Modul 7 · 7.2
Hålla koll på uppdateringar
Modul 7: Säkerhet · Lästid: 8 minuter
Lärandemål: Efter den här lektionen kan du ställa in uppdateringar så att de sker snabbt och säkert, och du vet vad du ska göra med ett tillägg som inte längre får uppdateringar.
Nyckelbegrepp: liten version, stor version, säkerhetsuppdatering, automatiska uppdateringar (core, tillägg, teman), rollback, installer-uppdateringar, övergivet tillägg, ändringslogg, testmiljö (staging) för stora uppdateringar
Varför snabb uppdatering är viktigare än att vänta försiktigt
Lektion 7.1 visade det: inbrottstjuvar letar efter kända luckor som redan har en uppdatering. Mellan att en reparation släpps och de första massiva skanningarna kan det bara gå några timmar eller dagar. Den som "väntar en månad först för att se om uppdateringen är bra" står öppen den månaden.
Samtidigt kan en uppdatering göra sönder något. Lösningen är inte att vänta, utan att se till att uppdatering sker automatiskt, snabbt och går att återställa:
- små uppdateringar och tilläggsuppdateringar automatiskt;
- en säkerhetskopia strax före uppdateringen, med automatisk återställning om något går fel;
- stora uppdateringar testas först i en testmiljö (staging) (lektion 8.3), men inom dagar, inte månader.
Små och stora versioner av WordPress
WordPress numrerar versioner som 7.1.4:
- 7.1 är den stora versionen (major release). Det kommer några per år, med nya funktioner.
- .4 är en liten version (minor release): reparationer och säkerhetsuppdateringar, utan stora förändringar.
Sedan version 3.7 installerar WordPress små versioner och säkerhetsuppdateringar automatiskt, om du inte har stängt av det. Stora versioner installerar du som standard själv, med en knapp vid Adminpanel > Uppdateringar. I wp-config.php kan du styra det beteendet:
define( 'WP_AUTO_UPDATE_CORE', 'minor' ); // standard: endast mindre versioner
define( 'WP_AUTO_UPDATE_CORE', true ); // även stora versioner
define( 'WP_AUTO_UPDATE_CORE', false ); // inget automatiskt (avrådes)Välj en av de tre raderna. Standardinställningen (minor) är bra för de flesta webbplatser; om din installer eller ditt webbhotell uppdaterar stora versioner åt dig är det också helt okej.
WordPress stöder officiellt bara den senaste stora versionen. Säkerhetsreparationer backas en tid även till äldre serier, men det kan du inte räkna med.
Tillägg och teman automatiskt
Sedan WordPress 5.5 kan du under Tillägg klicka på Aktivera automatiska uppdateringar för varje tillägg, och under Utseende > Teman för varje tema. Slå på det här för de flesta tillägg: det är där luckorna finns (lektion 7.1).
Sedan WordPress 6.6 kontrollerar WordPress efter en automatisk tilläggsuppdatering om webbplatsen fortfarande fungerar. Ger uppdateringen ett fatalt fel återställer WordPress den föregående versionen (en rollback) och du får ett mejl. Det fångar upp den största risken med automatiska uppdateringar: en vit webbplats som du först upptäcker en vecka senare.
Installerare som Installatron (lektion 2.2) kan det också: med en säkerhetskopia i förväg och en återställning om uppdateringen misslyckas. Använd ett av de två systemen medvetet; de stör inte varandra, men du vill veta vem som gör vad.
Undantag där du ibland stänger av automatiska uppdateringar:
- ett tillägg där du vet att stora versioner ofta ändrar något (en sidbyggare, ett webbutikstillägg med kopplingar); uppdatera det efter ett test i en testmiljö (staging), men ändå snabbt;
- ett tema med anpassningar i själva filerna. Bättre: lägg de anpassningarna i ett barntema (child theme) (lektion 5.2), då kan föräldratemat uppdateras automatiskt som vanligt.
Betalda tillägg
Betalda tillägg får uppdateringar bara så länge din licens gäller. En utgången licens betyder: inga säkerhetsuppdateringar. Håll koll på dina licenser (lektion 9.4). Och ett betalt tillägg från en nedladdningssajt får inga uppdateringar alls (lektion 5.3).
