Någon har kopierat din webbutik. Så upptäcker du det och så anmäler du 2026

För nio år sedan grävde jag i afrikanska piratsajter som kopierade svenska webbutiker rakt av. Det blev en artikel på Ehandel.se och en hel del jobb med att få bort dessa kopior för kunderna. I somras dök det upp igen hos en e-handlare vi jobbar med, fast den här gången var det inte riktigt samma sak. Det är fortfarande stulet innehåll, men skadan har spridit sig och utöver din ranking så kan det också drabba dina kunders kortuppgifter.

Den här guiden går igenom hur du tar reda på om du är drabbad och exakt var du anmäler. Alla formulär är kontrollerade i september 2026.

Hållplatserna är följande:

1. Vad som förändrats sedan 2017
2. Så tar du reda på om du är drabbad
3. Samla bevis innan du anmäler
4. Anmäl i rätt ordning
5. Om ingen gör något
6. Fem saker du inte ska göra

1. Det här är inte bara samma problem som 2017

2017 handlade det om tunna kopior på gratisdomäner. Centralafrikanska republiken (.cf), Ekvatorialguinea (.gq), Gabon (.ga) och Tokelauöarna (.tk). Sajterna fylldes ofta på med annat innehåll och tjänade pengar på att skicka vidare besökare till reklam. Skadan var i huvudsak att dom tog dina placeringar.

Idag ser det annorlunda ut. Det vi tittade på i somras var en riktig .com-domän, köpt hos en registrar i Kina och registrerad bara några veckor innan vi hittade den. Bakom den låg en fullt fungerande WooCommerce-butik med kassa och kortbetalning. Allt innehåll var stulet från riktiga svenska e-handlare, och varenda produkt låg på exakt 50 procents rabatt räknat på originalbutikens pris. Det var ingen ren kopia designmässigt utan flera olika webbutikers produkter som var stulna rakt av, både med bilder och texter, blandat i en och samma butik.

Det gör att problemet blivit två problem. Du kan fortfarande tappa placeringar och det är ju fortfarande dåligt, men dina kunder kan sitta och knappa in kortnummer hos någon som använder dina bilder och dina priser som skyltfönster. Och det är kanske du som får telefonsamtalen när paketet aldrig kommer.

Så såg det ut i det fall vi grävde i

Ett par siffror som säger något om skalan, för det är lätt att tro att det handlar om en handfull sidor:

• 49 743 produktsidor totalt på piratsajten, enligt deras egen sitemap
• 1 673 av dom hade exakt samma URL-slug som en produktsida hos vår kund, alltså ungefär 12 procent av butikens hela sortiment
• Vi drog ett slumpmässigt stickprov på 60 av dom 1 673 och gick igenom varje sida manuellt. Samtliga 60 innehöll ordagrant kopierad produkttext
• Resten av sajten var stulen från andra svenska butiker. Vi hittade innehåll från minst tio olika varumärken i ett litet stickprov

Så det här är inte någon som suttit och klippt och klistrat. Det är automatiserat och det är storskaligt.

2. Så tar du reda på om du är drabbad

Det finns tre metoder och dom är olika bra. Börja med den enklaste men lita inte på den ensam.

Metod 1: Sök på en unik textsnutt

Det här var rådet 2017 och det är fortfarande rådet i stort sett överallt. Ta en mening som bara ska finnas hos dig, lägg den inom citationstecken och googla den. Får du bara träffar på din egen sajt är läget förmodligen lugnt.

Men metoden har blivit klart sämre. Många scrapers kör numera texten genom en språkmodell och skriver om den lite, och då hittar du ingenting även om bilderna och strukturen är stulna. Plus att du måste råka välja rätt mening. I det fall vi tittade på fanns texten kvar ordagrant, men det kan man inte räkna med.

Bonustips: testa med en mening ur dina köpevillkor eller din returpolicy och en produkttext. Dom sidorna kopieras ofta rakt av och dom bryr sig inte alltid om att skriva om dom.

Metod 2: Jämför sitemaps (den som faktiskt funkar)

Det här är metoden jag skulle använda om jag bara fick välja en. Den bygger på att scrapers nästan alltid behåller din URL-struktur, för det är enklast så. Och den funkar även om texten är omskriven.

