Hraði og öryggi: WordPress á móti nútímalegum stafli

Eftir að PHP-verkefnið gaf út neyðaruppfærslu 21. október spyrja viðskiptavinir hvort tími sé kominn til að hætta með WordPress. Við smíðum vefi í Next.js og höfum því hag af svarinu, svo við mældum í stað þess að giska: öryggishausa á 1.275 vefjum og hraða á 442 vefjum úr tveimur úrtökum.

Niðurstaðan er flóknari en spurningin:

• Öryggishausar. 61% WordPress-vefja senda engan af sex algengum öryggishausum, á móti 13% vefja í JS-römmum eins og Next.js. Stór hluti munarins fylgir hýsingunni.
• Hraði. Í Lighthouse-prófi fyrir farsíma er miðgildi WordPress-vefja 61 en JS-ramma-vefja 69. Munurinn sést á listanum okkar, en hann er minni en dreifingin innan hvors hóps og sést ekki skýrt í handahófsúrtaki.
• Uppfærslur. Af WordPress-vefjum sem sýna útgáfu eru 65% komnir í nýjustu öryggisútgáfu, 16 dögum eftir að hún kom út. Next.js felur útgáfuna sína, svo samsvarandi tala fæst ekki fyrir JS-ramma-vefi.

Fyrri greinar okkar um sama efni: Hvað keyra íslenskir vefir á? Um helmingur sýnir merki um PHP og Staða íslenskra vefja 2026.

Hvað við mældum

Öryggishlutinn byggir á skönnuninni sem við keyrðum 22. október 2026 fyrir greinina um PHP: ein venjuleg beiðni á forsíðu hvers vefs, sem les svarhausa og HTML og greinir vefumsjónarkerfi. Ekkert annað er sótt, engar árásartilraunir eru gerðar og vefir eru ekki nafngreindir.

Við berum saman þrjá hópa vefja á listanum okkar (1.275 vefir sem svöruðu eðlilega, eftir að við slepptum þremur sem við smíðuðum sjálf):

• WordPress. 536 vefir.
• JS-rammar, „nútímalegur stafli“. 153 vefir: 106 í Next.js, 32 smíðaðir í Vite, 8 í Nuxt, 5 í Astro og 2 í Gatsby.
• Vefsmiðir (Wix, Squarespace, Shopify o.fl.). 178 vefir. Þar mældum við öryggishausa til viðmiðunar en ekki hraða.

Hraðann mældum við með PageSpeed Insights frá Google, sem keyrir Lighthouse-próf fyrir farsíma. Prófið var keyrt á 457 vefjum: 150 WordPress-vefjum sem voru dregnir af handahófi úr listanum okkar og öllum 153 JS-ramma-vefjunum á honum, auk allra 117 WordPress-vefja og allra 37 JS-ramma-vefja úr handahófsúrtakinu úr 1819.is. Ein keyrsla á hvern vef. Mælt er frá netþjónum Google, ekki frá Íslandi, svo tölurnar eru samanburður en ekki það sem gestur í Reykjavík upplifir. Við skráðum líka mælingar frá raunverulegum notendum þar sem Google á þær.

Litljómi smíðar vefi í Next.js og hefur því hag af niðurstöðunni. Þess vegna festum við aðferðina áður en mæling hófst, tókum eigin vefi út og birtum líka þær mælingar þar sem WordPress kemur betur út.

Öryggi: hýsingin skiptir miklu

WordPress-vefir senda mun færri öryggishausa en vefir í JS-römmum, og stór hluti munarins tengist hýsingunni. Öryggishausar eru stillingar sem vefþjónn sendir með hverri síðu og biðja vafrann um að beita vörnum, til dæmis að nota alltaf dulkóðaða tengingu (HSTS). Þeir segja ekki hvort vefur sé berskjaldaður: vefur án þeirra getur verið vel varinn og vefur með þá óuppfærður.

• Hýsingin skiptir miklu. Allir 92 JS-ramma-vefirnir sem eru á Vercel eða Netlify senda HSTS og enginn þeirra er án allra sex hausanna. Af 61 JS-ramma-vef annars staðar sendir 56% (34) HSTS og þriðjungur (20) engan hausanna. Bilið við WordPress (22%) minnkar því úr 60 prósentustigum í 34 en hverfur ekki.
• Vefsmiðir stilla suma hausana sjálfir. 97% senda HSTS og 87% X-Content-Type-Options, en enginn þeirra sendir Referrer-Policy eða Permissions-Policy.
• WordPress fær litla hjálp. Aðeins 22% senda HSTS. Vefir á bak við Cloudflare standa betur en þó ekki vel: 29% (30 af 105) senda HSTS á móti 20% (87 af 430) hjá þeim sem sýna engin merki um CDN.
• Content-Security-Policy er sjaldgæfur alls staðar. Hann takmarkar hvaðan síða má hlaða skriftum og er sterk vörn gegn innspýtingu í vafra, en aðeins 5% WordPress-vefja, 22% JS-ramma-vefja og 8% vefsmiða senda hann.

