Modul 7 · 7.2
Holde oppdateringer oppdatert
Modul 7: Sikkerhet · Lesetid: 8 minutter
Læringsmål: Etter denne leksjonen kan du sette opp oppdateringer slik at de skjer raskt og trygt, og du vet hva du gjør med en utvidelse som ikke lenger får oppdateringer.
Nøkkelbegreper: liten versjon, stor versjon, sikkerhetsoppdatering, automatiske oppdateringer (core, utvidelser, temaer), rollback, installer-oppdateringer, forlatt utvidelse, endringslogg, testmiljø for store oppdateringer
Hvorfor rask oppdatering er viktigere enn forsiktig venting
Leksjon 7.1 viste det: innbruddstyver leter etter kjente hull det allerede finnes en oppdatering for. Mellom det tidspunktet en reparasjon kommer ut og de første massive skanningene, er det noen ganger bare noen timer eller dager. Den som «venter en måned først for å se om oppdateringen er god», står åpen hele den måneden.
Samtidig kan en oppdatering ødelegge noe. Løsningen er ikke å vente, men å sørge for at oppdatering skjer automatisk, raskt og kan reverseres:
- små oppdateringer og utvidelsesoppdateringer automatisk;
- en sikkerhetskopi rett før oppdateringen, med automatisk tilbakefall hvis noe går galt;
- store oppdateringer testes først i testmiljø (leksjon 8.3), men innen dager, ikke måneder.
Små og store versjoner av WordPress
WordPress nummererer versjoner som 7.1.4:
- 7.1 er den store versjonen (major release). Det kommer noen få av disse i året, med nye funksjoner.
- .4 er en liten versjon (minor release): reparasjoner og sikkerhetsoppdateringer, uten store endringer.
Siden versjon 3.7 installerer WordPress små versjoner og sikkerhetsoppdateringer automatisk, med mindre du har slått dette av. Store versjoner installerer du som standard selv, med en knapp under Kontrollpanel > Oppdateringer. I wp-config.php kan du styre denne oppførselen:
define( 'WP_AUTO_UPDATE_CORE', 'minor' ); // standard: kun små versjoner
define( 'WP_AUTO_UPDATE_CORE', true ); // også store versjoner
define( 'WP_AUTO_UPDATE_CORE', false ); // ingenting automatisk (frarådes)Velg én av de tre linjene. Standarden (minor) er bra for de fleste nettsteder; oppdaterer installer-verktøyet ditt eller webhotellet ditt store versjoner for deg, er det også greit.
WordPress støtter offisielt bare den nyeste store versjonen. Sikkerhetsreparasjoner blir en tid også lagt tilbake til eldre serier, men det kan du ikke stole på.
Utvidelser og temaer automatisk
Siden WordPress 5.5 kan du under Utvidelser klikke på Slå på automatiske oppdateringer per utvidelse, og under Utseende > Temaer per tema. Slå dette på for de fleste utvidelser: det er der hullene finnes (leksjon 7.1).
Siden WordPress 6.6 kontrollerer WordPress etter en automatisk utvidelsesoppdatering om nettstedet fortsatt fungerer. Gir oppdateringen en fatal feil, setter WordPress tilbake forrige versjon (en rollback) og du får en e-post. Det fanger opp den største risikoen ved automatiske oppdateringer: et hvitt nettsted du først oppdager etter en uke.
Installer-verktøy som Installatron (leksjon 2.2) kan også dette: med en sikkerhetskopi på forhånd og et tilbakefall hvis oppdateringen mislykkes. Bruk ett av de to systemene bevisst; de biter ikke hverandre, men du vil vite hvem som gjør hva.
Unntak der du noen ganger lar automatiske oppdateringer stå av:
- en utvidelse du vet at store versjoner ofte endrer noe på (en sidebygger, en nettbutikk-utvidelse med koblinger); oppdater disse etter en test i testmiljø, men raskt;
- et tema med tilpasninger direkte i filene. Bedre: legg disse tilpasningene i et undertema (child theme) (leksjon 5.2), så kan foreldretemaet oppdateres automatisk uten problemer.
Betalte utvidelser
Betalte utvidelser får bare oppdateringer så lenge lisensen din løper. En utløpt lisens betyr: ingen sikkerhetsoppdateringer. Hold oversikt over lisensene dine (leksjon 9.4). Og en betalt utvidelse fra et nedlastingsnettsted får ingen oppdateringer i det hele tatt (leksjon 5.3).
