WordPress-ylläpito käytännössä: kuukausirutiini + tietoturva

Mitä "ylläpito" oikeasti on

WordPress-ylläpito koostuu kolmesta pääalueesta:

• Päivitykset: WordPress-ydin, teemat ja lisäosat päivitettävä säännöllisesti
• Varmuuskopiot: Tiedostot ja tietokanta talteen – mieluiten automaattisesti
• Seuranta: Toimiiko sivusto, onko virheitä, onko tietoturvaongelmia

Jos näitä ei tehdä, sivusto altistuu hakkeroinnille, hidastuu tai lakkaa toimimasta päivitysten jälkeen.

Kuukausirutiini

Viikottain (30 min/kk)

• ☐ Tarkista, että sivusto toimii (avaa selaimessa)
• ☐ Tarkista sähköposti: onko tullut virheraportteja
• ☐ Päivitä lisäosat ja teemat (jos ei automaattista)

Kuukausittain (60 min/kk)

• ☐ Tarkista varmuuskopioiden toimivuus
• ☐ Käy läpi tietoturvaraportti (jos käytössä Wordfence tms.)
• ☐ Poista tarpeettomat lisäosat ja teemat
• ☐ Tarkista käyttäjätilit: onko ylimääräisiä admin-käyttäjiä

Kvartaaleittain (2 h/kerta)

• ☐ Päivitä WordPress-ydin (major-versio)
• ☐ Testaa sivusto päivityksen jälkeen
• ☐ Tarkista PHP-versio ja päivitä tarvittaessa
• ☐ Arvioi lisäosien tarve: voiko jotain poistaa tai yhdistää

6 yleisintä riskiä (ja miten ne estetään)

Riski	Miten estetään
Vanhentunut lisäosa	Automaattiset päivitykset tai säännöllinen tarkistus
Heikko salasana	Pakota vahvat salasanat + MFA
Ei varmuuskopioita	Automaattinen backup + testaus
Hylätty lisäosa	Tarkista viimeisin päivitys (yli 2v = riski)
Jaettu hosting ilman eristystä	Vaihda VPS:ään tai managed hostingiin
wp-admin/ julkisesti saatavilla	IP-rajoitus, login limit, MFA

MFA + varmuuskopiot + oikeudet: minimitaso pk-yritykselle

MFA (monivaiheinen tunnistautuminen):

• Pakollinen kaikille admin- ja editor-tason käyttäjille
• Lisäosat: WP 2FA, Wordfence Login Security
• Ei tekstiviestejä – käytä sovellusta (Google Authenticator, Microsoft Authenticator)

Varmuuskopiot:

• Päivittäin tietokanta, viikoittain koko sivusto
• Säilytys: ei samalla palvelimella (pilvi, S3, Google Drive)
• Testaa palautus vähintään kerran vuodessa

Käyttöoikeudet:

• Vain tarvittavat admin-käyttäjät
• Sisällöntuottajille Editor-rooli (ei Admin)
• Poista käyttämättömät tilit

Milloin kannattaa ulkoistaa

• Ei aikaa: Ylläpito jää tekemättä → riskit kasvavat
• Ei osaamista: Päivitys rikkoo jotain → ei osaa korjata
• Kriittinen sivusto: Verkkokauppa tai liidikone → ei varaa seisakkiin
• Useita sivustoja: Hallinta vie liikaa aikaa

Mitä ulkoistuksessa pitää sopia:

• Mitä sisältyy: päivitykset, varmuuskopiot, tietoturva, hosting?
• Vasteaika: kuinka nopeasti reagoidaan ongelmiin
• Raportointi: mitä ja kuinka usein
• Hinta: kuukausimaksu vai tuntityö

Lue myös

• Sivuston tietoturva
• MFA-opas
• IT-kumppani palveluna →