Slik går du gjennom fjerntilgang og API-nøkler på bedriftens nettside

En bedriftsnettside har flere innganger enn innloggingsskjemaet. Dashbordet byrået oppdaterer utvidelser fra, en butikkapp med tilgang til ordrer, et Cloudflare-token i et skript som tømmer hurtigbufferen og en deploy-nøkkel på serveren gir alle tilgang uten administratorpassord. To hendelser i oktober 2026 viste hva som skjer når slike nøkler havner hos feil person. Denne guiden går gjennom hvordan du lister opp tilgangene, trekker tilbake det som ikke trengs og bytter resten, uansett om du bruker WordPress, WooCommerce, Shopify eller egenutviklet kode.

#Hva skjedde med UpdraftCentral

I hendelsesvarselet fra TeamUpdraft skriver selskapet at det oppdaget uautorisert tilgang til teamupdraft.com helgen 17. og 18. oktober, og at det mener kundedatabasen ble lest. Den inneholdt navn, e-postadresser, hashede passord, innstillinger for tofaktorinnlogging og tilkoblingsnøklene for UpdraftCentral, UpdraftVault og UpdraftClone. Kortdata lagrer selskapet ikke. Angriperen brukte tilkoblingen til kundenes nettsteder til å opprette administratorkontoer og installere skadelige utvidelser, og TeamUpdraft varslet senere om et mønster av uventede kontoer med rollen redaktør. UpdraftPlus 1.26.13 (gratis) og 2.26.13 (Premium), utgitt 19. oktober, kobler fra alle UpdraftCentral-tilkoblinger opprettet før 18. oktober kl. 13.07 britisk tid.

Analysen fra Patchstack forklarer hvorfor vanlige sperrer ikke hjalp. Kommandoene var signert med ekte dashbordnøkler, så alle kontroller i utvidelsen godtok dem. Et tilkoblet nettsted kjører alle signerte kommandoer med rettighetene til brukeren som opprettet tilkoblingen, og ingen godkjenner enkeltkommandoer. Mange eiere valgte aldri dette selv: da de koblet til en TeamUpdraft.com-konto, var boksen som meldte nettstedet inn i UpdraftCentral krysset av på forhånd. Nøklene utløp heller ikke, og Patchstack så nøkler fra november 2025 som fortsatt virket i oktober 2026. Bakdørskontoene så ut som redaktører, men hadde rettighetene manage_options og install_plugins, så en gjennomgang av administratorlisten fant dem ikke.

Noen dager før skrev Rank Math at PRO 3.0.123 lastet ned mellom 15. oktober kl. 20.02 UTC og 16. oktober kl. 07.12 UTC inneholdt skadevare. Versjon 3.0.124 er ren, og gratisversjonen fra WordPress.org var ikke rammet. Har du aktivert den infiserte versjonen, skal du gå ut fra at alle hemmeligheter på nettstedet er lekket, og bytte WordPress-passord, databasetilgang, nøkler og salter i wp-config.php, nøkler til betalingsløsninger, SMTP-tilgang, andre API-nøkler og tilgang til webhotell, FTP og SSH, i tillegg til å sjekke tofaktorinnstillingene for administratorer. Det større bildet finner du i artikkelen om forsyningskjedeangrep mot WordPress i 2026.

#Sjekkliste for tilganger til nettside og nettbutikk

#Hvordan sjekke hvem som har tilgang til nettsiden

Nøkler går begge veier. Nettstedet lagrer nøkler til andres systemer (betaling, e-post, sikkerhetskopier), og andres systemer lagrer nøkler til nettstedet ditt (dashbord, apper, utrulling). Listen fra Rank Math gjelder den første retningen, UpdraftCentral-saken den andre.

Oversikten henter du fra tre steder: selve nettstedet (brukere, utvidelser eller apper, innstillinger), bedriftens kontoer (fakturaer, passordbehandleren, innboksen der registreringsbekreftelser havner) og infrastrukturen (DNS, CDN, kontrollpanelet hos webhotellet, kodelageret). For hver oppføring noterer du tjenesten, hva den kan gjøre, hvem som opprettet nøkkelen, hvor nøkkelen ligger i begge ender, når den sist ble brukt og hvem i bedriften som eier den. En oppføring uten eier er første kandidat for sletting.

