Sådan åbner du sikre filupload-tilladelser (SVG, WEBP) i WordPress

For at åbne sikre filupload-tilladelser på din WordPress-side skal du først definere de nødvendige filtyper på MIME-niveau, rense SVG-filer inden upload, begrænse upload-rettigheder til betroede brugerroller og forhindre, at skadelige filer kan afvikles på serveren. WEBP-billeder understøttes direkte i de fleste moderne WordPress-versioner, mens SVG – fordi formatet kan indeholde kode – som standard er blokeret. Derfor handler WordPress’ sikre filupload-proces ikke kun om at “åbne tilladelse”, men også om at reducere risikoen for ondsindede scripts, falske filendelser og uautoriserede uploads.

SVG og WEBP er ekstremt værdifulde filformater både for performance og design. WEBP giver typisk mindre filstørrelser end JPEG og PNG, hvilket betyder hurtigere sideindlæsning, bedre Core Web Vitals og lavere båndbreddeforbrug. SVG leverer knivskarpe vektorgrafikker til logoer og ikoner. Men især SVG kan indeholde JavaScript, eksterne links eller skadelig kode, da det er XML-baseret. Det er derfor kritisk ikke at springe sikkerhedslag over, når du tillader SVG-upload i WordPress – det kan sætte både besøgssikkerhed og site-integritet over styr.

I denne guide får du metoder til at åbne SVG- og WEBP-upload sikkert på WordPress, de relevante indstillinger, forskellen på plugin- og kodebaseret tilgang, servermæssige beskyttelser og en tjekliste til implementering på live-sites. Hvis din side bruger mange billeder, er et stabilt hostingmiljø også vigtigt – læs mere om WordPress-optimerede ressourcer på WordPress hosting.

Hvorfor blokerer WordPress visse filtyper?

WordPress’ mediebibliotek accepterer ikke alle filtyper af sikkerhedshensyn. Som standard er det kun formater som JPG, PNG, GIF, PDF, DOCX m.fl. der tillades – de anses som relativt sikre. SVG og lignende formater kan se harmløse ud, men kan indeholde scripts eller skadelig indhold, og derfor blokeres de. Den velkendte WordPress-besked “Du har ikke tilladelse til at uploade denne filtype” skyldes netop dette.

Filupload-sikkerhed består af tre lag: Første lag er WordPress’ MIME-typekontrol. Andet lag er brugerens upload-rettigheder. Tredje lag er hvordan serveren håndterer den uploadede fil. Det er ikke nok at tilføje et par linjer til functions.php – især uden SVG-sanitization kan det åbne for nye angrebsflader.

Hvad er MIME-type, og hvorfor er det vigtigt?

MIME-type er en definition, der fortæller browseren og programmet, hvilken type fil der er tale om. For WEBP er MIME-type typisk image/webp, for SVG image/svg+xml. WordPress checker både filendelsen og MIME-info for at vurdere, om filen er tilladt. Hackere forsøger sommetider at omdøbe skadelige filer for at omgå dette – derfor skal du ikke kun stole på filendelsen.

Fordele og risici ved SVG og WEBP-formater

Begge formater er værdifulde for web-performance, men deres sikkerhedsprofiler er meget forskellige. WEBP forbindes mest med billedoptimering, mens SVG også kan indeholde kode og kræver derfor ekstra opmærksomhed. Tabellen opsummerer, hvilke beskyttelser der er mest kritiske for de forskellige formater:

Den mest sikre tilgang i praksis: Brug WEBP til fotos og store billeder, brug kun sanitiserede SVG-filer til logoer/ikoner, og tillad kun upload af SVG for administratorer eller betroede redaktører. Har du mange brugere, medlemmer eller kunder, er dette ekstra vigtigt.

Tjekliste før du starter

Inden du ændrer filupload-tilladelser på et live WordPress-site, bør du forberede dig – så det er let at rulle tilbage ved fejl. Især hvis du vil ændre temafiler, skal du tage backup først. Her er en sikker start-tjekliste:

• Sørg for, at WordPress-kernen er opdateret. Ældre versioner kan have anderledes upload- og filvalidering.
• PHP-versionen på serveren skal være opdateret og supporteret. Fra 2026 er gamle PHP-versioner et sikkerhedsproblem.
• Tag fuld backup: database, wp-content-mappen, tema- og plugin-filer skal med.
• Brug child theme. Ændrer du functions.php i hovedtemaet, kan det forsvinde ved opdatering.
• Definér hvem der må uploade SVG. Begræns brugerantallet så meget som muligt.
• Hvis du bruger sikkerheds-plugin eller WAF, tjek at filupload-kontrol er slået til.

