WordPress ekosystém

Aktualizace (WP)

Pravidelné aktualizace WordPressu, pluginů a šablon – zanedbání vede k bezpečnostním rizikům

(Update)

Co je aktualizace ve WordPressu

Aktualizace ve WordPressu je nasazení novější verze jádra, pluginu nebo šablony. Menší opravné verze jádra se ve výchozím nastavení instalují samy, o zbytek se musí někdo starat, protože pluginy a šablony pocházejí od stovek různých autorů s různou pečlivostí.

Odkládat je dražší, než to vypadá

Zranitelnosti pluginů se zveřejňují. Jakmile je oprava venku, ví se i to, co opravovala, a weby se starou verzí se stávají terčem plošného skenování. Nejde o cílený útok na konkrétní firmu, boti projíždějí internet a hledají známou díru na tisících adres najednou. Web, který se rok neaktualizoval, není v bezpečí proto, že si ho nikdo nevšiml. Zatím.

Klikat na Aktualizovat rovnou na produkci se ale taky nevyplácí

Druhý extrém je hromadná aktualizace patnácti pluginů v pondělí ráno na živém e-shopu. Konflikt verzí umí rozhodit objednávkový proces nebo shodit web do bílé stránky a vy pak hledáte, který z těch patnácti to způsobil. Pořadí, které tomu předchází, je nudné a funguje: čerstvá záloha, zkouška na stagingu, teprve potom produkce. U větších balíků po částech, ať je poznat, co co udělalo.

Aktualizace a ztracené měření

Aktualizace WordPressu nespravuju, ale narážím na ně z druhé strany. Po aktualizaci pluginu nebo šablony se občas ztratí měřicí kód nebo se rozsype datová vrstva a v analytice to vypadá jako tichý propad konverzí, kterému nikdo nerozumí. Takže když vím, že se na webu chystá větší update, domluvím si kontrolu měření hned po nasazení. Levnější než dohledávat čtrnáct dní zpětně, kde se konverze poděly.

Časté otázky

Jak často se má WordPress aktualizovat?

Bezpečnostní aktualizace jádra a pluginů co nejdřív po vydání, ostatní v pravidelném rytmu, na kterém se domluvíte se správcem webu. Rok stará instalace je riziko bez ohledu na to, jak dobře web navenek vypadá.

Můžu si zapnout automatické aktualizace na všechno?

U jádra to zapnuté bývá a dává to smysl. U pluginů a šablon je automatika sázka: ušetří práci, ale výsledek nikdo nezkontroluje a rozbitého webu si všimnete až ze statistik nebo od naštvaného zákazníka.

Co dělat, když web po aktualizaci přestal fungovat?

Vrátit se k záloze, pokud existuje. Když ne, dá se přes SFTP přejmenovat složka podezřelého pluginu, čímž se plugin vypne, a web se obvykle rozjede zpátky.