Posodobitve na tekočem

Modul 7: Varnost · Čas branja: 8 minut

Učni cilj: Po tej lekciji boste znali urediti posodobitve tako, da potekajo hitro in varno, in boste vedeli, kaj storiti z vtičnikom, ki ne dobiva več posodobitev.

Ključni pojmi: mala različica, velika različica, varnostna posodobitev, samodejne posodobitve (jedro, vtičniki, teme), rollback (vrnitev na prejšnjo različico), posodobitve prek namestitvenega orodja (installer), zapuščen vtičnik, dnevnik sprememb (changelog), testno okolje (staging) za velike posodobitve

Zakaj je hitro posodabljanje pomembnejše od previdnega čakanja

Lekcija 7.1 je pokazala: vlomilci iščejo znane ranljivosti, za katere že obstaja popravek. Med objavo popravka in prvimi množičnimi pregledi (scani) je včasih le nekaj ur ali dni. Kdor »najprej počaka mesec dni, da vidi, ali je posodobitev v redu«, je v tem mesecu izpostavljen.

Hkrati lahko posodobitev nekaj pokvari. Rešitev ni čakanje, temveč poskrbeti, da je posodabljanje samodejno, hitro in vrnljivo:

• male posodobitve in posodobitve vtičnikov samodejno;
• varnostna kopija tik pred posodobitvijo, s samodejno vrnitvijo, če kaj gre narobe;
• velike posodobitve najprej preizkusite v testnem okolju (staging) (lekcija 8.3), vendar v nekaj dneh, ne mesecih.

Male in velike različice WordPressa

WordPress oštevilčuje različice kot 7.1.4:

• 7.1 je velika različica (major release). Izidejo nekajkrat na leto, z novimi funkcijami.
• .4 je mala različica (minor release): popravki in varnostne posodobitve, brez velikih sprememb.

Od različice 3.7 naprej WordPress samodejno namesti male različice in varnostne posodobitve, razen če ste to izklopili. Velike različice privzeto namestite sami, z gumbom pri Nadzorna plošča > Posodobitve. V wp-config.php lahko to obnašanje uravnavate:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // privzeto: samo male različice
define( 'WP_AUTO_UPDATE_CORE', true );     // tudi velike različice
define( 'WP_AUTO_UPDATE_CORE', false );    // nič samodejno (odsvetovano)

Izberite eno od treh vrstic. Privzeta nastavitev (minor) je za večino spletnih mest dobra; če Vam velike različice vnaprej nastavi namestitveno orodje (installer) ali Vaš ponudnik gostovanja, je tudi to v redu.

WordPress uradno podpira samo najnovejšo veliko različico. Varnostne popravke neko obdobje vračajo tudi v starejše serije, vendar na to ne smete računati.

Vtičniki in teme samodejno

Od WordPress 5.5 naprej lahko pri Vtičniki za posamezen vtičnik kliknete Omogoči samodejne posodobitve, pri Videz > Teme pa za posamezno temo. To vklopite za večino vtičnikov: tam se nahajajo ranljivosti (lekcija 7.1).

Od WordPress 6.6 naprej WordPress po samodejni posodobitvi vtičnika preveri, ali spletno mesto še deluje. Če posodobitev povzroči usodno napako, WordPress povrne prejšnjo različico (rollback) in prejmete e-sporočilo. S tem se odpravi največje tveganje samodejnih posodobitev: bela stran, ki jo opazite šele čez teden dni.

Namestitvena orodja (installerji), kot je Installatron (lekcija 2.2), znajo enako: z vnaprejšnjo varnostno kopijo in vrnitvijo, če posodobitev ne uspe. Zavestno uporabite enega od obeh sistemov; ne nasprotujeta si, vendar morate vedeti, kdo kaj počne.

Izjeme, pri katerih samodejne posodobitve včasih izklopite:

• vtičnik, za katerega veste, da velike različice pogosto kaj spremenijo (gradnik za strani, vtičnik za spletno trgovino s povezavami); takega posodobite po testu v testnem okolju (staging), vendar hitro;
• tema s prilagoditvami neposredno v datotekah. Bolje: te prilagoditve dajte v podrejeno temo (child theme) (lekcija 5.2), tako da se lahko nadrejena tema (parent theme) samodejno posodablja brez težav.

Plačljivi vtičniki

Plačljivi vtičniki dobivajo posodobitve samo, dokler velja Vaša licenca. Potekla licenca pomeni: brez varnostnih posodobitev. Sledite svojim licencam (lekcija 9.4). Plačljiv vtičnik, prenesen s spletišč za prenose, pa ne dobi nobenih posodobitev več (lekcija 5.3).