Gör så här:

1. Hämta din egen sitemap. Den ligger oftast på dindoman.se/sitemap.xml eller sitemap_index.xml. Står den inte där hittar du adressen längst ner i din robots.txt.
2. Hämta den misstänkta sajtens sitemap på samma sätt. Ligger sortimentet på flera filer får du ta dom en och en.
3. Klistra in bägge listorna i Excel eller Google Sheets, en URL per rad. Dina URL:er i kolumn A, deras i kolumn C. Eller kör dom i valfri AI så slipper du steg 4 och 5.
4. Plocka ut sista biten av varje URL, alltså sluggen. I B2 kan du köra =TEXTEFTER(A2;"/";-2) och dra ner. Har du en äldre Excel får du använda en variant med SÖK och EXTEXT istället.
5. Räkna träffarna. I E2 skriver du =ANTAL.OM($B$2:$B$99999;D2) och drar ner. Allt som ger 1 eller mer är en sida där dom använder exakt samma slug som du.

Får du noll träffar är det ett riktigt bra tecken. Får du hundratals vet du både att du är drabbad och exakt hur illa det är, och den siffran är guld värd när du sedan anmäler.

Jag kan tycka att det är lite märkligt att ingen skriver om det här, för det tar en halvtimme och det ger dig ett svar som faktiskt går att stå för.

Metod 3: Kolla bilderna

Det här är det starkaste beviset du kan få fram, och det är också det som gör att en anmälan går igenom snabbt.

Öppna en av deras produktsidor, högerklicka på produktbilden och välj “Öppna bild i ny flik”. Titta på filnamnet. Väldigt ofta har dom behållit ditt interna bildnummer, eftersom deras script bara laddade ner filen och lade upp den igen. I vårt fall hette originalet typ 0096754.png hos kunden och kopian hette 0096754-1.webp hos piratsajten. Det numret betyder ingenting i deras system. Det är vår kunds egen katalognumrering.

Ladda sedan ner bägge bilderna och jämför dom:

• Måtten. Högerklicka och kolla egenskaper. Är bredd och höjd identiska på pixeln är det knappast en slump.
• Motivet. Lägg dom bredvid varandra. Är det samma vinkel, samma ljus, samma skuggor, ja då är det sannolikt din bild.
• Filformatet. Är din en PNG och deras en WebP i exakt samma mått, då har någon konverterat din fil.

Vi körde dessutom en så kallad perceptuell hash på bilderna, alltså ett sätt att räkna fram ett fingeravtryck av hur en bild ser ut. Skillnaden mellan originalet och kopian var noll av 256 möjliga. Det betyder pixel för pixel samma bild. Det behöver du inte göra själv för att anmäla, men om du eller din byrå kan det så är det det svåraste beviset att argumentera bort.

3. Samla bevis innan du anmäler

Det här steget hoppar folk över och det är synd, för när du anmäler får sajtägaren i dom flesta fall veta om det. Då börjar sidor försvinna, och plötsligt står din anmälan utan underlag.

Gör så här, och gör det innan du rör ett enda formulär:

• Arkivera sidorna. Gå till web.archive.org och spara dom viktigaste URL:erna. Då finns det en oberoende tidsstämpel som inte försvinner även om sajten gör det.
• Skärmdumpa med URL:en synlig. Hela webbläsarfönstret, inte bara innehållet. Ta även sidan hos dig själv i samma veva.
• Spara sidorna som HTML. Ctrl+S räcker gott.
• Ladda ner bilderna från bägge sajterna och spara dom med tydliga filnamn.
• Skriv ner datum och tid för när du gjorde allt det här.

Och tipsa dom inte. Skriv inte till dom, kommentera inte, mejla dom inte och be dom ta bort det. Det enda du åstadkommer är att dom hinner städa innan någon annan hinner titta.

4. Anmäl i rätt ordning

Ordningen spelar roll. Börja med det som skyddar dina kunder och som inte varnar motparten, och ta upphovsrättsanmälningarna sedan.

4.1 Google Säker webbsökning

Det här är den snabbaste vägen att faktiskt skydda folk, och den kräver varken inloggning eller underskrift. Går den igenom får besökare en röd varningssida i Chrome, Firefox och Safari. Den varnar heller inte sajtägaren om att du gjort något.

