväntade förändringar

Tillgänglighet är en del av säkerheten. Drift- och prestandaövervakning ger ofta den tidigaste signalen om att något är fel - ett utgånget certifikat, en vandaliserad sida eller ett kryptoskript som drar ner svarstiderna. Larm vid oväntade innehålls- eller konfigurationsändringar förvandlar en vecka av tyst intrång till en femminutersincident.

Hur ofta bör du gå igenom checklistan?

Vanliga frågor

Räcker HTTPS för att webbplatsen ska vara säker? Nej. HTTPS krypterar trafiken på vägen, men gör inget åt sårbara tillägg, svaga admin-lösenord, spoofad e-post eller läckta uppgifter. Det är steg 1 av 12 av en anledning - nödvändigt, men inte tillräckligt.

Vilken enskild punkt ger störst säkerhetsvinst? Kombinera punkt 7 och 8: patcha kända sårbarheter och kräv MFA. Tillsammans adresserar de de två största intrångsvägarna i 2025 års DBIR - 42 % av intrången sammanlagt.

Blir små webbplatser verkligen attackerade? Ja, hela tiden - men inte personligt. Automatiska skannrar söker av varje nåbar IP och domän efter utgångna certifikat, gamla tillägg och öppna adminpaneler. Bottar kollar inte din besöksstatistik innan de slår till.

Hur lång tid tar hela checklistan? Punkt 1, 2, 4 och 8 är normalt en eftermiddags arbete. E-postautentisering och TLS-härdning tar några dagar inklusive DMARC-övervakning. Resten är löpande vanor du automatiserar en gång.

Kontrollera allt detta på 60 sekunder

Du kan verifiera varje punkt för hand - eller låta en skanner ta första passet. Den kostnadsfria FortifyNet-skanningen kontrollerar SSL/TLS, säkerhetsheaders, DNS-konfiguration, SPF/DKIM/DMARC, dark web-exponering och prestanda på ungefär en minut, och visar exakt vilka punkter på listan som behöver åtgärdas först.

Relaterade guider

• SSL-certifikat med A+ i SSL Labs: komplett guide
• HTTP Security Headers: den kompletta guiden
• Så konfigurerar du DMARC steg för steg
• Dark Web-övervakning: upptäck om era data läckt