Posodobitve, varnostne kopije in vloge

Modul 6: Upravljanje in varnost · Čas branja: 11 minut

Učni cilj: Po tej lekciji boste znali posodobiti in varnostno kopirati trgovino WooCommerce, ne da bi izgubili naročila, ter razdeliti pravice tako, da lahko vsak naredi le to, kar je potrebno.

Ključni pojmi: velika in majhna posodobitev, posodobitev podatkovne zbirke, razširitve in združljivost, prepisi predlog (template overrides), zastarele predloge, varnostna kopija pred posodobitvijo, naročila med varnostno kopijo in obnovitvijo, tabele HPOS, vlogi Upravitelj trgovine (Shop manager) in Stranka (Customer), najmanjše potrebne pravice, prikaz različic, xmlrpc.php

Zakaj se trgovina razlikuje od običajnega spletnega mesta

V tečaju WordPress (lekcije 7.2, 8.1 in 8.2) je opisano, kako posodobite WordPress, kako izdelate varnostne kopije in kako jih obnovite. Pri trgovini vse to velja, z eno veliko razliko: podatkovna zbirka se spreminja ves dan. Vanjo se zapiše vsako naročilo, vsaka stranka, vsaka sprememba zaloge in vsako plačilo. Pri informativnem spletnem mestu z včerajšnjo varnostno kopijo izgubite kvečjemu en prispevek. Pri trgovini izgubite naročila, ki so že plačana.

Zato za to lekcijo veljata dve osnovni pravili:

1. Obnovitev je pri trgovini zadnji korak, ne prvi.
2. Posodabljajte po načrtu, ne »na hitro vmes v petek popoldne«.

Posodobitve WooCommerce

WooCommerce redno izdaja nove različice, vmes pa manjše popravke. Številka različice ima tri dele, na primer 11.2.2. Sprememba zadnje številke pomeni manjši popravek ali varnostno posodobitev; sprememba prve ali druge številke prinese nove funkcije in včasih spremembe, na katere se morajo prilagoditi razširitve ali Vaša tema.

Pri posodobitvi WooCommerce se zgodijo tri stvari, ki jih pri običajnem vtičniku vidite redkeje:

• Posodobitev podatkovne zbirke. Včasih mora WooCommerce prilagoditi tabele. V skrbništvu se takrat prikaže obvestilo, da se podatkovna zbirka posodablja; to poteka v ozadju prek načrtovanih dejanj (lekcija 7.3). Tega ne prekinjajte in pri WooCommerce > Stanje preverite, ali je končano.
• Razširitve morajo slediti. Plačilni vtičniki, povezave za pošiljanje in povezave z računovodstvom navajajo, do katere različice WooCommerce so preizkušeni. Na zaslonu vtičnikov se prikaže opozorilo, če razširitev novejše različice ne navaja. Pred posodobitvijo preberite seznam sprememb svojega plačilnega vtičnika: plačilni vtičnik, ki preneha delovati, pomeni trgovino, ki ne prodaja.
• Prepisi predlog. Številne teme imajo lastne kopije predlog WooCommerce (mapa woocommerce/ v temi). Če WooCommerce spremeni izvirnik, kopija zastari. Pri WooCommerce > Stanje (Stanje sistema) je spodaj pri temi navedeno, katere predloge prepisuje in katere so zastarele. Zastarelim predlogam lahko manjkajo nova polja ali pa povzročajo napake. Posodobite temo ali prosite njenega izdelovalca za posodobitev.

Majhne posodobitve (zadnja številka) po možnosti namestite hitro, najraje samodejno, ker pogosto odpravljajo varnostne napake. Velike posodobitve najprej preizkusite v testnem okolju (staging, lekcija 7.3), ob mirnem času in z varnostno kopijo, izdelano tik prej.