#Dashbord for drift av flere nettsteder

UpdraftCentral, ManageWP, MainWP og Jetpack kobler seg til nettstedet via en komponent i WordPress: UpdraftPlus har UpdraftCentral-klienten innebygd, ManageWP bruker utvidelsen ManageWP Worker og MainWP utvidelsen MainWP Child. Den andre halvdelen av tilgangsdataene ligger hos leverandøren eller på en server byrået drifter. Gå gjennom listen over utvidelser, også fanen for must-use-utvidelser, og spør byrået hvilke dashbord det bruker. Lærdommen fra Patchstack gjelder alle produkter av denne typen: det holder ikke å fjerne nettstedet fra dashbordet, for nøkkelen som teller, ligger på nettstedet.

#Butikkapper og integrasjoner med API-tilgang

I Shopify åpner du innstillingene, delen for apper, og klikker på hver app. Ifølge dokumentasjonen fra Shopify viser appens side hvilke deler av butikken den kan lese eller endre, med dato for siste aktivitet i hver del. Tillatelser som ikke er brukt de siste 30 dagene, vises i en egen del for ubrukt tilgang. Tilgangen read_all_orders utvider rekkevidden utover standardvinduet med ordrer fra de siste 60 dagene (tilgangsomfang), så spør hvorfor appen trenger den. Eksporter det du trenger før du avinstallerer, for noen apper lagrer data som ikke kan hentes tilbake etterpå.

I WooCommerce ligger nøklene i WooCommerce-innstillingene under avansert, REST API. Hver nøkkel hører til en WordPress-bruker og har lese-, skrive- eller lese- og skrivetilgang, og hemmeligheten vises bare én gang (dokumentasjonen fra WooCommerce). Sjekk hvem hver nøkkel tilhører og om personen fortsatt jobber med deg. Det samme gjelder nøkler til Vipps MobilePay eller regnskapssystemet som står i innstillingene til en utvidelse.

#Applikasjonspassord og tekniske kontoer

Med applikasjonspassord logger et verktøy inn i REST API med Basic Auth. Du oppretter og trekker dem tilbake på redigeringssiden for brukeren. WordPress-kjernen begrenser ikke omfanget: integrasjonsguiden nevner begrensning som fremtidig arbeid, så et applikasjonspassord kan gjøre alt brukeren kan. WordPress registrerer siste bruk (nøyaktig innenfor ett døgn) og siste IP-adresse. Med WP-CLI:

wp user list --role=administrator
wp user list --role=editor
wp user application-password list 1 --fields=name,created,last_used,last_ip

Redaktørlisten hører med etter UpdraftCentral-saken, fordi bakdørskontoene hadde akkurat den rollen.

#Tokener for CDN og DNS

Et token med skrivetilgang til DNS er nok til å sende domenet eller e-postoppføringene et annet sted. I Cloudflare begrenser du et API-token til utvalgte tillatelser og soner, og i tillegg til IP-adresser og en levetid (opprette token). Den eldre Global API key har tilgang til alle ressursene til en bruker med brukerens fulle rettigheter, og Cloudflare fraråder den for nye oppsett (Global API key). Bruker en utvidelse, en CI-jobb eller et skript den fortsatt, bytter du til et token for én sone.

#Deploy-nøkler i GitHub

En deploy-nøkkel er en SSH-nøkkel med tilgang til ett enkelt repo. Den kan bare lese som standard, og med skrivetilgang kan den det samme som et organisasjonsmedlem med administratorrettigheter. Ifølge dokumentasjonen fra GitHub har deploy-nøkler ingen utløpsdato, vanligvis ingen passordfrase, og de forblir aktive når personen som la dem til, fjernes fra repoet. Gå gjennom dem i innstillingene for repoet, under deploy-nøkler, slett dem du ikke kjenner igjen og godkjenn de gyldige.

#Nøkler til betaling, e-post og sikkerhetskopier

Stripe lar deg lage begrensede nøkler med tillatelser du velger selv, og når du bytter en nøkkel i dashbordet, bestemmer du når den gamle utløper: med en gang eller etter en frist som gir integrasjonen tid til å bytte (API-nøkler hos Stripe). SMTP-passordet eller API-nøkkelen til e-posttjenesten ligger i en utvidelse eller i wp-config.php; hvor, viser vi i SMTP-guiden.

En sikkerhetskopi inneholder hele databasen med kundedata og alle nøkler som er lagret i innstillingene. TeamUpdraft koblet alle nettsteder fra UpdraftVault og utstedte ny tilgang, og anbefalte nettsteder som ble åpnet via UpdraftCentral å godkjenne ekstern lagring (Google Drive, Dropbox, Amazon S3) på nytt og bytte tilgangsnøklene. Sjekk hvem som kan lese lagringen for sikkerhetskopier, og om verktøyet har rett til å slette gamle kopier.