Formuläret ligger på safebrowsing.google.com/safebrowsing/report_phish/ och det är på svenska. Fälten är:

• Rapporttyp, där du väljer “Den här sidan är inte säker”
• Hottyp och Hotkategori, två rullgardiner
• Webbadress som ska rapporteras
• Ytterligare uppgifter, och här får du bara 800 tecken. Skriv därför kort och konkret: att sortimentet är stulet från din butik, att bilderna är dina, att det inte finns företagsnamn eller organisationsnummer på sajten, och att den tar emot kortbetalningar.

Peka på kassasidan, inte på startsidan. Kolla också statusen efteråt via Googles insynsrapport.

4.2 Microsoft

Samma sak fast för Bing, formuläret ligger på microsoft.com/en-us/wdsi/support/report-unsafe-site.

Fyll i adressen, välj Phishing (beskrivningen där passar precis: sajten utger sig för att vara någon annan för att samla in uppgifter), och kom ihåg att byta språkrullgardinen från English till Swedish. Den står på engelska som standard. Sedan en captcha och skicka.

4.3 Cloudflare

Nästan alla dom här sajterna ligger bakom Cloudflare, och 2017 var det den kanal som gav snabbast resultat. Det gäller fortfarande. Formuläret ligger på abuse.cloudflare.com och du kan inte mejla dom istället, du blir bara skickad tillbaka till formuläret.

Du får välja mellan åtta kategorier:

• Copyright Infringement & DMCA Violations
• Trademark Infringement
• Child Sexual Abuse Material (CSAM)
• Non-Consensual Sexually Explicit Imagery (NCSEI)
• Violent Threats and Harassment
• Phishing & Malware
• General
• WHOIS Request or Report

Gör två separata anmälningar, en under Phishing & Malware för bluffbutiken och en under Copyright för dina bilder och texter. Dom hanteras i olika flöden och att blanda ihop dom hjälper ingen.

En detalj som är värd att känna till: högst upp på sidan ligger en ruta där Cloudflare säger att anmälningar som skickas in från ett inloggat konto är lättare för dom att verifiera. Har du ett gratiskonto hos Cloudflare, logga in och skicka därifrån. Det kostar dig ingenting och kan ge dig snabbare hantering.

I DMCA-anmälan lägger du bildbeviset först. Filnamnet och dom identiska måtten är det som får en handläggare att fatta beslut på tre sekunder istället för att börja tveka.

4.4 Googles DMCA-formulär för sökresultat

Det här tar bort sidorna ur Googles sökresultat. Innehållet ligger kvar på sajten, men trafiken till den stryps. Formuläret ligger på reportcontent.google.com/forms/dmca_search och du behöver vara inloggad med ett Google-konto.

Några saker som är bra att veta innan du sätter igång:

• Du fyller i förnamn och efternamn högst upp, och sedan skriver du under längst ner. Signaturen måste stämma exakt med det du skrev överst, annars går formuläret inte att skicka.
• Du får ange max 1000 rader både för dina egna original och för dom intrångsgörande adresserna. Har du fler får du skicka flera anmälningar.
• Handlar det om flera olika verk klickar du på “Lägg till en ny grupp” under textrutorna istället för att blanda ihop allt.
• Anmälan kan hamna hos Lumen. Google tar bort telefonnummer, adress och e-post, men ditt namn står oftast kvar. Fundera på om det ska vara du eller någon annan på företaget som skriver under.
• Google är tydliga med att du kan krävas på skadestånd om du felaktigt hävdar intrång. Så anmäl bara URL:er du faktiskt har kontrollerat. Kasta inte in hela listan från Excel utan att ha tittat på sidorna.

Skriv beskrivningen konkret. “Fotografierna av produkterna samt dom svenska produktbeskrivningarna, som är framtagna av oss” är bättre än “vårt innehåll”.

4.5 Registraren

Slå upp domänen på lookup.icann.org. Där ser du vilken registrar som sålt domänen, när den registrerades och vilken abuse-adress dom har.

Registreringsdatumet är ofta talande i sig. Är domänen tre månader gammal och har 50 000 produktsidor så har ingen byggt den för hand.