Zapuščen vtičnik

Vtičnik, ki dolgo časa ni bil posodobljen, ali ki je bil umaknjen iz mape vtičnikov na wordpress.org (»Ta vtičnik je zaprt«), ne dobiva več popravkov. Kaj storiti:

1. Preverite razlog. Pri zaprtem vtičniku je pogosto naveden razlog (na primer varnostna težava). Če gre za varnostno težavo, takoj ukrepajte.
2. Poiščite alternativo, ki se aktivno vzdržuje (lekcija 5.3), ali preverite, ali to funkcijo sploh še potrebujete.
3. Zamenjajte v testnem okolju (staging), preizkusite in nato stari vtičnik v celoti odstranite.

Puščanje zapuščenega vtičnika »za vsak primer« je ravno tisto tveganje, ki se mu želite izogniti.

Branje dnevnika sprememb (changelog)

Pri vsaki posodobitvi je naveden dnevnik sprememb (changelog): kaj se je spremenilo. Najdete ga pri Nadzorna plošča > Posodobitve ali na strani vtičnika (zavihek Razvoj ali Dnevnik sprememb). Bodite pozorni zlasti na besede, kot so »security«, »varnost« ali »fix vulnerability«: takrat želite posodobiti čim prej. In na »breaking change«, »requires PHP 8.x« ali »nova različica«: takrat najprej preizkusite.

Po posodobitvi

• Na kratko oglejte svoje spletno mesto, vključno z najpomembnejšimi funkcijami (obrazec, nakupovalna košarica, prijava).
• Preberite e-sporočila WordPressa ali Vašega namestitvenega orodja o uspešnih, neuspešnih ali povrnjenih posodobitvah. Rollback pomeni, da spet teče stara (ranljiva) različica: to rešite, pogosto tako, da posodobite tudi PHP, temo ali drug vtičnik, ali pa vtičnik zamenjate.
• Preverite v Zdravje spletišča (lekcija 5.4), ali so prisotna še kakšna obvestila.

V praksi: tako je videti v nadzorni plošči

V skrbništvu WordPressa:

1. Nadzorna plošča > Posodobitve: stanje WordPressa, vtičnikov in tem. Tukaj je razvidno tudi, ali so samodejne posodobitve za velike različice vklopljene.
2. Vtičniki: v stolpcu Samodejne posodobitve za posamezen vtičnik »omogoči« ali »onemogoči«. Na vrhu lahko z Množična dejanja vklopite več naenkrat.
3. Videz > Teme: kliknite na temo za gumb samodejnih posodobitev.

V Installatronu (DirectAdmin) to nastavite za posamezno namestitev pri Uredi > Nastavitve > Samodejno posodabljanje. V Softaculousu (cPanel) in v WP Toolkit (Plesk) je enaka izbira na voljo pri nastavitvah namestitve.

Povzetek

• Znane ranljivosti se hitro zlorabijo; posodabljanje mora biti hitro, samodejno in vrnljivo.
• WordPress samodejno namesti male različice (od 3.7); velike različice privzeto po kliku, ali samodejno, če tako izberete.
• Vklopite samodejne posodobitve za večino vtičnikov in tem; od 6.6 naprej WordPress povrne neuspele posodobitve vtičnikov.
• Potekla licenca ali zapuščen vtičnik pomeni brez varnostnih posodobitev: zamenjajte ga.
• Po posodobitvi preberite dnevnik sprememb in e-sporočila; rollback aktivno rešite.

Kviz

Naloga

Naloga A7.2: Je Vaš WordPress posodobljen? V skrbništvu svojega spletnega mesta si pri Nadzorna plošča > Posodobitve oglejte, katero različico WordPressa imate, in jo vnesite skupaj s svojo domeno. Program pridobi najnovejšo različico iz javnega API-ja za različice na wordpress.org in primerja: zeleno, če imate najnovejšo, oranžno, če ste v isti veliki različici, a manjka mala posodobitev, rdeče, če poganjate starejšo veliko različico. Vnesite tudi, koliko vtičnikov ima vklopljene samodejne posodobitve in koliko jih nima, ter zakaj ne.

Dodatno branje

Ti članki opisujejo korake v nadzornih ploščah WebOké; v drugih nadzornih ploščah delujejo podobno.

• Priročnik DirectAdmin 13.5: Posodobitve in samodejne posodobitve
• Posodabljanje Joomle in WordPressa prek Installatrona
• Napaka 500 ali »kritična napaka« na Vaši spletni strani (tudi po posodobitvi WordPressa)
• Nastavitev samodejnih posodobitev (wordpress.org, v angleščini): https://wordpress.org/documentation/article/configuring-automatic-background-updates/