#Hvordan trekke tilbake en API-nøkkel uten at nettsiden stopper

På et friskt nettsted er rekkefølgen denne: finn ut hva som bruker nøkkelen (beskrivelse, siste bruk, logger i verktøyet), lag en etterfølger med smalere tillatelser, legg den inn i verktøyet og test, og trekk først da tilbake den gamle. Følg med noen dager på mislykkede ordrer, manglende e-poster og feilet utrulling. Utløpsfristen hos Stripe finnes nettopp for dette byttet.

Etter et innbrudd snur du rekkefølgen: trekk tilbake først, og koble til integrasjonene som stopper på nytt etterpå. Slik er instruksene fra TeamUpdraft til UpdraftCentral-brukere bygget opp: logg inn direkte på hvert nettsted, oppdater, slett tilkoblingsnøkkelen, fjern ukjente kontoer og utvidelser, bytt administratorpassord og koble til på nytt til slutt. Har nøkkelen to ender, trekker du den tilbake i begge. En nøkkel som bare er slettet i leverandørens panel, kan fortsatt bli godtatt av nettstedet, og en nøkkel som bare er slettet på nettstedet, kan fortsatt ligge i leverandørens database.

#Når bør du bytte API-nøkler

Bytt når noe skjer, for en kalender alene hadde ikke hjulpet noen i oktober 2026. Disse utløserne bør stå i rutinene:

• en sikkerhetshendelse hos en leverandør som har en nøkkel til nettstedet ditt eller får en fra det,
• skadekode som har kjørt på nettstedet, altså alt på listen fra Rank Math over,
• en ansatt, frilanser eller et byrå som mister tilgangen,
• en nøkkel som dukker opp der den ikke skal være: i et repo, en supportsak, en e-posttråd eller et skjermbilde,
• en integrasjon som erstattes av et annet verktøy.

Legg til én fast gjennomgang i året der du sletter alle nøkler ingen kan forklare. Nøkler uten utløpsdato, som deploy-nøkler i GitHub eller UpdraftCentral-nøklene Patchstack undersøkte, gjelder til noen fjerner dem.

#Hva du bør kreve av byrå og programvareleverandører

Et byrå som drifter nettsiden din, oppretter nøkler på dine vegne. For virksomheter som omfattes av digitalsikkerhetsloven, som trådte i kraft 1. oktober 2025 sammen med digitalsikkerhetsforskriften og gjennomfører NIS1 i norsk rett, er oversikt over leverandørtilganger en del av sikkerhetsarbeidet. Hvordan loven treffer WordPress-leveranser, beskriver vi i artikkelen om WordPress i Norge etter NIS2. Uavhengig av det bør disse punktene stå i avtalen:

• et register over alle nøkler, tokener og kontoer byrået oppretter, med formål og eier, som leveres ved forespørsel og ved avtaleslutt,
• nøkler opprettet i dine egne kontoer der plattformen tillater det, for eksempel et Cloudflare-token i din konto begrenset til din sone, slik at tilbaketrekking ikke avhenger av byrået,
• én nøkkel per nettsted og verktøy, og personlige kontoer i stedet for én felles byråinnlogging,
• tilbaketrekking av all tilgang innen et avtalt antall dager etter avtaleslutt, bekreftet skriftlig,
• en varslingsfrist for hendelser. Et byrå med tilgang til kundedata er som regel databehandler, så du trenger en databehandleravtale etter artikkel 28 i personvernforordningen. Etter artikkel 33 skal databehandleren varsle deg uten ugrunnet opphold, og du har 72 timer, der det er mulig, til å melde bruddet til Datatilsynet. Skriv et konkret antall timer inn i avtalen.

Før du installerer noe med fjernfunksjoner, bør du spørre leverandøren om fjerntilkoblingen er slått på som standard og om nøklene utløper. For UpdraftCentral fant Patchstack en forhåndsavkrysset boks og nøkler uten utløpsdato.

Denne gjennomgangen gjør vi som del av en sikkerhetsrevisjon av WordPress, og nøkkelregisteret holder vi oppdatert i vedlikehold av WordPress-nettsider. For WooCommerce-butikker inngår den i planen for stabil nettbutikk, og i Shopify-butikker går vi gjennom apptillatelser som Shopify-utvikler. Hvordan oppdateringer av utvidelser når nettstedet, og hvor en manipulert versjon kan slippe gjennom, kan du lese om i artiklene om forsinkede oppdateringer fra WordPress.org og fire bakdører på en måned.