Stærke hosting-ressourcer er også vigtige for backup og drift uden nedetid. Overvej Hostragons webhosting for daglige backups, isolering, malware-scanning og ressourcestyring.

Metode 1: Åbn SVG og WEBP-upload med plugin

For brugere uden teknisk erfaring er det sikreste at bruge et betroet og opdateret plugin. Men det er vigtigt ikke bare at vælge en tilfældig MIME-plugin, men at finde et plugin, der tilbyder SVG-sanitization, rollekontrol og filvalidering. Et plugin, der kun “åbner SVG-upload”, er ikke nok.

Hvad skal du kigge efter ved plugin-valg?

• Seneste opdatering skal være inden for det sidste år. Plugins til sikkerhed, der ikke opdateres, er risikable.
• Tjek aktive installationer og brugeranmeldelser.
• SVG-sanitization skal være nævnt eksplicit.
• Mulighed for kun at give upload-tilladelse til administrator eller udvalgte roller.
• Testet med nyeste WordPress-version.
• Skal ikke gøre sitet tungt med unødvendige features.

De fleste moderne WordPress-installationer understøtter WEBP direkte. Hvis du får fejl ved WEBP-upload, skyldes det ofte serverens MIME-opsætning, outdated WordPress-version eller manglende PHP/GD/Imagick-understøttelse – ikke plugin-mangel. Tjek systemkrav først.

Sikker installations-flow med plugin

En god workflow: Start med at installere plugin i et testmiljø, aktiver kun SVG og evt. WEBP, slå SVG-sanitization til, begræns upload til administratorrolle, og test med både “ren” SVG og en SVG med script-tags. Hvis plugin afviser eller renser skadelig indhold, er du på rette vej.

Rens cache og tjek, at mediebibliotekets preview fungerer, før du går live. Hvis du bruger CDN, sikr at nye filtyper serveres med korrekt MIME-type. Læs mere om CDN, SSL og sikker trafik på SSL certifikat og Brug af CDN.

Metode 2: Tilføj MIME-type med kode

For udviklere er det mere fleksibelt at tilføje MIME-typer med kode. Den hyppigste fejl her er at åbne SVG-upload uden sanitization. Kodebaseret tilladelse er bedst til lavrisiko-formater som WEBP – for SVG skal du altid supplere med ekstra sikkerhed.

Princip for tilladelse via functions.php

Du kan bruge upload_mimes-filteret i WordPress til at tilføje nye MIME-typer. For WEBP definerer du webp-endelse som image/webp, for SVG svg-endelse som image/svg+xml. Det er bedst at gøre dette i et child theme eller i et lille custom site-plugin, ikke direkte i hovedtemaets functions.php.

Bemærk to begrænsninger: At tilføje MIME-type garanterer ikke, at filen er sikker. Og ændringer i functions.php kan forsvinde ved temaskift. I professionelle projekter er et lille “site-specific plugin” den reneste metode.

Hvorfor er rollekontrol nødvendig?

Åbner du SVG-upload for alle brugere, er det farligt – især på blogs med mange forfattere, shops eller sites med medlems- og kundepaneler. Giv kun administratorer eller betroede redaktører adgang. For eksempel kan ét svagt brugerlogin på et nyhedssite med 20 forfattere udgøre en sikkerhedsrisiko for hele siden.

Rollekontrol bør implementeres som filter, så kun brugere med relevante rettigheder får adgang til at uploade SVG. Hvis du skal give tilladelse ud over administrator, opret en særlig rolle til uddannede brugere. Brug gerne to-faktor login for at reducere risikoen for kontoovertagelse.

SVG-sikkerhed: Giv aldrig tilladelse uden sanitization

Selv om SVG ser ud som en simpel grafik, er det XML-baseret – og kan indeholde script, event handlers, eksterne links, indlejret data eller skadelige redirects. Når sådanne elementer afvikles i browseren, kan det føre til XSS-angreb, hvor ondsindet kode afvikles hos den besøgende – med risiko for stjålne cookies, kaprede sessioner eller falske formularer.