Í handahófsúrtakinu úr 1819.is er myndin sú sama: 51% WordPress-vefja (60 af 117) senda engan hausanna sex, á móti 5% JS-ramma-vefja (2 af 37).

Útgáfur og uppfærslur

Aðeins WordPress-megin er hægt að mæla hvort uppfærslur hafa skilað sér, því Next.js birtir ekki útgáfu sína. Tölurnar eiga við listann okkar.

• Kjarni. WordPress birtir útgáfuna á 72% vefja (387 af 536). Af þeim eru 65% (251) komnir í 7.1.3, öryggisútgáfuna sem kom út 6. október, 16 dögum fyrr. Hinir eru ekki endilega óvarðir: öryggislagfæringar eru bakfærðar í eldri greinar og vefir með sjálfvirkar uppfærslur uppfæra sig sjálfir.
• Viðbætur. Þær eru fleiri hlutar sem þarf að uppfæra: 30% WordPress-vefja nota Elementor og 14% WooCommerce. Af vefjum sem sýna útgáfu viðbótarinnar eru 50% (73 af 147) á nýjustu útgáfu Elementor (4.3.5, um viku gamalli) og 43% (30 af 70) á nýjustu útgáfu WooCommerce (11.2.1 frá 9. október).
• PHP. 32% WordPress-vefja (169 af 536) birta PHP-útgáfuna. Lagfæringar PHP frá 21. október eru efni greinarinnar Hvað keyra íslenskir vefir á?
• Next.js. Í ágúst 2026 voru birtir tveir alvarlegir veikleikar í Next.js þar sem óauðkenndur aðili gat keyrt kóða á þjóninum: annar í myndvinnsluþjónustu rammans (AVIF-skrár), hinn á Windows-þjónum. Þeir voru lagfærðir í 15.5.24 og 16.3.3 (Netlify, 25. ágúst 2026 (opnast í nýjum glugga)). 35% JS-ramma-vefja senda hausinn X-Powered-By, í 50 tilvikum af 53 með „Next.js“ en án útgáfunúmers, svo við sjáum ekki hversu margir keyra ólagfærða útgáfu.

Munurinn liggur ekki í því hvort kerfið hefur veikleika, heldur í því hversu margir hlutar þurfa viðhald og hver sér um það. WordPress-vefur hefur kjarna, viðbætur, þema, PHP og hýsingu; JS-vefur hefur ramma, pakka og hýsingu. Hvorugur er viðhaldsfrír.

Hraði

Í Lighthouse-prófi fyrir farsíma skora WordPress-vefir lægra en vefir í JS-römmum á listanum okkar (miðgildi 61 á móti 69), en bilið innan hvors hóps er miklu stærra en munurinn á milli þeirra: fjórðungsmörkin liggja 20 til 24 stigum í sundur en miðgildin 8. Lighthouse er próf frá Google sem hermir eftir meðalsíma á hægu 4G-neti og gefur einkunn frá 0 til 100.

• Mestur munur er í hleðslu. Stærsta efni síðunnar birtist 2,6 sekúndum seinna hjá miðgildisvef í WordPress, hann sendir 20 fleiri beiðnir og er 0,9 MB þyngri.
• WordPress kemur betur út í lokunartíma. Miðgildið er 54 ms á móti 92 ms, þótt bilið sé innan skekkjumarka. Líklega er skýringin sú að JS-rammar keyra meira JavaScript í vafranum.
• Útlitstilfærsla (CLS) er nánast engin hjá báðum hópum. Miðgildin eru 0,001 hjá WordPress og 0,000 hjá JS-römmum.
• Fáir ná viðmiðum. Einkunn 90 eða hærri fengu 8% WordPress-vefja (11 af 142) og 13% JS-ramma-vefja (20 af 151). Stærsta efni birtist á 2,5 sekúndum eða skemur hjá 4% og 7% vefja. Prófið er strangt, en hvorugur hópurinn er hraður að jafnaði.

Handahófsúrtakið úr 1819.is sýnir sömu stefnu en ekki skýran mun: miðgildi 62 á móti 69 (bil fyrir muninn −15 til +6), og aðeins 37 JS-ramma-vefir eru í því. Ef Next.js er borið eitt saman við WordPress er myndin ekki sú sama í báðum úrtökum: á listanum okkar munar um 10 stigum (61 á móti 72, bil −16 til −4), en í handahófsúrtakinu er munurinn tvö stig í hina áttina (62 á móti 60, bil −10 til +10).

