Dlaczego w ogóle aktualizować
Gdy w popularnej wtyczce zostaje wykryta luka bezpieczeństwa, autor wydaje poprawkę, a informacja o luce staje się publiczna. Od tej chwili automatyczne skanery w całym internecie szukają stron, które poprawki jeszcze nie zainstalowały. Nie trzeba być ważnym celem, wystarczy być na liście wyników.
Aktualizacje to jednak nie tylko bezpieczeństwo:
- zgodność: nowe wersje PHP, przeglądarek i samego WordPressa wymagają aktualnych wtyczek,
- wydajność: kolejne wersje często działają szybciej i zużywają mniej zasobów,
- poprawki błędów: część irytujących problemów znika po prostu po aktualizacji.
Co trzeba aktualizować
- Rdzeń WordPressa: drobne wydania poprawkowe instalują się zwykle automatycznie, większe wersje trzeba uruchomić samodzielnie.
- Wtyczki: to najczęstsze źródło luk, bo jest ich dużo i pisze je wielu różnych autorów.
- Motyw (i motyw nadrzędny, jeśli korzystasz z motywu potomnego).
- Wersja PHP na serwerze: ustawiana w panelu hostingu. Stare wersje przestają dostawać poprawki bezpieczeństwa.
- Tłumaczenia: mało ryzykowne, ale też warto je instalować.
Uwaga na porzucone wtyczki. Jeśli wtyczka nie była aktualizowana od dawna albo zniknęła z oficjalnego katalogu, nie dostanie już poprawek. Warto ją zastąpić czymś utrzymywanym albo zrobić daną funkcję w kodzie motywu.
Co może pójść nie tak
Aktualizacja zmienia kod, więc czasem coś przestaje do siebie pasować: wtyczka nie współpracuje z nowym motywem, zmienia się wygląd formularza albo strona wyświetla błąd krytyczny. Ryzyko rośnie, gdy:
- aktualizacje odkładano miesiącami i trzeba przeskoczyć kilka wersji naraz,
- strona korzysta z wielu wtyczek, zwłaszcza rozbudowanych page builderów,
- w motywie lub wtyczkach ktoś kiedyś „na szybko” zmienił kod bezpośrednio w plikach. Aktualizacja takie zmiany nadpisze.
Dlatego nie aktualizować nie jest rozwiązaniem. Rozwiązaniem jest aktualizować regularnie i według sprawdzonej procedury.
Bezpieczna procedura krok po kroku
- Zrób świeżą kopię zapasową plików i bazy danych. Szczegóły w artykule o kopiach zapasowych.
- Przeczytaj listę zmian przy większych aktualizacjach. Jeśli autor pisze o zmianach niezgodnych wstecz, przygotuj się na testy.
- Najpierw sprawdź na kopii testowej (tzw. staging), zwłaszcza w sklepie i przy dużych wersjach. Wiele hostingów pozwala ją utworzyć jednym kliknięciem.
- Aktualizuj po kolei, a nie wszystko naraz. Jeśli coś się zepsuje, od razu wiesz, co jest przyczyną.
- Przetestuj najważniejsze ścieżki: stronę główną, formularz kontaktowy, logowanie, a w sklepie dodanie do koszyka i złożenie zamówienia.
- Obserwuj stronę przez kolejne godziny: logi błędów, maile od klientów, zamówienia.
Jak często
- Poprawki bezpieczeństwa: jak najszybciej, najlepiej w ciągu kilku dni od wydania, a przy krytycznych lukach od razu.
- Pozostałe aktualizacje: regularnie, np. raz na tydzień lub dwa. Małe, częste kroki są bezpieczniejsze niż jedna wielka aktualizacja raz na pół roku.
Automatyczne aktualizacje wtyczek mają sens przy prostych stronach i sprawdzonych, popularnych wtyczkach. W sklepie lub przy niestandardowym kodzie lepiej, żeby ktoś kontrolował każdą zmianę.
Lista kontrolna
- Wiem, kto i jak często aktualizuje moją stronę.
- Przed każdą aktualizacją powstaje kopia zapasowa.
- Mam środowisko testowe albo przynajmniej plan, jak szybko wrócić do poprzedniej wersji.
- Na stronie nie ma porzuconych ani nieużywanych wtyczek.
- Serwer korzysta ze wspieranej wersji PHP.
- Nie korzystam z „darmowych” wersji płatnych wtyczek i motywów z nieoficjalnych źródeł.
- Po aktualizacji sprawdzam formularze, logowanie i (w sklepie) proces zamówienia.