Mejla registrarens abuse-adress, beskriv läget kort och be om ett ärendenummer. Förvänta dig ärligt talat ingenting, särskilt inte från billiga registrarer i länder där dom inte behöver bry sig. Men gör det ändå, för utan det steget kommer du inte vidare till nästa.

4.6 Betalleverantörerna

Det här är den kanal nästan ingen använder och den som troligen biter hårdast. En bluffbutik som inte kan ta emot kortbetalningar är en död bluffbutik.

Så här tar du reda på vem som sköter deras kassa: gå till deras kassasida, högerklicka och välj “Visa sidkälla”, och sök efter wp-content/plugins. Namnen på betal-pluginen dyker oftast upp i klartext om det inte redan står tydligt på kassasidan. I vårt fall låg det ett halvdussin där, och ett av dom hade Stripe i namnet.

Hittar du en känd aktör, anmäl dit. Beskriv att butiken säljer under ditt sortiment med dina bilder, att den saknar företagsuppgifter och att du inte kan bekräfta om dom faktiskt levererar. Var noga med att inte påstå saker du inte kollat. Skriv “pluginet indikerar att ni används som inlösare, vi ber er verifiera det på er sida” istället för att slå fast det.

Samma sak gäller om dom påstår sig erbjuda Klarna eller Swish i sina köpevillkor utan att göra det. Det är missbruk av någon annans varumärke och den någon vill gärna veta om det.

5. Om ingen gör något

ICANN

Har registraren varit tyst i en vecka kan du gå vidare till ICANN. Formulären ligger på icann-nsp.my.site.com/compliance/s/ och det finns olika spår beroende på om det är registraren eller registryn du klagar på.

Fyra saker som är bra att veta innan du börjar, för dom stoppar folk halvvägs:

• Bara gTLD:er. ICANN hanterar .com, .net, .shop och liknande. Landsdomäner som .se ligger utanför och sådana ärenden stängs. För .se vänder du dig till Internetstiftelsen istället.
• Upphovsrätt räknas inte som DNS-missbruk. Kryssrutorna du får välja mellan är Malware, Botnets, Phishing, Pharming och Spam. En bluffbutik anmäler du alltså som Phishing, inte som upphovsrättsintrång. Väljer du fel spår blir ärendet stängt.
• Du måste bifoga bevis och du kommer inte vidare utan minst en fil. Dom tar emot csv, pdf, doc, docx, xls, xlsx och txt. Bilder går inte att ladda upp. Så lägg dina skärmdumpar i ett Word-dokument eller en PDF först. Max 4 MB per fil, max 10 filer, max 20 MB totalt per ärende.
• Du kan anmäla anonymt om du vill. Det finns en rullgardin för det, men då kan dom behöva stänga ärendet om det visar sig att dom måste lämna ut dina uppgifter för att komma vidare.

Du får ett ärendenummer direkt på sista sidan plus ett mejl. Spara det.

PTS och DSA

Sedan februari 2024 gäller EU:s förordning om digitala tjänster, DSA. Den innebär bland annat att plattformar och värdtjänster måste ha fungerande system för att ta emot anmälningar om olagligt innehåll. I Sverige är Post- och telestyrelsen nationell samordnare.

PTS kan inte plocka ner en sajt åt dig. Men om Cloudflare eller Google struntar i din anmälan kan du lämna ett klagomål på dsa.pts.se, och då vill dom se din korrespondens. Vilket är hela anledningen till att du ska spara varje kvittens och ärendenummer längs vägen.

Polisanmälan och Svensk Handel

Gör en polisanmälan. Det tar tio minuter, du får ett diarienummer och Svensk Handel har sagt att deras underlag faktiskt används av polis och åklagare.

Anmäl också sajten till Svensk Handel. En liten grej som är lätt att göra fel: Varningslistan är inte rätt kanal här, den handlar om bluffakturor mot företag. Använd appen Säkerhetscenter.

6. Fem saker du inte ska göra

1. Hör inte av dig till dom. Du får inget svar och du hinner bara varna dom.
2. Peta inte i din egen sajt i panik. Byt inte canonical, skriv inte om texterna, blockera inte i robots.txt. Google är i dom allra flesta fall fullt kapabel att avgöra vem som är originalet, och du riskerar att ställa till det för dig själv.
3. Disavowa dom inte. Det handlar inte om länkar och disavow-verktyget gör ingen nytta här.
4. Anmäl inte URL:er du inte tittat på. DMCA-intyget avges under ed och Google är tydliga med skadeståndsrisken.
5. Skriv inte om det offentligt förrän ärendet är avslutat. Bygger dom upp på en ny domän får du börja om.

