Vad som faktiskt händer när licensen på ditt WordPress-tillägg går ut

Den 5 september 2026 publicerade vi en genomgång av en kritisk, aktivt utnyttjad sårbarhet i Elementor Pro (CVE-2026-32475). Rådet var enkelt. Uppdatera till minst version 4.2.2 omedelbart. Det som inte stod i nyheten är att uppdateringen gäller Pro-versionen, alltså den betalda delen av verktyget. För den som har en utgången Elementor Pro-licens är "uppdatera omedelbart" inte längre ett råd man kan följa. Det går inte att ladda ner en säkerhetsuppdatering till en licens som inte längre är giltig.

Frågan här gäller exakt vad som händer den dag du slutar betala för ett tillägg du redan har installerat, inte plugins i allmänhet.

Licensen avgör inte om sajten fungerar. Den avgör om du kan ändra den.

En utgången licens på ett WordPress-tillägg stänger nästan aldrig av sajten. Besökarna märker i regel ingenting. Det som upphör är din förmåga att ändra, uppdatera eller utöka tillägget. Var den gränsen går skiljer sig kraftigt mellan leverantörer, och skillnaden handlar om fyra separata saker som lätt blandas ihop, nämligen om plugin-koden fortsätter fungera på webbplatsens framsida, om du kan hämta nya versioner, om just säkerhetsuppdateringar räknas som en egen kategori, och om du kommer åt tilläggets egna inställningssidor i wp-admin.

De flesta guider om automatiska uppdateringar i WordPress utgår från att uppdateringskanalen bara handlar om version och kompatibilitet. För betaltillägg är den bilden ofullständig. Uppdateringskanalen är i praktiken kopplad till en licensnyckel som WordPress kollar mot leverantörens server, och den kollen kan säga nej lika lätt som den säger ja.

Betalt skyddar inte längre än du betalar. Gratis gör.

Det är bara det betalda tillägget som kan sluta få säkerhetsuppdateringar. Ett gratistillägg från wordpress.org fortsätter uppdateras av sig självt, kostnadsfritt, så länge utvecklaren orkar underhålla det. Det finns ingen licensnyckel att glömma förnya, ingen betalning som kan utebli och därmed ingen mekanism som kan stänga av flödet av säkerhetsuppdateringar.

Ett betaltillägg har istället en inbyggd möjlighet att sluta skydda dig, nämligen den dag prenumerationen upphör. Priset avgör med andra ord inte om tillägget är skyddat. Det avgör bara när skyddet riskerar att upphöra, och det datumet bestäms av en faktura, inte av hur allvarlig nästa sårbarhet råkar bli.

Fem leverantörer, fem gränser

Vi har läst igenom fem stora leverantörers egen dokumentation och egna villkor, hämtade och verifierade den 7 september 2026. "Licensen har gått ut" betyder fem olika saker beroende på vem som skrivit villkoren.

Envato låter supporten ta slut, inte uppdateringarna

Den mildaste modellen hittar vi hos Envato och ThemeForest, där teman och tillägg säljs som engångsköp snarare än prenumeration. I Envatos supportpolicy står att "a supported item includes item support for 6 months from the purchase date." Det låter strängt tills man läser vidare. Under rubriken "What's included in all item purchases" listar samma policy nämligen "Updates to ensure the item works as described and is protected against major security concerns", alltså uppdateringar som inte villkoras av att supportperioden fortfarande löper. På hjälpsidan om objekt med och utan support uttrycker Envato samma sak rakare, med orden "Regardless of whether you have item support or not: If an author releases an update, it will be available for all previous buyers to download for free." Det är alltså hjälpen från säljaren som har ett bäst-före-datum, inte uppdateringarna. Har författaren släppt en ny version är den gratis att hämta oavsett hur länge sedan supportperioden gick ut.

