Hvordan passordbeskytte WordPress-bloggen din

Å passordbeskytte et innlegg betyr at du legger en passordsperre foran innholdet, slik at bare lesere som kjenner passordet får se teksten og bildene. Funksjonen er innebygd i WordPress, krever ingen tilleggsprogrammer (utvidelser, på engelsk kalt plugins) og er nyttig for alt fra private fotoalbum til utkast du vil dele med noen få personer før en offentlig lansering. I denne guiden går vi gjennom hvordan du slår det på, hva leserne faktisk opplever, hvor sikkert det er – og når du heller bør velge en annen løsning.

Hva betyr det å passordbeskytte et WordPress-innlegg?

Passordbeskyttelse er én av tre synlighetsinnstillinger som følger med WordPress fra start. For hvert innlegg og hver side kan du velge mellom Offentlig, Passordbeskyttet og Privat. Du trenger ingen ekstra programvare for noen av dem.

• Offentlig er standard: innholdet er synlig for alle så snart det er publisert.
• Passordbeskyttet viser tittelen offentlig, men selve innholdet er skjult bak et passordfelt. Alle som har passordet, kan lese innlegget – uansett om de har en brukerkonto på bloggen eller ikke.
• Privat skjuler innlegget helt fra publikum. Det dukker ikke opp i lister eller arkiver, og selv om noen gjetter adressen (URL-en), ser de ingenting. Bare innloggede brukere med rollen redaktør eller administrator ser private innlegg.

Forskjellen er viktig: velg passordbeskyttet når du vil dele med folk som ikke har konto på bloggen (familie, kunder, venner), og privat når innholdet bare skal være for deg selv eller redaksjonen. Et passordbeskyttet innlegg viser dessuten tittelen med et prefiks – på norske installasjoner står det «Beskyttet:» foran tittelen i oversikter.

Slik passordbeskytter du et innlegg steg for steg

Fremgangsmåten avhenger av hvilken redigering du bruker. Siden WordPress 5.0 er blokkredigeringen (Gutenberg) standard, men mange bruker fortsatt den klassiske redigeringen via en utvidelse. Begge gir nøyaktig samme resultat.

I blokkredigeringen (standard)

1. Logg inn på WordPress og skriv innlegget ditt som vanlig.
2. Finn panelet Innlegg til høyre. Øverst, under «Sammendrag», ser du raden Synlighet som står på «Offentlig».
3. Klikk på «Offentlig». En liten meny åpner seg med valgene Offentlig, Privat og Passordbeskyttet.
4. Velg Passordbeskyttet, og skriv inn passordet i feltet som dukker opp.
5. Trykk Publiser (eller Oppdater hvis innlegget allerede er publisert). Ferdig – innlegget er nå låst.

I den klassiske redigeringen

1. Åpne innlegget og se etter boksen Publiser øverst til høyre.
2. Ved siden av Synlighet: Offentlig klikker du på lenken Rediger.
3. Velg alternativet Passordbeskyttet, skriv inn passordet i tekstfeltet og klikk OK.
4. Klikk Publiser eller Oppdater.

Du kan når som helst fjerne beskyttelsen igjen ved å sette synligheten tilbake til «Offentlig». Tipset om å bruke beskyttede innlegg passer godt sammen med en gjennomténkt publiseringsrutine – planlegger du å starte en blogg fra bunnen, kan det være greit å først sette opp en WordPress-blogg på eget domene.

Slik beskytter du en hel side eller flere innlegg samtidig

Du kan beskytte så mange innlegg og sider du vil, hver for seg. Et nyttig triks er at samme passord gir tilgang til alt: bruker du étt felles passord på flere innlegg, trenger leseren bare å taste det én gang for å låse opp dem alle. Det gjør f.eks. et privat fotoalbum spredt over mange innlegg mye enklere å dele.

Vil du derimot legge et passord foran hele nettstedet – forsiden, alle sider og arkiver – klarer ikke WordPress det alene. Denne funksjonen er iflølge WordPress’ egen dokumentasjon ikke en del av kjernen. Da har du tre veier å gå:

• En utvidelse for hele nettstedet. Verktøy som Password Protected lar deg sette étt felles passord foran alt. Innloggede brukere slipper vanligvis sperren. Vær oppmerksom på at slike utvidelser ikke alltid stenger alle dører – API-et (REST API) og nettstedskartet (sitemap) kan fortsatt lekke innhold hvis de ikke beskyttes separat.
• En medlemsutvidelse. For betalt innhold eller sider der ulike brukere skal ha ulike rettigheter, gir en løsning som Restrict Content Pro individuelle kontoer, nivåer og betaling – mye mer enn étt felles passord kan tilby.
• Serverbasert innlogging. Med en .htaccess-fil og det som kalles Basic Auth kan du stenge nettstedet allerede på webserveren, før WordPress i det hele tatt lastes. Dette krever teknisk tilgang til serveren, men er effektivt for testsider under utvikling.