Varnostne kopije: kaj izgine ob obnovitvi

Primer. Theehuis Example vsako noč ob 03.00 izdela varnostno kopijo. V torek ob 10.00 skrbnik posodobi WooCommerce, nato pa stran izdelka prikaže napako. Med 03.00 in 10.00 je prispelo šest naročil, plačanih prek ponudnika plačil. Če zdaj obnovite varnostno kopijo od 03.00:

• teh šest naročil izgine iz podatkovne zbirke, čeprav je denar pri ponudniku;
• trgovina ne ve več, da je zaloga nižja;
• trgovina pozneje morda še prejme obvestila (webhooks) ponudnika o naročilih, ki jih ne pozna.

Zato:

• Izdelajte varnostno kopijo tik pred posodobitvijo, ne le ponoči. Tako je vrzel čim manjša.
• Ob obnovitvi si zapišite, katera naročila so prispela po varnostni kopiji (iz e-sporočil »Novo naročilo« in nadzorne plošče ponudnika) in jih nato ročno vnesite nazaj ali jih vnaprej izvozite.
• Po možnosti obnovite le datoteke (staro mapo vtičnika ali teme), če je težava v kodi, podatkovno zbirko pa pustite pri miru. Posodobitev lahko pogosto razveljavite tako, da namestite prejšnjo različico vtičnika; tečaj WordPress, lekcija 8.2, pokaže, kako ciljno obnovite. Če je posodobitev podatkovno zbirko že posodobila, stara različica z njo morda ne deluje več: zato najprej preizkušajte v testnem okolju.
• Varnostne kopije izdelujte pogosteje kot pri običajnem spletnem mestu: trgovina z naročili ves dan potrebuje varnostno kopijo podatkovne zbirke vsaj dnevno, najbolje pogosteje, ter kopijo zunaj strežnika (pravilo 3-2-1, tečaj WordPress, lekcija 8.1).

Od WooCommerce 8.2 so naročila pri novih trgovinah shranjena v lastnih tabelah (HPOS, lekcija 1.2), na primer wp_wc_orders. Vtičnik za varnostne kopije, ki zajame le »prispevke« ali izbira tabele po imenu, mora zajeti tudi te tabele. Pri preizkusni obnovitvi (tečaj WordPress, lekcija 8.2) preverite, ali so naročila res v kopiji.

Pri WebOké storitev WebOké Backups vsako noč izdela varnostno kopijo, ki se 30 dni hrani v drugem podatkovnem centru (DA 16.1); poleg tega lahko pred posodobitvijo sami izdelate varnostno kopijo v DirectAdmin ali Installatron. Pri drugih ponudnikih gostovanja deluje podobno; pozanimajte se, kako pogosto in kako dolgo.

Vloge: kdo sme kaj

WooCommerce WordPressu doda dve vlogi (tečaj WordPress, lekcija 3.3):

• Stranka (Customer): stranka z računom. Vidi lahko le svoja naročila in podatke. Tej vlogi nikoli ne dodelite skrbniških pravic.
• Upravitelj trgovine (Shop manager): lahko upravlja izdelke, naročila, stranke, kupone in nastavitve WooCommerce, ne more pa nameščati vtičnikov ali spreminjati teme.

Za sodelavce, ki pakirajo naročila, odgovarjajo na vprašanja strank ali vnašajo izdelke, zadošča vloga Upravitelj trgovine. Vloga Skrbnik je le za tistega, ki skrbi za tehniko. Vsak sodelavec naj ima svoj račun z dvostopenjskim preverjanjem (tečaj WordPress, lekcija 7.3); brez skupnega računa »trgovina«. Upravitelj trgovine vidi vse podatke strank, zato račune odstranite, ko kdo odide.

Ključi API (lekcija 2.4) so prav tako oblika pravic: povezavi dovolite le branje, če ji ni treba ničesar zapisovati, in izbrišite ključe, ki se ne uporabljajo več.

Kaj Vaša trgovina prikazuje vsem

Napadalci iščejo trgovine s staro različico WooCommerce ali s plačilnim vtičnikom z znano ranljivostjo. WooCommerce privzeto v izvorno kodo doda vrstico <meta name="generator" content="WooCommerce 11.2.2">, različica pa je navedena tudi za slogovnimi datotekami (?ver=). Skrivanje prinese malo; posodabljanje veliko. Trgovini, ki je redno posodobljena, se zaradi vidne številke različice ni treba veliko skrbeti. Trgovina, ki zaostaja, se s tem izda.