For sikker SVG-brug skal filer eksporteres “rent” fra designværktøjet, metadata fjernes, og sanitization udføres i WordPress. Sanitization betyder, at script, foreignObject, risikable event-attributter og eksterne referencer fjernes automatisk – ikke kun via manuel kontrol, men med et automatisk regelsæt.

Sikker SVG-tjekliste

• Brug kun SVG fra betroede designkilder.
• Optimer og fjern metadata før upload.
• Brug plugin eller bibliotek med sanitization-support.
• Giv aldrig alle brugere SVG-upload-tilladelse.
• Tjek at uploadede SVG ikke kalder eksterne URLs.
• Slet gamle og ubrugte SVG-filer fra mediebiblioteket jævnligt.
• Aktivér filændrings-overvågning i dit sikkerhedsplugin.

På virksomheds-sites bruges SVG typisk til logoer, sociale ikoner, betalingsikoner og UI-symboler. Disse filer ændres sjældent – den sikreste metode er kun at uploade godkendte SVG-sæt og derefter lukke upload-tilladelsen igen.

WEBP-upload og performance-indstillinger

WEBP handler primært om performance – men på misconfigurede servere kan WEBP-filer vises forkert eller sendes med forkert MIME-type. WordPress 5.8+ understøtter WEBP, men GD eller Imagick-bibliotekerne på serveren skal også have WEBP-support.

Målet med WEBP er ikke blot at åbne upload, men at skabe en billedoptimerings-strategi. Undgå at bruge kæmpe billeder over 1920px, sæt kvalitet på 75–85, og brug lazy loading. WEBP kan give markante hastighedsfordele på produktbilleder, blogs og bannere – især på sites med mange mobile brugere.

Praktiske tips til WEBP

• Gem originalbilledet, så du kan gå tilbage til PNG/JPEG hvis nødvendigt.
• Brug SVG til små ikoner fremfor WEBP.
• På fotosider kan WEBP reducere sidevægt med 25–50%.
• Test at CDN serverer WEBP korrekt.
• De fleste browsere understøtter WEBP nu, men hav fallback for ældre systemer.

På performance-fokuserede WordPress-sites er hostingressourcer lige så vigtige som billedoptimering. CPU-limit, disk I/O og serverteknologier som LiteSpeed gør forskel for medietunge sider. Læs videre i LiteSpeed Hosting og Guide til WordPress acceleration.

Server-side sikkerhedsforanstaltninger

Det er vigtigt at indstille tilladelser korrekt i WordPress – men hvis serveren er svagt beskyttet, fortsætter risikoen. Upload-mappen wp-content/uploads bør huse mediefiler, men scripts som PHP skal ikke kunne afvikles der. Så selv hvis en hacker uploader en skadelig fil, kan den ikke køres.

På Apache kan du blokere PHP-execution i uploads-mappen via .htaccess. På Nginx kan du gøre det i relevante location-blokke. På shared hosting styres en del af dette af udbyderen – men et sikkert hostingmiljø er grundlæggende for filupload-sikkerhed i WordPress.

Ekstra serverkontroller

• Sæt korrekte file permissions: mapper typisk 755, filer 644.
• Sørg for, at wp-config.php og systemfiler ikke er skrivbare.
• Brug ModSecurity eller lignende WAF og hold reglerne aktive.
• Gennemgå logs for uregelmæssige upload-forsøg.
• Lav automatisk backup dagligt eller ugentligt.
• Brug SSL til at kryptere admin og upload-trafik.

For bureauer og virksomheder gør det administrationen nemmere, hvis domæne, SSL og hosting styres fra samme panel. Planlægger du nyt projekt, så se Domæneforespørgsel og SSL certifikat.