Hjá vefjum sem Google á notendagögn um (frá raunverulegum gestum í Chrome) er myndin óljósari og snýr ekki alltaf í sömu átt. Á listanum okkar náðu 26 af 37 WordPress-vefjum (70%) og 57 af 68 JS-ramma-vefjum (84%) viðmiði Google um stærsta efni birt (2,5 sekúndur eða skemur), en í handahófsúrtakinu 31 af 38 (82%) og 18 af 23 (78%). Öryggisbilin skarast í báðum úrtökum. Svörun við smellum (INP) kemur WordPress betur út á listanum okkar: allir 31 vefirnir sem Google á gögn um ná viðmiðinu (200 ms) á móti 53 af 59 JS-ramma-vefjum, en í handahófsúrtakinu er munurinn lítill (33 af 34 á móti 17 af 19).

Þetta eru fjölsóttari vefir en gengur og gerist og lýsa því ekki öllum vefjum, en þeir benda til þess að upplifun gesta sé betri en hermda prófið gefur til kynna. Notendagögnin og INP-samanburðurinn voru ekki hluti af upphaflegri áætlun; við bættum þeim við eftir að fyrstu niðurstöður lágu fyrir.

Elementor skýrir ekki muninn: WordPress-vefir með Elementor fá miðgildið 61 en þeir án hans 62 (litlir hópar, skoðað til hliðar).

Alþjóðleg gögn benda í sömu átt og listinn okkar: í Web Almanac 2025 (opnast í nýjum glugga) stóðust 45% WordPress-vefja í heiminum Core Web Vitals á farsíma, á móti 74% Wix-vefja og 85% Duda-vefja. Kaflinn ber þá ekki saman við Next.js.

Fyrirvarar

• Þetta er samanburður á hópum sem eru til, ekki tilraun. JS-ramma-vefirnir eru oftast nýrri og á annarri hýsingu, svo við getum ekki sagt hvað tæknin sjálf veldur.
• Úrtökin eru ekki allir íslenskir vefir. Um helmingur fyrirtækjanna á listanum okkar er í ferðaþjónustu og handahófsúrtakið úr 1819.is nær aðeins fyrirtækjum sem skrá vefsíðu. Hlutföllin eiga við hvort úrtak fyrir sig og eru ekki lögð saman. Lögmannsstofur voru ekki mældar fyrir hraða, því JS-ramma-hópurinn varð of lítill þegar eigin vefir okkar voru teknir út.
• Hraðamælingin er ein keyrsla á hvern vef. Hún er gerð frá netþjónum Google í hermdum farsímaskilyrðum. Einkunn getur sveiflast um nokkur stig milli keyrslna og er ekki upplifun gests í Reykjavík, svo við byggjum á miðgildum hópa en ekki einstökum vefjum.
• PageSpeed gat ekki mælt 15 af 457 vefjum. Þeir voru 13 WordPress-vefir og 2 JS-ramma-vefir (5% WordPress-vefja á móti 1% JS-ramma-vefja á listanum okkar). Þeir eru ekki í tölunum og við skiptum þeim ekki út.
• Öryggishausar segja ekki til um veikleika. Við prófuðum engan vef, aðeins hvað forsíðan sendir. Útgáfur í HTML geta verið faldar, úreltar eða falsaðar og margir hýsingaraðilar uppfæra án þess að breyta þeim. Útgáfa Next.js er ekki sýnileg, svo samanburður á uppfærslum er aðeins mögulegur fyrir WordPress.
• Aðferðin var fest fyrirfram, nema notendagögnin, INP-samanburðurinn og samanburðurinn á pörum, sem bættust við eftir á og eru merkt þannig.

Tölurnar í daglegu lífi

Miðgildi og öryggisbil segja fæstum eitthvað. Þrjú dæmi sýna hvað tölurnar þýða í reynd.

Ferðamaðurinn á hostelinu. Ímyndaðu þér ferðamann á hosteli með slakt net að velja gistingu í símanum. Prófið okkar hermir eftir slíkum aðstæðum: meðalsíma á hægu 4G-neti. Þar sér gesturinn aðalefni síðunnar eftir um 9 sekúndur á miðgildisvef í WordPress og um 7 sekúndur á miðgildisvef í JS-ramma. Hvorug tala er hröð.

Ef þú berð saman tvo vefi af handahófi, einn úr hvorum hópi, fær WordPress-vefurinn hærri einkunn í um 40% tilvika (bil 34 til 47%). JS-vefurinn fær því oftar hærri einkunn, en alls ekki alltaf. Í handahófsúrtakinu úr 1819.is er hlutfallið 45% (bil 33 til 57%) og 50% er innan bilsins, svo þar sést enginn skýr munur. Þessi samanburður á pörum var ekki hluti af upphaflegri áætlun.