WP Rocket lever vidare, molnfunktionerna gör det inte

WP Rocket skriver i sin egen dokumentation att "after the license expires, the WP Rocket will continue to operate normally, except for the cloud features that will stop working 15 days after license expiration." Optimeringen fortsätter alltså fungera på sajten. Det som dör efter femton dagar är molntjänsterna, medan nya uppdateringar och support kräver en aktiv licens precis som hos de flesta prenumerationsbaserade tillägg. Leverantören mejlar dessutom i förväg, "before your license expires, you will receive an email telling you that your license will soon expire."

ACF PRO skiljer mellan att redigera och att skapa

Advanced Custom Fields PRO har en nyans som är lätt att missa. Enligt deras egen FAQ gäller olika regler beroende på om du någonsin haft en aktiv licens på sajten. Har licensen tidigare varit aktiv och sedan löpt ut gäller att "you will not be able to create new PRO fields, but you will be able to edit existing PRO field definitions." Har licensen aldrig aktiverats alls på sajten är läget strängare, eftersom "until a valid license key has been activated for the site, it won't be possible to create new or edit existing PRO fields (Gallery, Repeater, Flexible Content, or Clone), or use the premium features such as Options Pages and ACF Blocks." Det är två helt olika lägen som råkar se likadana ut för den som bara ser en felmarkering i adminytan.

Elementor varnar självt för sin egen versionsglidning

Elementor är ovanligt tydliga i sin egen hjälpsida om vad som händer om du inte förnyar Pro-prenumerationen. "If you decide not to renew your subscription, you will no longer be able to update Elementor Pro or add Pro features to your site, and you may only have limited access to existing Pro features." Formuleringen "may only have limited access" är vag. Desto tydligare är vad som händer med gratisversionen, som "will continue to function and you are free to continue updating this version." Elementor säger sedan själva rent ut vart det kan leda, med orden "updating the free version of Elementor without updating the Pro version can lead to compatibility problems and cause issues with your site." Leverantören dokumenterar med andra ord själv den risk som CVE-2026-32475 illustrerade. Gratisdelen fortsätter uppdateras, Pro-delen fryser, och glappet mellan de två versionerna växer för varje uppdatering av kärnan.

MemberPress har den hårdaste modellen av de fem

MemberPress ligger i andra änden av skalan. Av deras egen dokumentation framgår att "you'll no longer receive updates to the MemberPress plugin, including security updates" efter att prenumerationen upphör, en formulering som gör MemberPress till det enda tillägget i vårt urval som uttryckligen säger att just säkerhetsuppdateringar upphör. Samtidigt låses adminytan, med orden "you won't have access to any of the MemberPress admin screens." Sajtens framsida fortsätter dock att fungera, "essentially, you can continue to use MemberPress on the front end of your site indefinitely when your subscription ends. However, you won't be able to access the plugin's admin screens or functions." Det finns också en respitperiod, en kort tid efter att abonnemanget löper ut då allt fortfarande fungerar fullt ut, innan låsningen slår till. Som de själva formulerar det, "there is also a grace period after your subscription expires where MemberPress will still function at its full capacity."

Villkoren innehåller dessutom en avgift kopplad till utgången licens. "If your MemberPress license is inactive or expired and you continue to use MemberPress to process transactions through a supported payment gateway, an additional transaction fee will apply." Vi har letat efter en procentsats för den avgiften i både hjälpsidorna och villkoren, utan att hitta någon. Prissidan anger bara 4,9 procent för deras Launch-plan, men det är en annan avgift som enligt MemberPress egen dokumentation gäller oavsett om licensen är aktiv eller utgången. Vad den specifika utgångsavgiften landar på går alltså inte att slå upp. Avgiften som slår till när du slutar betala står inte på prissidan.

Vad som upphör, leverantör för leverantör

Tabellen nedan sammanfattar de fem modellerna utifrån exakt det som citeras ovan. Den ska läsas som ett bevis på hur stora skillnaderna är, inte som ett facit att slå upp om ett halvår. Policyer ändras, och ett tillägg kan byta ägare eller affärsmodell utan förvarning.