Det övergivna tillägget
Ett tillägg utan uppdateringar under lång tid, eller som har tagits bort från tilläggskatalogen på wordpress.org ("Detta tillägg har stängts"), får inga fler reparationer. Vad du gör:
- Ta reda på varför. Vid ett stängt tillägg står ofta anledningen (till exempel ett säkerhetsproblem). Är det ett säkerhetsproblem, agera då omedelbart.
- Hitta ett alternativ som underhålls aktivt (lektion 5.3), eller kontrollera om du fortfarande behöver funktionen.
- Byt ut i en testmiljö (staging), testa, och ta sedan bort det gamla tillägget helt.
Att låta ett övergivet tillägg vara kvar "för säkerhets skull" är precis den risk du vill undvika.
Läsa ändringsloggen
Vid varje uppdatering finns en ändringslogg: vad som har ändrats. Under Adminpanel > Uppdateringar eller på tilläggssidan (fliken Utveckling eller Ändringslogg). Titta särskilt efter ord som "security", "säkerhet" eller "fix vulnerability": då vill du uppdatera så snabbt som möjligt. Och efter "breaking change", "requires PHP 8.x" eller "ny version av": då testar du först.
Efter en uppdatering
- Titta igenom din webbplats, inklusive de viktigaste funktionerna (formulär, varukorg, inloggning).
- Läs mejlen från WordPress eller din installer om lyckade, misslyckade eller återställda uppdateringar. En rollback innebär att den gamla (sårbara) versionen körs igen: lös det, ofta genom att även uppdatera PHP, tema eller ett annat tillägg, eller genom att byta ut tillägget.
- Kolla i Hälsokontroll för webbplatser (lektion 5.4) om det finns fler meddelanden.
I praktiken: så ser det ut i en panel
I WordPress adminpanel:
- Adminpanel > Uppdateringar: status för WordPress, tillägg och teman. Här står också om automatiska uppdateringar för stora versioner är på.
- Tillägg: i kolumnen Automatiska uppdateringar per tillägg "aktivera" eller "inaktivera". Högst upp kan du med Massåtgärder slå på flera samtidigt.
- Utseende > Teman: klicka på ett tema för knappen för automatiska uppdateringar.
I Installatron (DirectAdmin) ställer du in det per installation under Redigera > Inställningar > Auto-Update. I Softaculous (cPanel) och WP Toolkit (Plesk) finns samma val bland installationens inställningar.
Sammanfattning
- Kända luckor utnyttjas snabbt; uppdatering måste vara snabb, automatisk och möjlig att återställa.
- WordPress installerar små versioner automatiskt (sedan 3.7); stora versioner som standard efter ett klick, eller automatiskt om du väljer det.
- Slå på automatiska uppdateringar för de flesta tillägg och teman; sedan 6.6 rullar WordPress tillbaka misslyckade tilläggsuppdateringar.
- En utgången licens eller ett övergivet tillägg betyder inga säkerhetsuppdateringar: byt ut det.
- Läs ändringsloggen och mejlen efter en uppdatering; en rollback löser du aktivt.
Quiz
Uppgift
Uppgift A7.2: Är din WordPress uppdaterad? Kolla i din webbplats adminpanel under Adminpanel > Uppdateringar vilken version av WordPress du har och fyll i den, tillsammans med ditt domän. Programmet hämtar den senaste versionen från wordpress.orgs offentliga version-API och jämför: grönt om du har den senaste, orange om du är i samma stora version men saknar en liten uppdatering, rött om du kör en äldre stor version. Fyll också i hur många tillägg som har automatiska uppdateringar påslagna och hur många som inte har det, och varför.
Läs mer
De här artiklarna beskriver stegen i WebOkés paneler; i andra paneler fungerar det på liknande sätt.
- DirectAdmin-guide 13.5: Uppdateringar och automatiska uppdateringar
- Uppdatera Joomla och WordPress via Installatron
- Fel 500 eller "kritiskt fel" på din webbplats (även efter en WordPress-uppdatering)
- Ställa in automatiska uppdateringar (wordpress.org, Engelska): https://wordpress.org/documentation/article/configuring-automatic-background-updates/