Holde styr på opdateringer

Modul 7: Sikkerhed · Læsetid: 8 minutter

Læringsmål: Efter denne lektion kan du indrette opdateringer, så de sker hurtigt og sikkert, og du ved, hvad du gør med en plugin, der ikke længere får opdateringer.

Nøglebegreber: lille version, stor version, sikkerhedsopdatering, automatiske opdateringer (core, plugins, temaer), rollback, installer-opdateringer, forladt plugin, ændringslog, testmiljø (staging) til store opdateringer

Hvorfor hurtig opdatering er vigtigere end forsigtig venten

Lektion 7.1 viste det: indbrudstyve leder efter kendte huller, der allerede findes en opdatering til. Mellem det tidspunkt, hvor en rettelse udkommer, og de første massescanninger er der nogle gange kun få timer eller dage. Den, der "først venter en måned for at se, om opdateringen er god", står åben hele den måned.

Samtidig kan en opdatering ødelægge noget. Løsningen er ikke at vente, men at sørge for, at opdateringer sker automatisk, hurtigt og kan rulles tilbage:

• små opdateringer og plugin-opdateringer automatisk;
• en backup lige før opdateringen, med automatisk tilbagefald, hvis noget går galt;
• store opdateringer testes først i et testmiljø (staging) (lektion 8.3), men inden for dage, ikke måneder.

Små og store versioner af WordPress

WordPress nummererer versioner som 7.1.4:

• 7.1 er den store version (major release). Der kommer nogle få om året, med nye funktioner.
• .4 er en lille version (minor release): rettelser og sikkerhedsopdateringer, uden store ændringer.

Siden version 3.7 installerer WordPress små versioner og sikkerhedsopdateringer automatisk, medmindre du har slået det fra. Store versioner installerer du som standard selv, med en knap under Kontrolpanel > Opdateringer. I wp-config.php kan du styre denne adfærd:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // standard: kun små versioner
define( 'WP_AUTO_UPDATE_CORE', true );     // også store versioner
define( 'WP_AUTO_UPDATE_CORE', false );    // intet automatisk (frarådes)

Vælg en af de tre linjer. Standarden (minor) er god for de fleste websteder; hvis din installer eller din hostingudbyder opdaterer store versioner for dig, er det også fint.

WordPress understøtter officielt kun den nyeste store version. Sikkerhedsrettelser bliver i en periode også lagt tilbage til ældre serier, men det kan du ikke regne med.

Plugins og temaer automatisk

Siden WordPress 5.5 kan du under Plugins klikke på Aktiver automatiske opdateringer for hver enkelt plugin, og under Udseende > Temaer for hvert tema. Slå dette til for de fleste plugins: det er der, hullerne er (lektion 7.1).

Siden WordPress 6.6 kontrollerer WordPress efter en automatisk plugin-opdatering, om webstedet stadig fungerer. Giver opdateringen en fatal fejl, sætter WordPress den forrige version tilbage (en rollback), og du får en mail. Det opfanger den største risiko ved automatiske opdateringer: et hvidt websted, du først opdager en uge senere.

Installers som Installatron (lektion 2.2) kan det samme: med en backup på forhånd og et tilbagefald, hvis opdateringen mislykkes. Brug det ene eller det andet system bevidst; de modarbejder ikke hinanden, men du vil gerne vide, hvem der gør hvad.

Undtagelser hvor du nogle gange slår automatiske opdateringer fra:

• en plugin, du ved, at store versioner ofte ændrer noget ved (en sidebygger, en webshopplugin med integrationer); opdater den efter en test i et testmiljø (staging), men stadig hurtigt;
• et tema med tilpasninger i selve filerne. Bedre: læg de tilpasninger i et undertema (child theme) (lektion 5.2), så kan hovedtemaet bare opdateres automatisk.

Betalte plugins

Betalte plugins får kun opdateringer, så længe din licens løber. En udløbet licens betyder: ingen sikkerhedsopdateringer. Hold styr på dine licenser (lektion 9.4). Og en betalt plugin fra en downloadside får slet ingen opdateringer (lektion 5.3).

