Kotisivujen ylläpito: päivitykset, varmuuskopiointi ja tietoturva

Lyhyesti: kotisivujen ylläpito on säännöllistä työtä, joka pitää sivuston turvallisena, nopeana ja toimivana. Siihen kuuluu neljä asiaa: julkaisujärjestelmän, lisäosien, teeman ja PHP:n päivitykset, varmuuskopiointi niin, että kopio on tallessa muuallakin kuin palvelimella, kirjautumisten suojaaminen monivaiheisella tunnistautumisella sekä viikoittainen tarkistus siitä, että kaikki toimii. Useimmat murrot eivät tapahdu WordPressin itsensä vaan päivittämättömien lisäosien kautta. Hyvä ylläpito on siksi sivuston tärkein tietoturvatoimi.

Mitä kotisivujen ylläpito on?

Kotisivujen ylläpito kattaa kaikki toistuvat tehtävät, joilla sivusto pysyy turvallisena ja käyttökelpoisena:

• Päivitykset julkaisujärjestelmään, lisäosiin, teemaan ja palvelimen PHP-versioon.
• Varmuuskopiointi tietokannasta ja tiedostoista niin, että ainakin yksi kopio on palvelimen ulkopuolella.
• Tietoturva: suojatut kirjautumiset, ajantasaiset käyttäjätunnukset ja tiukat asetukset.
• Valvonta: onko sivusto päällä, toimivatko lomakkeet ja kassa, pysyykö sivusto nopeana?

Tämä artikkeli keskittyy WordPressiin, joka pyörittää noin 40 % kaikista verkkosivustoista (W3Techs). Kotisivukoneissa, kuten Wixissä, palveluntarjoaja hoitaa ohjelmistopäivitykset ja palvelimen. Vertaamme vaihtoehtoja artikkelissa Wix vai WordPress.

Miksi tietoturva vaatii ylläpitoa

WordPress on suosittu, joten se on myös houkutteleva kohde. Tietoturvayhtiö Patchstack kirjasi vuonna 2025 yhteensä 11 334 uutta haavoittuvuutta, 42 % enemmän kuin edellisenä vuonna. Niistä 91 % oli lisäosissa ja 9 % teemoissa, kun taas WordPressin ytimessä niitä oli vain kuusi (Patchstack).

Saman raportin mukaan 46 % haavoittuvuuksista oli vielä korjaamatta, kun ne julkistettiin, ja eniten hyödynnettyjä aukkoja alettiin käyttää laajasti hyväksi mediaanina viidessä tunnissa (Patchstack). Myös Kyberturvallisuuskeskus muistuttaa, että löydettyjä haavoittuvuuksia hyödynnetään erittäin nopeasti, jopa tunneissa, ja että se havaitsee rutiininomaisesti haavoittuvia WordPress-lisäosia. Lisäosien haavoittuvuuksista se ei yleensä tiedota erikseen, joten sivuston omistajan on itse seurattava päivityksiä (Kyberturvallisuuskeskus).

Päivitykset: WordPress, lisäosat, teema ja PHP

Päivitykset ovat tärkein yksittäinen tietoturvatoimi, ja niiden pitää kattaa neljä tasoa.

WordPress

WordPressin pienet versiopäivitykset, joissa on usein tietoturvakorjauksia, asentuvat automaattisesti. Versiosta 5.6 alkaen uudet asennukset saavat automaattisesti myös suuret versiopäivitykset, kun taas vanhemmat asennukset säilyttävät alkuperäisen asetuksensa (WordPress Developer Resources). Tarkista, mikä koskee omaa sivustoasi.

Lisäosat ja teemat

Oletuksena lisäosat ja teemat eivät päivity automaattisesti (WordPress Developer Resources). Kyberturvallisuuskeskus neuvoo valvomaan niiden päivittymistä käsin, poistamaan turhat lisäosat ja asentamaan lisäosia vain virallisista lähteistä (Kyberturvallisuuskeskus). Isolla sivustolla on turvallisinta päivittää hallitusti ja testata sen jälkeen lomakkeet, verkkokauppa ja ulkoasu.

PHP

WordPress suosittelee PHP-versiota 8.3 tai uudempaa (WordPress.org). PHP 8.1 ja sitä vanhemmat eivät enää saa tietoturvapäivityksiä, ja PHP 8.2:n tietoturvatuki päättyy 31.12.2026 (PHP.net). Versio vaihdetaan webhotellin hallintapaneelissa, mutta testaa ensin teeman ja lisäosien yhteensopivuus. Jos sivusto on niin vanha, ettei sitä saa päivitettyä, uudistus on usein halvempi kuin paikkailu: lue verkkosivujen uudistus.

HTTPS

Koko sivuston pitää toimia HTTPS-yhteydellä. Chrome on vuodesta 2018 merkinnyt sivut ilman HTTPS:ää ”ei turvallinen” -merkinnällä (Google Security Blog). Varmista webhotellilta, että sertifikaatti uusiutuu automaattisesti.

Varmuuskopiointi: näin kotisivut varmuuskopioidaan

Kotisivujen varmuuskopioinnissa pitää ottaa talteen sekä tietokanta että tiedostot. WordPress suosittelee pienille sivustoille varmuuskopiota kerran viikossa ja vilkkaille sivustoille päivittäin, ja tuoreita kopioita kannattaa säilyttää ainakin 3–5 (WordPress Developer Resources). Ota kopio aina myös ennen isoja päivityksiä.