Eksempel på sikker implementering: step-by-step anbefalet proces

Her er et flow, som de fleste WordPress-sites kan følge for sikker og praktisk implementering. Det kombinerer teknisk kontrol med risikominimering:

• 1. Tag fuld backup og opret gerne et staging-miljø.
• 2. Opdatér WordPress, temaer, plugins og PHP-version.
• 3. Har du problemer med WEBP-upload, tjek server-understøttelse og tilføj MIME-type hvis nødvendigt.
• 4. Brug plugin eller custom løsning med SVG-sanitization.
• 5. Giv kun SVG-upload-tilladelse til administrator eller betroet rolle.
• 6. Bloker executable filer (fx PHP) i wp-content/uploads.
• 7. Test med SVG-filer og tjek at skadelig indhold fjernes.
• 8. Tjek CDN, cache og browser-compatibility.
• 9. Overvåg error logs og sikkerhedslogs mindst 24–48 timer efter go-live.

Har du implementeret alle disse trin, får du ikke bare et system, der accepterer filer – men et kontrolleret, overvåget og bæredygtigt mediehåndterings-flow.

Typiske fejl

De fleste fejl ved at åbne SVG- og WEBP-upload skyldes en forkert balance mellem sikkerhed og nemhed. Den klassiske fejl er at kopiere et kort kodestykke fra nettet ind i functions.php og tro, at det er nok – især for SVG er det ikke tilstrækkeligt.

• At åbne SVG-upload uden sanitization.
• At give alle brugerroller adgang til SVG og medie-upload.
• At bruge gamle, ikke-opdaterede MIME-plugins.
• At ændre tema-filer på live-site uden backup.
• At undlade at blokere executable filer i uploads-mappen på serveren.
• At forsøge at løse WEBP-problemer med plugin, men ikke tjekke server-understøttelse.
• At undlade at overvåge sikkerhedslogs efter upload.

Effekt på SEO og brugeroplevelse

Korrekt konfigureret SVG og WEBP kan indirekte, men markant, styrke SEO. WEBP reducerer sidevægt og forbedrer Largest Contentful Paint. SVG giver skarpere ikoner/logoer og forbedrer UI-kvaliteten. Men en filupload-strategi, der åbner for sårbarheder, kan hurtigt underminere SEO – malware-infektioner kan føre til advarsler, tab af bruger-tillid og fald i organisk trafik.

Den bedste effekt fås ved at tænke performance og sikkerhed sammen: Optimer billeder, hold unødvendige filtyper lukket, tillad kun relevante formater og lav regelmæssig vedligeholdelse. Se også WordPress sikkerhedsvejledning og Websted vedligeholdelse for WordPress-maintenance.

Konklusion

Målet med at åbne sikre filupload-tilladelser i WordPress er at drage nytte af moderne formater som SVG og WEBP – uden at udsætte sitet for unødvendige risici. WEBP kan bruges sikkert til performance på de fleste sites; SVG kræver altid sanitization, rollekontrol og serverbeskyttelse. Den bedste praksis er ikke bare at tilføje MIME-type, men at følge en helhedsorienteret proces med backup, test, autorisation og overvågning.

Vil du have en sikker, hurtig og opdateret WordPress-oplevelse med Hostragons, så se WordPress hosting – sammenlign hosting, domæne og SSL uden salgs-presseri og vælg det, der passer til dine behov.

Ofte stillede spørgsmål

Hvorfor tillader WordPress ikke SVG-upload som standard?

SVG-filer er XML-baserede og kan indeholde JavaScript, eksterne links eller skadelig kode. WordPress blokerer derfor SVG som standard for at reducere XSS- og sikkerhedsrisici.

Hvis jeg ikke kan uploade WEBP, skyldes det WordPress eller serveren?

WordPress 5.8+ understøtter WEBP, men hvis serverens PHP, GD eller Imagick ikke understøtter WEBP, får du fejl. Tjek først WordPress-version, derefter serverens billedbehandlings-support.

Er det sikkert at åbne SVG-upload via functions.php?

Nej, ikke alene – at tilføje MIME-type i functions.php fjerner kun upload-blokeringen, men renser ikke SVG-indholdet. Du skal supplere med sanitization, rollekontrol og serverbeskyttelse.

Hvilke brugere bør have SVG-upload-tilladelse?

Den sikreste praksis er kun at give SVG-upload-tilladelse til administrator eller særligt betroede redaktører. På multi-author sites er SVG-upload for alle en stor sikkerhedsrisiko.

Kan WEBP forbedre SEO-performance?

WEBP kan forbedre sidehastighed med mindre filstørrelser. Bedre hastighed og brugeroplevelse styrker Core Web Vitals og giver SEO-fordele indirekte.