Bílainnköllunin. Þegar framleiðandi innkallar bíl sendir hann lagfæringuna, en einhver þarf að koma með bílinn á verkstæði. Öryggisútgáfa WordPress 7.1.3 kom út 6. október og 16 dögum síðar sýndu 65% þeirra WordPress-vefja sem gefa upp útgáfu sína 7.1.3. Hinir eru ekki endilega óvarðir, því lagfæringar eru líka gefnar út fyrir eldri útgáfulínur, en einhver þarf samt að hafa sett þær upp. Spurningin er hver sér um þjónustuskoðunina. WordPress-vefur hefur fleiri hluta sem þarf að skoða (kjarna, viðbætur, þema, PHP og hýsingu), og hjá Next.js getum við ekki lesið útgáfuna af forsíðunni, svo við vitum ekki hversu margir hafa sett upp lagfæringarnar frá því í ágúst.

Leigusalinn sem lætur lásana fylgja. Í sumum leiguíbúðum fylgja lásar og reykskynjarar með, í öðrum þarf leigjandinn að sjá um þá sjálfur. Öryggishausar eru svipaðir: þeir eru húsreglur sem vefþjónninn sendir vafranum með hverri síðu, til dæmis „tengstu mér alltaf með dulkóðaðri tengingu“. Allir 92 JS-ramma-vefirnir sem eru á Vercel eða Netlify senda þá reglu, líklega vegna þess að hýsingin setur hana sjálfkrafa. Á annarri hýsingu gera 56% JS-ramma-vefja það (34 af 61) og 22% WordPress-vefja. Vefur án húsreglna er ekki sjálfkrafa óvarinn, en reglurnar eru einföld viðbótarvörn og hýsingin skýrir stóran hluta munarins, þó ekki allan.

Hvað tölurnar þýða í raun

Ef þú rekur fyrirtæki með WordPress-vef, þýða tölurnar fimm hluti:

1. Skiptu ekki um kerfi vegna hraða eingöngu. Munurinn á miðgildum er 8 stig en bilið innan hópanna 20 til 24. Miðgildisvefur í báðum hópum er 2 til 3 MB og sendir 49 til 70 beiðnir; að létta hann er fyrsta verkið, hvaða kerfi sem er notað.
2. Biddu vefsmiðinn eða hýsinguna um öryggishausana, hvaða kerfi sem þú notar. HSTS og X-Content-Type-Options eru nokkrar línur í stillingum hýsingar eða Cloudflare. 61% WordPress-vefja senda engan af sex algengum hausum, en vefsmiðir og hýsing á borð við Vercel og Netlify setja hluta þeirra sjálfkrafa.
3. Spyrðu hver sér um uppfærslur. WordPress-vefur hefur kjarna, viðbætur, þema, PHP og hýsingu. 16 dögum eftir öryggisútgáfu WordPress voru 65% vefja sem sýna útgáfu komnir í hana og helmingur þeirra Elementor-vefja sem sýna útgáfu ekki á nýjustu útgáfu viðbótarinnar. Sjálfvirkar uppfærslur og skýr ábyrgð í þjónustusamningi draga úr því.
4. JS-vefur er ekki viðhaldsfrír. Next.js fékk alvarlega veikleika í ágúst 2026 og vefur sem enginn uppfærir safnar veikleikum hvort sem hann er í WordPress eða Next.js. Oft eru færri hlutar sem þarf að viðhalda, en uppfærslur krefjast forritara.
5. Veldu eftir því hver breytir efninu. WordPress hentar þegar starfsfólk breytir efni daglega og viðbætur (bókanir, vefverslun) skipta máli. JS-rammi hentar þegar sérsmíðað útlit skiptir mestu máli og forritari sér um vefinn. Þetta er okkar mat, ekki niðurstaða mælinganna.

Spurningin „WordPress eða nútímalegur stafli?“ skiptir því minna máli en „hver sér um vefinn eftir að hann fer í loftið?“. Gögnin benda til þess að hýsing, viðhald og vinnubrögð skipti miklu máli, ekki aðeins heitið á kerfinu.

Heimildir

Síður opnaðar 22. október 2026.

• WordPress.org: útgáfutilkynning fyrir WordPress 7.1.3 (opnast í nýjum glugga)
• Netlify: Next.js security vulnerabilities, 25. ágúst 2026 (opnast í nýjum glugga)
• HTTP Archive: Web Almanac 2025, CMS-kaflinn (opnast í nýjum glugga)
• Elementor á wordpress.org (opnast í nýjum glugga), nýjasta útgáfa 4.3.5
• WooCommerce á wordpress.org (opnast í nýjum glugga), nýjasta útgáfa 11.2.1

Öryggis-, útgáfu- og hraðatölur eru úr eigin mælingum Litljóma 22. október 2026. Aðferðin og úrtökin eru nánar útskýrð í greinunum Hvað keyra íslenskir vefir á? Um helmingur sýnir merki um PHP og Staða íslenskra vefja 2026.