Modul 7 · 7.2
Slovenčina
Udržiavanie aktualizácií
Modul 7: Zabezpečenie · Čas čítania: 8 minút
Cieľ lekcie: Po tejto lekcii dokážete nastaviť aktualizácie tak, aby prebiehali rýchlo a bezpečne, a budete vedieť, čo robiť s pluginom, ktorý už aktualizácie nedostáva.
Kľúčové pojmy: malá verzia, veľká verzia, bezpečnostná aktualizácia, automatické aktualizácie (jadro, pluginy, témy), rollback, aktualizácie cez installer, opustený plugin, changelog, staging pre veľké aktualizácie
Prečo je rýchla aktualizácia dôležitejšia než opatrné čakanie
Lekcia 7.1 to ukázala: útočníci hľadajú známe zraniteľnosti, na ktoré už existuje aktualizácia. Medzi vydaním opravy a prvými hromadnými skenmi niekedy uplynie len pár hodín alebo dní. Kto „najprv mesiac počká, či je aktualizácia v poriadku“, je počas toho mesiaca zraniteľný.
Aktualizácia zároveň môže niečo pokaziť. Riešením nie je čakať, ale zabezpečiť, aby bola aktualizácia automatická, rýchla a vratná:
- malé aktualizácie a aktualizácie pluginov automaticky;
- záloha tesne pred aktualizáciou, s automatickým návratom, ak niečo zlyhá;
- veľké aktualizácie najprv otestujte v testovacom prostredí (staging) (lekcia 8.3), no v priebehu dní, nie mesiacov.
Malé a veľké verzie WordPressu
WordPress číslo verzie zapisuje ako 7.1.4:
- 7.1 je veľká verzia (major release). Vychádza ich niekoľko ročne, s novými funkciami.
- .4 je malá verzia (minor release): opravy a bezpečnostné aktualizácie, bez veľkých zmien.
Od verzie 3.7 WordPress inštaluje malé verzie a bezpečnostné aktualizácie automaticky, pokiaľ ste to nevypli. Veľké verzie štandardne inštalujete sami, tlačidlom v Nástenka > Aktualizácie. V súbore wp-config.php môžete toto správanie ovplyvniť:
define( 'WP_AUTO_UPDATE_CORE', 'minor' ); // štandard: iba malé verzie
define( 'WP_AUTO_UPDATE_CORE', true ); // aj veľké verzie
define( 'WP_AUTO_UPDATE_CORE', false ); // nič automaticky (neodporúča sa)Vyberte si jeden z troch riadkov. Štandardné nastavenie (minor) je pre väčšinu webových stránok vhodné; ak za vás veľké verzie aktualizuje váš installer alebo hosting, je to tiež v poriadku.
WordPress oficiálne podporuje iba najnovšiu veľkú verziu. Bezpečnostné opravy sa istý čas vracajú aj do starších radov, no na to sa nedá spoliehať.
Pluginy a témy automaticky
Od verzie WordPress 5.5 môžete v časti Pluginy pri každom pluginu kliknúť na Zapnúť automatické aktualizácie, a v časti Vzhľad > Témy to isté pri každej téme. Zapnite to pre väčšinu pluginov: práve tam sa nachádzajú zraniteľnosti (lekcia 7.1).
Od verzie WordPress 6.6 WordPress po automatickej aktualizácii pluginu kontroluje, či stránka stále funguje. Ak aktualizácia spôsobí fatálnu chybu, WordPress vráti predchádzajúcu verziu (rollback) a dostanete e-mail. Tým sa rieši najväčšie riziko automatických aktualizácií: biela stránka, ktorú si všimnete až o týždeň.
Nástroje ako Installatron (lekcia 2.2) to vedia tiež: s vopred vytvorenou zálohou a návratom, ak aktualizácia zlyhá. Používajte vedome jeden z oboch systémov; navzájom si neprekážajú, ale chcete vedieť, kto čo robí.
Výnimky, kedy automatické aktualizácie niekedy vypnete:
- plugin, pri ktorom viete, že veľké verzie často niečo menia (nástroj na tvorbu stránok, plugin internetového obchodu s prepojeniami); aktualizujte ho po otestovaní v testovacom prostredí, no rýchlo;
- téma s úpravami priamo v súboroch. Lepšie je dať tieto úpravy do podradenej témy (child theme) (lekcia 5.2), potom môže nadradená téma pokojne fungovať automaticky.
Platené pluginy
Platené pluginy dostávajú aktualizácie iba dovtedy, kým platí vaša licencia. Vypršaná licencia znamená: žiadne bezpečnostné aktualizácie. Sledujte svoje licencie (lekcia 9.4). A platený plugin stiahnutý z nelegálnej stránky nedostáva aktualizácie vôbec (lekcia 5.3).