Den forladte plugin

En plugin uden opdateringer i lang tid, eller en der er fjernet fra pluginmappen på wordpress.org ("Denne plugin er lukket"), får ikke flere rettelser. Hvad du gør:

1. Find ud af hvorfor. Ved en lukket plugin står der ofte en begrundelse (for eksempel et sikkerhedsproblem). Er det et sikkerhedsproblem, så handl med det samme.
2. Find et alternativ, der aktivt vedligeholdes (lektion 5.3), eller overvej om du stadig har brug for funktionen.
3. Erstat den i et testmiljø (staging), test, og fjern derefter den gamle plugin helt.

At lade en forladt plugin blive liggende "for en sikkerheds skyld" er præcis den risiko, du vil undgå.

Læs ændringsloggen

Ved hver opdatering findes en ændringslog: hvad der er ændret. Under Kontrolpanel > Opdateringer eller på pluginsiden (fanen Udvikling eller Ændringslog). Kig især efter ord som "security", "sikkerhed" eller "fix vulnerability": så vil du opdatere hurtigst muligt. Og efter "breaking change", "requires PHP 8.x" eller "ny version af": så tester du først.

Efter en opdatering

• Kig dit websted igennem, herunder de vigtigste funktioner (formular, indkøbskurv, login).
• Læs mails fra WordPress eller din installer om vellykkede, mislykkede eller tilbagerullede opdateringer. En rollback betyder, at den gamle (sårbare) version kører igen: løs det, ofte ved også at opdatere PHP, tema eller en anden plugin, eller ved at erstatte pluginen.
• Kig i Webstedshelbred (lektion 5.4), om der stadig er meldinger.

I praksis: sådan ser det ud i et panel

I WordPress' administration:

1. Kontrolpanel > Opdateringer: status for WordPress, plugins og temaer. Her står også, om automatiske opdateringer for store versioner er slået til.
2. Plugins: i kolonnen Automatiske opdateringer kan du pr. plugin vælge "aktiver" eller "deaktiver". Øverst kan du med Massehandlinger tænde flere på én gang.
3. Udseende > Temaer: klik på et tema for knappen til automatiske opdateringer.

I Installatron (DirectAdmin) indstiller du det pr. installation under Rediger > Indstillinger > Auto-opdatering. I Softaculous (cPanel) og WP Toolkit (Plesk) findes det samme valg under installationens indstillinger.

Opsummering

• Kendte huller bliver hurtigt udnyttet; opdatering skal ske hurtigt, automatisk og skal kunne rulles tilbage.
• WordPress installerer små versioner automatisk (siden 3.7); store versioner som standard efter et klik, eller automatisk hvis du vælger det.
• Slå automatiske opdateringer til for de fleste plugins og temaer; siden 6.6 ruller WordPress mislykkede plugin-opdateringer tilbage.
• En udløbet licens eller en forladt plugin betyder ingen sikkerhedsopdateringer: udskift den.
• Læs ændringsloggen og mails efter en opdatering; en rollback løser du aktivt.

Quiz

Opgave

Opgave A7.2: Er din WordPress opdateret? Kig i administrationen af dit websted under Kontrolpanel > Opdateringer, hvilken version af WordPress du har, og indtast den sammen med dit domæne. Programmet henter den nyeste version fra den offentlige versions-API på wordpress.org og sammenligner: grøn hvis du har den nyeste, orange hvis du er i samme store version men mangler en lille opdatering, rød hvis du kører en ældre stor version. Angiv også, hvor mange plugins der har automatiske opdateringer slået til, og hvor mange der ikke har, og hvorfor ikke.

Læs mere

Disse artikler beskriver trinene i WebOkés paneler; i andre paneler fungerer de på tilsvarende vis.

• DirectAdmin vejledning 13.5: Opdateringer og automatiske opdateringer
• Opdater Joomla og WordPress via Installatron
• Fejl 500 eller "kritisk fejl" på din hjemmeside (også efter en WordPress-opdatering)
• Indstil automatiske opdateringer (wordpress.org, Engelsk): https://wordpress.org/documentation/article/configuring-automatic-background-updates/