For medlemssider og betalt innhold, der ulike brukere skal ha ulike rettigheter, er altså en skikkelig medlemsutvidelse bedre egnet enn innebygd passordbeskyttelse. Tenker du på beskyttelse i et større bilde, finnes det gode gjennomganger av WordPress-plugins for økt sikkerhet.

Tabellen over sammenligner de vanligste måtene å begrense tilgang på. Velg metode etter hvem som skal se innholdet og hvor sensitivt det er – ikke etter hva som er raskest å sette opp.

Hva ser leserne, og hvor lenge varer tilgangen?

Når en leser klikker seg inn på et passordbeskyttet innlegg, ser de tittelen og et kort skjema der de må skrive inn passordet. Selve teksten, bildene og eventuelle video- eller lydklipp dukker først opp når riktig passord er tastet. I innleggslister og søkeresultater på bloggen vises bare tittelen med «Beskyttet:» foran, mens utdraget er byttet ut med en standardmelding om at innholdet er beskyttet.

Etter at leseren har tastet riktig passord, lagrer WordPress en informasjonskapsel (cookie) i nettleseren. Som standard varer denne i 10 dager, slik at leseren slipper å taste passordet på nytt ved hvert besøk i perioden. Utviklere kan endre lengden – eller gjøre det til en økt-cookie som forsvinner når nettleseren lukkes – via filteret post_password_expires, som kom i WordPress 3.7. For de fleste bloggere er standarden på 10 dager helt grei.

Legg merke til at passordet ikke er knyttet til leseren, men til innholdet. Det betyr at du ikke ser hvem som har åpnet innlegget – bare at noen med riktig passord har gjort det. Vil du vite nøyaktig hvem som leser, eller gi og trekke tilbake tilgang for enkeltpersoner, må du over på en løsning med individuelle brukerkontoer.

Hvordan påvirker passordbeskyttelse Google og RSS?

Passordbeskyttet innhold holdes ute av søkemotorene. Søkemotorer som Google kan ikke skrive inn passord, så de ser det samme som en besøkende uten passord: tittelen og en melding om at innlegget er beskyttet. Selve teksten blir derfor normalt ikke indeksert eller vist i søkeresultatene. Det er bra når du vil holde innholdet privat, men dårlig hvis formålet egentlig var å tiltrekke lesere – da jobber beskyttelsen mot deg.

Det samme gjelder RSS-strømmen (nyhetsmating) din. Abonnenter som følger bloggen i en RSS-leser, får ikke servert det beskyttede innholdet; de ser bare tittelen og beskjeden om at innlegget krever passord. Planlegger du å bygge trafikk og publikum, bør du heller bruke åpne innlegg og se på egne grep for å få flere lesere til bloggen. Passordbeskyttelse er et verktøy for å begrense – ikke for å spre.

Hvor sikker er passordbeskyttelse egentlig?

Passordbeskyttelse holder tilfeldige besøkende og søkemotorer unna innholdet, men det er ikke en sterk sikkerhetsløsning for virkelig sensitive data. Det er viktig å forstå begrensningene før du stoler på funksjonen:

• Bildefiler er ikke beskyttet. Selv om bildene ikke vises før passordet er tastet, ligger selve filene fortsatt åpent tilgjengelig på serveren. Kjenner noen den direkte adressen til et bilde (f.eks. i wp-content/uploads), kan de åpne det uten passord. Det samme gjelder PDF-er og andre vedlegg.
• Passordet deles ofte videre. Siden alle bruker samme passord, har du ingen kontroll på hvem det sendes til. Et passordbeskyttet innlegg er like åpent som listen over hvem som kjenner passordet.
• Andre redaktører og administratorer ser alt. På en blogg med flere brukere kan redaktører og administratorer se både passordbeskyttede og private innlegg i redigeringen – helt uten passordet.
• Lengden på passordet. Eldre WordPress-versjoner kuttet passord lengre enn 20 tegn på grunn av en begrensning i databasen. Fra WordPress 3.6 lagres passordet som en kryptert verdi (hash), så den gamle 20-tegnsgrensen gjelder ikke lenger på oppdaterte installasjoner.