Flera celler saknar uppgift, inte av slarv utan för att leverantörens egen dokumentation faktiskt inte specificerar detaljen. Det är precis den typen av lucka du själv behöver stänga genom att läsa villkoren för det tillägg du överväger, inte genom att lita på en tabell som denna.

Inte tyst, men låst

Ett återkommande missförstånd är att leverantörerna skulle stänga av allt utan förvarning. Så är det sällan. WP Rocket mejlar innan licensen går ut. MemberPress visar admin-notiser. ACF markerar status direkt på plugin-sidan i wp-admin. Problemet är i praktiken inte att varningen saknas, utan att den skickas till en adress som ingen längre läser.

Licensen på ett tillägg står ofta i namnet på den byrå eller utvecklare som byggde sajten från början, med förnyelsemejl som går till en inkorg webbplatsägaren aldrig fick tillgång till eller helt enkelt glömt bort. Det är därför en utgången licens oftare upptäcks i efterhand, när något plötsligt inte går att ändra, än att den ses gå ut i realtid. Den vanan är precis vad en rutinmässig plugin-audit är till för att bryta. Går man igenom sina installerade tillägg med jämna mellanrum upptäcker man licensstatus innan man behöver den, inte dagen efter att en kritisk sårbarhet publicerats.

Fyra klasser att sortera ett tillägg i innan du betalar

Innan du köper ett tillägg, försök placera det i en av fyra klasser utifrån vad som faktiskt händer om du slutar betala:

• Lokalt-statiskt. Tillägget kör helt lokalt utan molnberoende, och att sluta betala förändrar nästan ingenting förutom att du inte längre får nya versioner. Envato-modellen ligger nära det här, eftersom även uppdateringar fortsätter komma.
• Molnberoende. En specifik funktion är kopplad till leverantörens egen server och dör när molntjänsten stängs av, medan resten av tillägget fortsätter fungera. WP Rockets molnfunktioner efter 15 dagar är ett tydligt exempel.
• Säkerhetsexponerat. Uppdateringar, inklusive säkerhetsuppdateringar, upphör helt. Sajten fortsätter se ut och fungera som vanligt, men den slutar skyddas mot nya sårbarheter av det aktuella tillägget. Elementor Pro och MemberPress hamnar här.
• Adminlåst. Du låses helt eller delvis ute från tilläggets egna inställningssidor, vilket gör att du inte längre kan konfigurera om det, exportera data ur det eller felsöka det. MemberPress hamnar även här, med sin uttryckliga adminlåsning.

Bara den första klassen tål att man faktiskt slutar betala. Ett tillägg kan höra hemma i flera klasser samtidigt, vilket MemberPress är ett exempel på. Poängen med att göra klassificeringen före köp är att den flyttar frågan från "vad kostar det per år" till "vad förlorar jag den dag jag slutar betala", vilket är den mer relevanta frågan för ett tillägg som ska sitta i produktion i flera år.

En rättsfråga som ännu inte är avgjord

EU:s cyberresiliensakt, förordning (EU) 2024/2847, reser en fråga som ingen av leverantörerna ovan besvarar. Enligt artikel 13.8 ska tillverkare säkerställa en så kallad stödperiod på minst fem år, "om produkten med digitala element förväntas vara i bruk i mindre än fem år ska stödperioden motsvara den förväntade användningstiden." Artikel 13.9 kräver dessutom att säkerhetsuppdateringar som gjorts tillgängliga under stödperioden "förblir tillgänglig efter det att den har utfärdats i minst tio år eller under återstoden av stödperioden, beroende på vilken period som är längst." Bilaga I del II punkt 8 anger att säkerhetsuppdateringar ska spridas "utan dröjsmål och ... kostnadsfritt". Undantaget som förordningen skjuter in mitt i den meningen gäller bara skräddarsydda produkter där tillverkaren och en företagsanvändare uttryckligen kommit överens om något annat, alltså inte ett tillägg som säljs till vem som helst över disk.