Sammanfattning

Kolla först om du är drabbad genom att jämföra din sitemap med den misstänkta sajtens och genom att titta på bildernas filnamn. Samla bevis och arkivera innan du gör något annat. Anmäl sedan i ordningen Google Säker webbsökning, Microsoft, Cloudflare (två anmälningar), Googles DMCA-formulär, registraren och betalleverantören. Går det trögt finns ICANN och PTS som eskalering, och gör en polisanmälan oavsett.

Det som förändrats sedan 2017 är egentligen bara en sak, men det är en stor sak. Det handlar inte längre bara om din ranking utan om dina kunder.

Och det tråkiga är att det fortfarande tar tid och kraft av den som drabbats. Det har inte blivit ett dugg bättre på nio år.

Har du hittat en kopia av din butik och kört fast, hör gärna av dig. Vi hjälper e-handlare med sökmotoroptimering och Google Ads till vardags, men det här är precis en sån sak jag tycker är riktigt kul att gräva i. Har du dessutom hittat något jag missat i guiden så säg till, jag har garanterat fel om något.

Och det kan gå rätt fort, i det här fallet fick jag ner den sajten som kopierat kundens grejer på ett par timmar.

Vanliga frågor (FAQ)

Hur vet jag om min webbutik blivit kopierad?

Snabbaste kollen är att söka på en unik mening ur dina köpevillkor inom citationstecken på Google. Det säkraste sättet är att jämföra din sitemap med den misstänkta sajtens och räkna hur många URL-sluggar som är identiska, samt att titta på om produktbildernas filnamn innehåller din egen bildnumrering.

Var anmäler jag en kopierad sajt först?

Börja med Google Säker webbsökning på safebrowsing.google.com. Den kräver ingen inloggning, varnar inte sajtägaren och kan ge en röd varningssida i Chrome, Firefox och Safari inom kort. Först därefter tar du Cloudflare och DMCA-anmälningarna.

Hjälper en DMCA-anmälan till Google mot en kopierad webbutik?

Ja, men bara delvis. En godkänd DMCA-anmälan tar bort sidorna ur Googles sökresultat, vilket stryper trafiken. Innehållet ligger kvar på sajten. För att få bort själva sajten behöver du gå på Cloudflare, hostingbolaget och registraren.

Kan jag anmäla en .se-domän till ICANN?

Nej. ICANN hanterar generiska toppdomäner som .com och .net. Landsdomäner som .se ligger utanför deras uppdrag och sådana ärenden stängs. För .se vänder du dig till Internetstiftelsen.

Räknas stulet innehåll som DNS-missbruk hos ICANN?

Nej. ICANN:s definition av DNS-missbruk omfattar malware, botnets, phishing, pharming och spam. En bluffbutik som samlar in kortuppgifter anmäler du därför som phishing, inte som upphovsrättsintrång.

Blir mitt namn offentligt om jag skickar en DMCA-anmälan?

Ofta ja. Google kan skicka anmälan vidare till forskningsprojektet Lumen, som tar bort telefonnummer, adress och e-post men i dom flesta fall låter namnet stå kvar. Cloudflare vidarebefordrar dessutom anmälan till sajtägaren. Använd företagsadress och en rollbaserad e-postadress.

Ska jag ändra något på min egen sajt om jag blivit kopierad?

I dom allra flesta fall nej. Google klarar oftast av att avgöra vilken sajt som är originalet, och panikåtgärder som ändrade canonical-taggar eller omskrivna texter riskerar att skada dig själv mer än kopian. Håll istället koll på dina placeringar i Search Console under tiden ärendet pågår.

Hur lång tid tar det att få ner en kopierad sajt?

Det varierar rejält. Cloudflare brukade svara på några timmar och gör ofta det fortfarande, medan Googles DMCA-hantering kan ta veckor. Registrarer i vissa länder svarar aldrig. Räkna med att du behöver jobba flera kanaler parallellt istället för att vänta in en av dom.