Skal innholdet være virkelig privat, bør du kombinere beskyttelse med god generell sikkerhet. Se derfor hva du bør gjøre for å beskytte WordPress-siden mot angrep, og sørg for å jevnlig ta backup av innholdet i WordPress så du ikke mister noe hvis uhellet er ute.

Vanlige feil når du passordbeskytter innhold

Mange bommer på de samme punktene. Her er feilene som oftest skaper problemer, og hvordan du unngår dem:

• Å tro at bildene er låst. Som nevnt er mediefilene fortsatt åpne via direkte lenke. Legg aldri ut virkelig sensitive bilder i den tro at passordet beskytter dem.
• Å forveksle passordbeskyttet med privat. Velger du «Privat» kan ikke familie eller kunder uten konto se innlegget i det hele tatt. Skal utenforstående inn, må du bruke «Passordbeskyttet».
• Å glemme at beskyttede innlegg fortsatt dukker opp i lister. Tittelen og «Beskyttet:»-meldingen vises i oversikter og nyeste-innlegg-widgeter. Vil du skjule dem helt fra forsiden, kan du fjerne passordbeskyttede innlegg fra WordPress-loopen.
• Å bruke et svakt eller gjenbrukt passord. Siden passordet deles med mange, bør det ikke være det samme som du bruker andre steder. Lag et eget passord til formålet.
• Å forvente at hele nettstedet blir låst. Innstillingen gjelder étt innlegg eller én side om gangen – ikke forsiden eller resten av bloggen.

Hvem passer passordbeskyttelse for?

Innebygd passordbeskyttelse er et godt valg når du vil dele avgrenset innhold med en kjent gruppe uten å sette opp noe komplisert. Typiske situasjoner:

• Private familie- og fotoblogger der bare slekt og venner skal se bildene.
• Kunde- og prosjektsider der du deler utkast, tilbud eller leveranser med én kunde.
• Sniktitt før lansering – et innlegg du vil vise redaksjonen eller noen testlesere før det gjøres offentlig.
• Ressurser bak en enkel sperre, som en bonusartikkel du gir til nyhetsbrevabonnenter.

Har du derimot mange brukere med ulike rettigheter, selger du tilgang, eller håndterer du virkelig sensitive data, bør du velge en medlemsutvidelse eller serverbasert innlogging i stedet. Da får du individuelle kontoer, bedre kontroll og sterkere sikkerhet enn étt felles passord kan gi.

En god tommelfingerregel: bruk innebygd passordbeskyttelse når ulempen ved at feil person ser innholdet er liten til moderat, og en skikkelig tilgangsstyring når den er stor. For feriebilder til slekta er étt felles passord mer enn nok; for personopplysninger, kontrakter eller helseinformasjon er det ikke i nærheten av trygt nok. Tenk også på hvor lenge innholdet skal være låst: et felles passord som har gått rundt i et halvt år, er i praksis ikke lenger hemmelig. Bytt det jevnlig hvis innlegget skal være beskyttet over tid.

Vanlige spørsmål (FAQ)

Kan jeg passordbeskytte en side på samme måte som et innlegg?

Ja. Synlighetsinnstillingen fungerer helt likt for både innlegg og sider. Du finner «Passordbeskyttet» under Synlighet i panelet til høyre, uansett om du redigerer et innlegg eller en side.

Hvorfor vises innlegget fortsatt i oversikten min?

Passordbeskyttelse skjuler innholdet, ikke tittelen. Tittelen vises med «Beskyttet:» foran, mens teksten er byttet ut med et passordfelt. Vil du at innlegget skal forsvinne helt fra forsiden og arkivene, må du filtrere det ut av visningen eller velge «Privat» i stedet.

Hva skjer hvis leseren taster feil passord?

Da får leseren bare se passordfeltet på nytt, uten tilgang til innholdet. Det er ingen grense på antall forsøk, og ingen tilbakemelding utover at innholdet forblir skjult til riktig passord tastes inn.

Må leserne taste passordet hver gang de besøker siden?

Nei. Når passordet er tastet riktig, lagrer WordPress en informasjonskapsel som normalt varer i 10 dager. I den perioden slipper leseren å taste passordet på nytt, med mindre de tømmer nettleseren eller bruker en annen enhet.

Kan jeg passordbeskytte hele WordPress-nettstedet?

Ikke med den innebygde funksjonen alene, som bare gjelder enkeltinnlegg og enkeltsider. For å legge en sperre foran hele nettstedet trenger du en utvidelse som Password Protected, en medlemsløsning, eller passordbeskyttelse satt opp direkte på webserveren.