Datoteka xmlrpc.php je stara povezava, prek katere se aplikacije prijavljajo v WordPress. Pogosto jo zlorabljajo za ugibanje gesel. Če ne uporabljate aplikacije ali storitve, ki jo potrebuje, jo zaprite (pri WebOké je privzeto zaprta, KB 169). Odprta datoteka xmlrpc.php na običajno zahtevo v brskalniku odgovori z »XML-RPC server accepts POST requests only.« in stanjem 405. Zaprta vrne 403 ali 404.

Povzetek

• Podatkovna zbirka trgovine se spreminja ves dan: obnovitev stane naročila, ki so že plačana.
• Majhne posodobitve hitro, velike najprej v testnem okolju; bodite pozorni na posodobitev podatkovne zbirke, razširitve in zastarele predloge pri WooCommerce > Stanje.
• Varnostno kopijo izdelajte tik pred posodobitvijo in pogosteje kot pri običajnem spletnem mestu; preverite, da so zajete tabele z naročili.
• Sodelavci dobijo vlogo Upravitelj trgovine, ne Skrbnik; vsak svoj račun z dvostopenjskim preverjanjem.
• Skrivanje različic malo pomaga, posodabljanje veliko; zaprite xmlrpc.php, če ga ne uporabljate.

Kviz

Naloga

Naloga A6.2: Ali Vaša trgovina prikazuje različice? Vnesite naslov svoje trgovine, svojo različico WordPressa (Nadzorna plošča > Posodobitve) in svojo različico WooCommerce (Vtičniki). Program zahteva domačo stran in vir ter datoteko /wp-content/plugins/woocommerce/readme.txt (le prva 2 kB, vrstico »Stable tag«). V vrsticah generator in za ?ver= pri slogovnih datotekah WooCommerce poišče številke različic WordPressa in WooCommerce ter pri wordpress.org preveri najnovejše različice. Zeleno, če so Vaše različice najnovejše in se vidno s tem ujema. Oranžno, če je odprta le majhna posodobitev ali če je različica vidna, a aktualna. Rdeče, če zaostajate za veliko različico, če se vidna različica razlikuje od vnesene (teče nekaj drugega, kot mislite) ali pri neveljavnem vnosu.

Naloga A6.2b: Ali je xmlrpc zaprt? Vnesite naslov svoje trgovine in označite, če uporabljate aplikacijo ali storitev, ki potrebuje xmlrpc.php. Program zahteva /xmlrpc.php z običajno zahtevo GET, ne da bi karkoli poslal. Zeleno pri 401, 403, 404, 410, preusmeritvi ali običajni strani HTML. Rdeče pri 405 z besedilom »XML-RPC server accepts POST requests only.« brez oznake; oranžno, če ste navedli, da ga potrebujete. Preveri tudi, ali je seznam uporabniških imen prek /wp-json/wp/v2/users javen (oranžno, če so imena vidna).

Zelena kljukica pomeni, da je ta preverba zdaj v redu, ne pa, da je Vaša trgovina varna.

Za nadaljnje branje

Koraki v nadzorni plošči veljajo za WebOké; pri drugih ponudnikih deluje podobno.

• Brezplačni tečaj WordPress 7.2: Posodobitve na tekočem
• Brezplačni tečaj WordPress 8.1: Varnostne kopije: kaj, kje in kako pogosto
• Brezplačni tečaj WordPress 8.2: Obnovitev in testiranje
• Brezplačni tečaj WordPress 3.3: Uporabniki in vloge
• Priročnik DirectAdmin 16.1: Katere varnostne kopije so na voljo pri WebOké
• Varnostne kopije WebOké: ogled, obnovitev ali prenos varnostne kopije
• Dostop do xmlrpc.php v WordPressu ne deluje
• High Performance Order Storage (developer.woocommerce.com, angleško): https://developer.woocommerce.com/docs/features/orders/high-performance-order-storage/