Praćenje ažuriranja

Modul 7: Sigurnost · Vrijeme čitanja: 8 minuta

Cilj učenja: Nakon ove lekcije moći ćete postaviti ažuriranja tako da se odvijaju brzo i sigurno, te znati što učiniti s dodatkom koji više ne prima ažuriranja.

Ključni pojmovi: mala inačica, velika inačica, sigurnosno ažuriranje, automatska ažuriranja (jezgra, dodaci, teme), rollback (vraćanje na prethodnu verziju), instalacijska ažuriranja, napušteni dodatak, dnevnik promjena (changelog), testno okruženje (staging) za velika ažuriranja

Zašto je brzo ažuriranje važnije od opreznog čekanja

Lekcija 7.1 je to pokazala: provalnici traže poznate propuste za koje već postoji ažuriranje. Između objave popravka i prvih masovnih skeniranja ponekad prođe tek nekoliko sati ili dana. Tko „prvo mjesec dana čeka da vidi je li ažuriranje dobro”, taj je mjesec izložen.

Istovremeno, ažuriranje može nešto pokvariti. Rješenje nije čekanje, već osiguravanje da ažuriranje bude automatsko, brzo i moguće vratiti:

• mala ažuriranja i ažuriranja dodataka automatski;
• sigurnosna kopija neposredno prije ažuriranja, s automatskim vraćanjem ako nešto pođe po zlu;
• velika ažuriranja prvo testirajte u testnom okruženju (staging) (lekcija 8.3), ali u roku od nekoliko dana, ne mjeseci.

Male i velike inačice WordPressa

WordPress numerira inačice kao 7.1.4:

• 7.1 je velika inačica (major release). Izlazi ih nekoliko godišnje, s novim funkcijama.
• .4 je mala inačica (minor release): popravci i sigurnosna ažuriranja, bez velikih promjena.

Od inačice 3.7, WordPress automatski instalira male inačice i sigurnosna ažuriranja, osim ako ste to isključili. Velike inačice standardno instalirate sami, pomoću gumba u Nadzorna ploča > Ažuriranje. U wp-config.php možete usmjeriti to ponašanje:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // standardno: samo male inačice
define( 'WP_AUTO_UPDATE_CORE', true );     // i velike inačice
define( 'WP_AUTO_UPDATE_CORE', false );    // ništa automatski (ne preporučuje se)

Odaberite jedan od ova tri retka. Zadana postavka (minor) dobra je za većinu web-stranica; ako Vaš instalacijski alat ili pružatelj hostinga automatski postavljaju i velike inačice, to je također u redu.

WordPress službeno podržava samo najnoviju veliku inačicu. Sigurnosni popravci se neko vrijeme vraćaju i u starije serije, ali na to se ne smijete oslanjati.

Dodaci i teme automatski

Od WordPressa 5.5, kod Dodaci (Plugins) možete za svaki dodatak kliknuti Uključi automatska ažuriranja, a kod Izgled > Teme za svaku temu. Uključite ovo za većinu dodataka: tu se nalaze propusti (lekcija 7.1).

Od WordPressa 6.6, WordPress nakon automatskog ažuriranja dodatka provjerava radi li web-stranica i dalje. Ako ažuriranje izazove fatalnu grešku, WordPress vraća prethodnu inačicu (rollback) i dobivate e-poštu. To rješava najveći rizik automatskih ažuriranja: bijelu stranicu koju primijetite tek nakon tjedan dana.

Instalacijski alati poput Installatron (lekcija 2.2) također to mogu: sa sigurnosnom kopijom unaprijed i vraćanjem ako ažuriranje ne uspije. Svjesno koristite jedan od ova dva sustava; ne smetaju jedan drugome, ali želite znati tko što radi.

Iznimke kod kojih ponekad isključujete automatska ažuriranja:

• dodatak za koji znate da velike inačice često nešto mijenjaju (alat za izradu stranica, dodatak za web-trgovinu s povezivanjima); ažurirajte ga nakon testiranja u testnom okruženju (staging), ali brzo;
• tema s prilagodbama izravno u datotekama. Bolje: stavite te prilagodbe u podređenu temu (child theme) (lekcija 5.2), tada roditeljska tema može slobodno ići automatski.

Plaćeni dodaci

Plaćeni dodaci primaju ažuriranja samo dok Vaša licenca vrijedi. Istekla licenca znači: nema sigurnosnih ažuriranja. Pratite svoje licence (lekcija 9.4). A plaćeni dodatak preuzet s neke stranice za preuzimanje uopće ne prima ažuriranja (lekcija 5.3).