Läs det bredvid en modell där säkerhetsuppdateringar uttryckligen upphör vid utgången licens, så uppstår en fråga värd att följa snarare än att besvara här. Vi vet inte om, eller hur, den typen av modell förhåller sig till kraven på kostnadsfria säkerhetsuppdateringar under en stödperiod. Vi går igenom cyberresiliensakten mer i detalj i en egen artikel, men kort sagt tillämpas förordningen från den 11 december 2027, och produkter som redan finns på marknaden dessförinnan omfattas bara om de därefter genomgår en väsentlig ändring. Läs själva förordningstexten hos EUR-Lex om du vill följa frågan.

Vad prislappen inte visar

De flesta licenser för betaltillägg prissätts i dollar eller euro, inte kronor. Det betyder att en treårskostnad rör sig med växelkursen även om leverantörens listpris står helt stilla. Engelskspråkiga guider tar sällan upp det, eftersom de sällan behöver bry sig om det.

Köper du en licens direkt från en leverantör utanför EU uppstår dessutom omvänd betalningsskyldighet för momsen, vilket i praktiken innebär att ditt företag själv redovisar och betalar momsen istället för att den läggs på fakturan. Det är en egen fråga som vi täcker på annat håll på sajten, men den påverkar jämförelsen mellan en amerikansk licens och ett svenskt alternativ.

Den svenska betallösningen ligger utanför licensfällan

En sak som sällan syns i internationella jämförelser är att den svenska betallösningen för WooCommerce inte kostar licenspengar. Både Klarna for WooCommerce och Kustom Checkout (som tidigare hette Klarna Checkout och sedan 2024 drivs av ett fristående bolag) ligger fritt tillgängliga på wordpress.org. En svensk WooCommerce-butik som byggt sin betalning på de här tilläggen har därför lägre licensexponering än vad en amerikansk guide, skriven med amerikanska betalplugins i åtanke, brukar förutsätta.

Webbhotellet kan redan ha köpt en del av licensen åt dig

Vissa managed WordPress-hotell bakar in premiumlicenser på populära tillägg i sitt eget abonnemang, vilket gör en del av licenskostnaden till en funktion av vilket webbhotell du valt snarare än ett separat inköp. Det påverkar den verkliga kostnaden för ett webbhotell över tid, eftersom två hotell med identiskt listpris kan skilja sig rejält i vad de faktiskt inkluderar. Vi går igenom vad managed WordPress-hosting brukar innefatta i en egen artikel, och samma resonemang gäller på vår facett för webbhotell anpassade för WordPress. Byter du hotell är det värt att kontrollera om en inbakad licens följer med flytten eller stannar kvar hos det gamla abonnemanget.

Nulled-kopior löser inte problemet, de förvärrar det

Det finns kopior av betaltillägg som cirkulerar utan giltig licens, ofta kallade nulled-versioner, och de löser inte uppdateringsproblemet den här artikeln handlar om utan förvärrar det. En nullad kopia får per definition inga officiella uppdateringar alls, säkerhetsuppdateringar inräknat, och har dessutom historiskt varit ett vanligt sätt att sprida skadlig kod inbakad i själva plugin-filen.

Läs villkoren innan du behöver dem

Den enskilt mest användbara vanan att ta med sig härifrån är inte att memorera tabellen ovan. Det är att göra samma sak vi gjorde för att skriva den, nämligen att slå upp leverantörens egen sida om vad som händer vid utgången licens innan man betalar, inte dagen efter att man upptäcker att man behöver uppdatera. Sidan finns nästan alltid, den brukar heta något i stil med "what happens if my license expires", och den är den enda källa som faktiskt uppdateras när leverantören ändrar sin policy. En tabell publicerad i september 2026 blir med nödvändighet något föråldrad. Leverantörens egen villkorssida blir aldrig det.