Opustený plugin
Plugin, ktorý dlho nedostal aktualizáciu, alebo bol odstránený z adresára pluginov na wordpress.org („Tento plugin bol uzavretý“), už nedostane žiadne opravy. Čo urobiť:
- Zistite prečo. Pri uzavretom plugine je často uvedený dôvod (napríklad bezpečnostný problém). Ak ide o bezpečnostný problém, konajte okamžite.
- Nájdite alternatívu, ktorá sa aktívne udržiava (lekcia 5.3), alebo zvážte, či danú funkciu ešte potrebujete.
- Nahraďte v testovacom prostredí, otestujte a starý plugin potom úplne odstráňte.
Ponechať opustený plugin „pre istotu“ je presne tým rizikom, ktorému sa chcete vyhnúť.
Čítanie changelogu
Pri každej aktualizácii je uvedený changelog: čo sa zmenilo. Nájdete ho v Nástenka > Aktualizácie alebo na stránke pluginu (záložka Vývoj alebo Zoznam zmien). Všímajte si najmä slová ako „security“, „bezpečnosť“ alebo „fix vulnerability“: vtedy chcete aktualizovať čo najskôr. A tiež „breaking change“, „requires PHP 8.x“ alebo „nová verzia“: vtedy najprv otestujte.
Po aktualizácii
- Prezrite si stránku, vrátane najdôležitejších funkcií (formulár, nákupný košík, prihlásenie).
- Prečítajte si e-maily od WordPressu alebo svojho installera o úspešných, zlyhaných alebo vrátených aktualizáciách. Rollback znamená, že beží znova stará (zraniteľná) verzia: vyriešte to, často aj aktualizáciou PHP, témy alebo iného pluginu, alebo nahradením pluginu.
- Pozrite sa do sekcie Zdravie webovej stránky (lekcia 5.4), či tam nie sú ďalšie upozornenia.
V praxi: ako to vyzerá v paneli
V administrácii WordPressu:
- Nástenka > Aktualizácie: stav WordPressu, pluginov a tém. Tu tiež vidíte, či sú zapnuté automatické aktualizácie pre veľké verzie.
- Pluginy: v stĺpci Automatická aktualizácia pri každom plugine „zapnúť“ alebo „vypnúť“. Hore môžete pomocou Hromadných akcií zapnúť viacero naraz.
- Vzhľad > Témy: kliknite na tému, kde nájdete tlačidlo pre automatické aktualizácie.
V Installatrone (DirectAdmin) toto nastavíte pre každú inštaláciu v časti Upraviť > Nastavenia > Auto-Update. V Softaculous (cPanel) a WP Toolkit (Plesk) sa rovnaká možnosť nachádza v nastaveniach inštalácie.
Zhrnutie
- Známe zraniteľnosti sa rýchlo zneužívajú; aktualizácia musí byť rýchla, automatická a vratná.
- WordPress inštaluje malé verzie automaticky (od verzie 3.7); veľké verzie štandardne po kliknutí, alebo automaticky, ak si to zvolíte.
- Zapnite automatické aktualizácie pre väčšinu pluginov a tém; od verzie 6.6 WordPress vracia neúspešné aktualizácie pluginov.
- Vypršaná licencia alebo opustený plugin znamená žiadne bezpečnostné aktualizácie: nahraďte ho.
- Po aktualizácii si prečítajte changelog a e-maily; rollback aktívne vyriešte.
Kvíz
Úloha
Úloha A7.2: Je váš WordPress aktuálny? V administrácii vašej stránky si v časti Nástenka > Aktualizácie pozrite, akú verziu WordPressu máte, a vyplňte ju spolu so svojou doménou. Program zistí najnovšiu verziu z verejného API verzií na wordpress.org a porovná ich: zelená, ak máte najnovšiu verziu, oranžová, ak ste v rámci rovnakej veľkej verzie, no chýba vám malá aktualizácia, červená, ak používate staršiu veľkú verziu. Vyplňte tiež, koľko pluginov má zapnuté automatické aktualizácie a koľko nie, a prečo.
Ďalšie čítanie
Tieto články popisujú kroky v paneloch WebOké; v iných paneloch fungujú podobne.
- Návod na DirectAdmin 13.5: Aktualizácie a automatické aktualizácie
- Aktualizácia Joomly a WordPressu cez Installatron
- Chyba 500 alebo „kritická chyba" na vašej webovej stránke (aj po aktualizácii WordPress)
- Nastavenie automatických aktualizácií (wordpress.org, Angličtina): https://wordpress.org/documentation/article/configuring-automatic-background-updates/