Napušteni dodatak

Dodatak koji dugo nije ažuriran, ili koji je uklonjen iz direktorija dodataka na wordpress.org ("Ovaj dodatak je zatvoren"), više ne prima popravke. Što učiniti:

1. Provjerite razlog. Kod zatvorenog dodatka često je naveden razlog (na primjer, sigurnosni problem). Ako je riječ o sigurnosnom problemu, djelujte odmah.
2. Potražite alternativu koja se aktivno održava (lekcija 5.3), ili provjerite trebate li uopće tu funkciju.
3. Zamijenite u testnom okruženju (staging), testirajte, i potom u potpunosti uklonite stari dodatak.

Ostavljanje napuštenog dodatka „za svaki slučaj” upravo je rizik koji želite izbjeći.

Čitanje dnevnika promjena (changelog)

Uz svako ažuriranje nalazi se dnevnik promjena (changelog): što je promijenjeno. Kod Nadzorna ploča > Ažuriranje ili na stranici dodatka (kartica Development ili Changelog). Obratite posebnu pozornost na riječi poput „security”, „sigurnost” ili „fix vulnerability”: tada želite ažurirati što je prije moguće. I na „breaking change”, „requires PHP 8.x” ili „nova verzija”: tada prvo testirate.

Nakon ažuriranja

• Pregledajte svoju web-stranicu, uključujući najvažnije funkcije (obrazac, košaricu, prijavu).
• Pročitajte e-poštu od WordPressa ili svog instalacijskog alata o uspješnim, neuspjelim ili vraćenim ažuriranjima. Rollback znači da ponovno radi stara (ranjiva) inačica: riješite to, često dodatnim ažuriranjem PHP-a, teme ili drugog dodatka, ili zamjenom dodatka.
• Provjerite u Zdravlje web-stranice (lekcija 5.4) ima li još upozorenja.

U praksi: kako to izgleda u panelu

U administraciji WordPressa:

1. Nadzorna ploča > Ažuriranje: status WordPressa, dodataka i tema. Ovdje također piše jesu li automatska ažuriranja za velike inačice uključena.
2. Dodaci (Plugins): u stupcu Automatska ažuriranja za svaki dodatak „uključi” ili „isključi”. Na vrhu pomoću Grupnih radnji možete uključiti više njih odjednom.
3. Izgled > Teme: kliknite na temu za gumb automatskih ažuriranja.

U Installatronu (DirectAdmin) ovo postavljate po instalaciji kod Uredi > Postavke > Automatsko ažuriranje. U Softaculousu (cPanel) i WP Toolkitu (Plesk) ista se opcija nalazi u postavkama instalacije.

Sažetak

• Poznati propusti brzo se zloupotrebljavaju; ažuriranje mora biti brzo, automatsko i moguće vratiti.
• WordPress automatski instalira male inačice (od verzije 3.7); velike inačice standardno nakon klika, ili automatski ako to odaberete.
• Uključite automatska ažuriranja za većinu dodataka i tema; od verzije 6.6 WordPress vraća neuspjela ažuriranja dodataka.
• Istekla licenca ili napušteni dodatak znače nema sigurnosnih ažuriranja: zamijenite ga.
• Pročitajte dnevnik promjena i e-poštu nakon ažuriranja; rollback aktivno rješavate.

Kviz

Zadatak

Zadatak A7.2: Je li Vaš WordPress ažuran? Pogledajte u administraciji svoje web-stranice, kod Nadzorna ploča > Ažuriranje, koju inačicu WordPressa imate, te je unesite zajedno sa svojom domenom. Program dohvaća najnoviju inačicu putem javnog API-ja za inačice na wordpress.org i uspoređuje: zeleno ako imate najnoviju, narančasto ako ste u istoj velikoj inačici ali Vam nedostaje malo ažuriranje, crveno ako koristite stariju veliku inačicu. Unesite i koliko dodataka ima uključena automatska ažuriranja, a koliko nema, te zašto.

Dodatno čitanje

Ovi članci opisuju korake u panelima WebOké; u drugim panelima postupak je sličan.

• DirectAdmin priručnik 13.5: Ažuriranja i automatska ažuriranja
• Ažuriranje Joomle i WordPressa putem Installatrona
• Greška 500 ili "kritična greška" na Vašoj web stranici (i nakon ažuriranja WordPressa)
• Postavljanje automatskih ažuriranja (wordpress.org, engleski): https://wordpress.org/documentation/article/configuring-automatic-background-updates/