Kyberturvallisuuskeskuksen pienyritysten oppaan ohjeet sopivat suoraan kotisivuihin:

• Säilytä kopiot erillään. Varmuuskopiot pidetään erillään suojattavista järjestelmistä, esimerkiksi verkosta irrotetulla levyllä, jotta kiristyshaittaohjelma ei tee myös niistä käyttökelvottomia.
• Testaa palautus. Palauttamista kannattaa kokeilla säännöllisesti, esimerkiksi neljännesvuosittain. Vasta silloin tiedät, että kopio toimii.
• Huomioi säilytysajat. Joillakin aloilla dokumentteja on säilytettävä tietyn ajan, joten tarkista tämä myös varmuuskopioita suunnitellessa.

Lähde: Kyberturvallisuuskeskus, Pienyritysten kyberturvallisuusopas. Kopio, joka on vain samalla palvelimella kuin sivusto, ei auta, jos juuri se palvelin vaurioituu tai murretaan.

Kirjautumisten suojaaminen

Kaapattu ylläpitäjän tunnus antaa täyden pääsyn sivustoon. Kyberturvallisuuskeskuksen mukaan huomattava osa murroista tapahtuu heikosti suojattujen käyttäjätunnusten kautta (Kyberturvallisuuskeskus). Nämä toimet suojaavat:

• Monivaiheinen tunnistautuminen vähintään ylläpitäjille. Esimerkiksi WordPress.orgin Two Factor -lisäosalla on yli 100 000 aktiivista asennusta (WordPress.org).
• Vahvat ja yksilölliset salasanat salasanojen hallintaohjelmassa.
• Vähimmät oikeudet. Blogitekstejä kirjoittava ei tarvitse ylläpitäjän tunnusta.
• Vanhojen tunnusten poisto entisiltä työntekijöiltä ja kumppaneilta.
• Kommentoinnin ja rekisteröitymisen poisto, jos et tarvitse niitä.

WordPressin virallinen kovennusohje neuvoo lisäksi poistamaan hallintapaneelin tiedostoeditorin käytöstä, käyttämään SFTP:tä FTP:n sijaan ja rajaamaan tietokantakäyttäjän oikeudet (WordPress Developer Resources). Älä myöskään luota sokeasti webhotelliin: Patchstackin testeissä webhotellien vakiosuojaukset torjuivat vain 26 % hyökkäyksistä (Patchstack).

Ylläpidon tarkistuslista

Kiinteä rytmi estää unohdukset:

Nopeutta kannattaa seurata samoilla mittareilla kuin Google. Ne selitetään Core Web Vitals -oppaassamme.

Jos sivusto murretaan

Toimi nopeasti ja tässä järjestyksessä:

1. Ota sivusto pois käytöstä tai näytä huoltosivu.
2. Vaihda kaikki salasanat: WordPress, webhotelli, tietokanta ja SFTP.
3. Selvitä murron syy. Kyberturvallisuuskeskuksen mukaan pelkkä jälkien siivoaminen ei yleensä riitä, vaan hyökkääjä on suljettava järjestelmästä.
4. Palauta puhdas varmuuskopio ajalta ennen murtoa, päivitä kaikki ja poista lisäosa, jonka kautta murto tehtiin.
5. Tarkista Google Search Consolesta, ettei Google ole merkinnyt sivustoa vaaralliseksi.

Kyberturvallisuuskeskus kehottaa ottamaan yhteyttä palveluntarjoajaan ja ilmoittamaan tapahtuneesta Kyberturvallisuuskeskukselle sekä poliisille. Se muistuttaa myös, että organisaation on varauduttava ilmoittamaan poikkeamasta viranomaisille ja viestimään siitä asiakkailleen, varsinkin jos sivusto käsittelee henkilö- tai maksutietoja (Kyberturvallisuuskeskus).

Itse vai ylläpitosopimus?

Itse tekeminen toimii pienellä sivustolla, jossa on vähän lisäosia, kunhan siitä oikeasti pitää kiinni joka viikko. Kun sivusto tuo tarjouspyyntöjä tai ottaa vastaan maksuja, ylläpitosopimus on usein turvallisempi valinta.

Yksi asia yllättää monet: Kyberturvallisuuskeskuksen mukaan jos olet ostanut sivustosi esimerkiksi mainostoimistolta, ylläpito- ja päivitysvastuu siirtyy kokonaan sinulle, ellei muuta ole sovittu (Kyberturvallisuuskeskus). Varmista siis sopimuksesta, mitä ylläpitoon kuuluu. Vertaa tarjouksia sisällön, ei pelkän hinnan perusteella:

• Kuinka usein päivitykset tehdään, ja testataanko sivusto niiden jälkeen?
• Missä varmuuskopiot säilytetään, kuinka kauan, ja testataanko palautus?
• Valvotaanko sivuston saatavuutta?
• Kuinka nopeasti vikoihin reagoidaan?
• Onko tehty henkilötietojen käsittelysopimus, jos ylläpitäjä pääsee käsiksi henkilötietoihin?

Hyvä ylläpito näkyy myös Googlessa: nopea ja virheetön sivusto on hakukoneoptimoinnin perusta. Jos mietit, onko WordPress oikea työkalu, lue mikä on CMS.