Den forlatte utvidelsen
En utvidelse uten oppdateringer på lang tid, eller som er fjernet fra utvidelsesmappen på wordpress.org («Denne utvidelsen er lukket»), får ikke flere reparasjoner. Det du gjør:
- Finn ut hvorfor. Ved en lukket utvidelse står ofte årsaken (for eksempel et sikkerhetsproblem). Er det et sikkerhetsproblem, handle da umiddelbart.
- Finn et alternativ som vedlikeholdes aktivt (leksjon 5.3), eller se om du fortsatt trenger funksjonen.
- Erstatt i testmiljø, test, og fjern deretter den gamle utvidelsen helt.
Å la en forlatt utvidelse stå «for sikkerhets skyld» er nøyaktig den risikoen du vil unngå.
Lese endringslogg
Ved hver oppdatering står det en endringslogg: hva som er endret. Under Kontrollpanel > Oppdateringer eller på utvidelsessiden (fanen Utvikling eller Endringslogg). Se spesielt etter ord som «security», «sikkerhet» eller «fix vulnerability»: da vil du oppdatere så fort som mulig. Og etter «breaking change», «requires PHP 8.x» eller «ny versjon av»: da tester du først.
Etter en oppdatering
- Se gjennom nettstedet ditt, inkludert de viktigste funksjonene (skjema, handlekurv, innlogging).
- Les e-postene fra WordPress eller installer-verktøyet ditt om vellykkede, mislykkede eller tilbakerullede oppdateringer. En rollback betyr at den gamle (sårbare) versjonen kjører igjen: løs det, ofte ved også å oppdatere PHP, tema eller en annen utvidelse, eller ved å erstatte utvidelsen.
- Sjekk Nettstedshelse (leksjon 5.4) for å se om det fortsatt er varsler.
I praksis: slik ser det ut i et panel
I administrasjonen av WordPress:
- Kontrollpanel > Oppdateringer: statusen til WordPress, utvidelser og temaer. Her står også om automatiske oppdateringer for store versjoner er slått på.
- Utvidelser: i kolonnen Automatiske oppdateringer per utvidelse «slå på» eller «slå av». Øverst kan du med Massehandlinger slå på flere samtidig.
- Utseende > Temaer: klikk på et tema for knappen for automatiske oppdateringer.
I Installatron (DirectAdmin) stiller du dette inn per installasjon under Rediger > Innstillinger > Auto-oppdatering. I Softaculous (cPanel) og WP Toolkit (Plesk) finner du det samme valget under innstillingene for installasjonen.
Oppsummering
- Kjente hull utnyttes raskt; oppdatering må skje raskt, automatisk og kunne reverseres.
- WordPress installerer små versjoner automatisk (siden 3.7); store versjoner som standard etter et klikk, eller automatisk hvis du velger det.
- Slå på automatiske oppdateringer for de fleste utvidelser og temaer; siden 6.6 ruller WordPress tilbake mislykkede utvidelsesoppdateringer.
- En utløpt lisens eller forlatt utvidelse betyr ingen sikkerhetsoppdateringer: erstatt den.
- Les endringsloggen og e-postene etter en oppdatering; en rollback løser du aktivt.
Quiz
Oppgave
Oppgave A7.2: Er WordPress-en din oppdatert? Sjekk i administrasjonen av nettstedet ditt under Kontrollpanel > Oppdateringer hvilken versjon av WordPress du har, og fyll den inn sammen med domenet ditt. Programmet henter den nyeste versjonen fra den offentlige versjons-API-en til wordpress.org og sammenligner: grønt hvis du har den nyeste, oransje hvis du er i samme store versjon men mangler en liten oppdatering, rødt hvis du kjører en eldre stor versjon. Fyll også inn hvor mange utvidelser som har automatiske oppdateringer på og hvor mange som ikke har det, og hvorfor de ikke har det.
Les mer
Disse artiklene beskriver trinnene i panelene til WebOké; i andre paneler fungerer de på lignende måte.
- DirectAdmin-veiledning 13.5: Oppdateringer og automatiske oppdateringer
- Oppdatere Joomla og WordPress via Installatron
- Feil 500 eller «kritisk feil» på nettstedet ditt (også etter en WordPress-oppdatering)
- Sette opp automatiske oppdateringer (wordpress.org, engelsk): https://wordpress.org/documentation/article/configuring-automatic-background-updates/