"Zobaczyłem, że jest aktualizacja, ale bałem się kliknąć, bo a nuż coś zepsuje" - to jedno z najczęstszych zdań, jakie słyszę od właścicieli stron. I rozumiem ten odruch. Problem w tym, że odkładanie aktualizacji "na spokojniejszy moment" bywa dużo bardziej ryzykowne niż sama aktualizacja.
Czym w ogóle jest wtyczka
Wtyczka (po angielsku plugin) to mały, dodatkowy program, który instalujesz na swojej stronie WordPress, żeby dodać jej jakąś funkcję - formularz kontaktowy, galerię zdjęć, obsługę płatności, system rezerwacji, optymalizację pod Google. Sam WordPress to tylko fundament; to właśnie wtyczki sprawiają, że strona robi to, czego potrzebujesz. Przeciętna strona firmowa ma ich zwykle od kilkunastu do kilkudziesięciu.
Każda wtyczka to osobny kawałek kodu, napisany przez osobną firmę lub programistę, niezależnie od WordPressa i niezależnie od pozostałych wtyczek. I - jak każdy kod pisany przez ludzi - może zawierać błędy. Część z nich to błędy bezpieczeństwa, czyli sposoby, w jaki ktoś niepowołany może wykorzystać wtyczkę do włamania się na stronę.
Mechanizm, którego nikt nie tłumaczy
Tu dochodzimy do sedna. Kiedy autor wtyczki znajduje w niej lukę bezpieczeństwa (albo ktoś zgłosi mu, że taka luka istnieje), publikuje nową wersję, która ją łata. Razem z tą nową wersją, w opisie zmian, bardzo często pojawia się informacja w stylu "poprawiono lukę bezpieczeństwa pozwalającą na nieautoryzowany dostęp do plików". Taka informacja jest publiczna - widzi ją każdy, kto interesuje się aktualizacjami wtyczek.
Dla właściciela strony to sygnał "trzeba zaktualizować". Dla kogoś o złych zamiarach to gotowa instrukcja: "wiem dokładnie, jaka luka istniała w poprzedniej wersji tej wtyczki - teraz wystarczy znaleźć strony, które jeszcze jej nie zaktualizowały". A takich stron, dzięki skali WordPressa opisanej w poprzednim wpisie, zawsze jest mnóstwo - bo wiele osób odkłada aktualizacje na później.
Innymi słowy: aktualizacja wtyczki to nie jest "ulepszenie, które można zrobić kiedyś tam". To bardzo często łatanie konkretnej, już znanej publicznie dziury. Im dłużej zwlekasz, tym dłużej Twoja strona stoi z otwartymi drzwiami i ogłoszeniem, gdzie dokładnie są zawiasy.
Od publikacji łatki bezpieczeństwa do pojawienia się zautomatyzowanych ataków wykorzystujących tę konkretną lukę mija czasem zaledwie kilka dni. To dlatego "zaktualizuję w przyszłym tygodniu" bywa już spóźnione.
Dlaczego ludzie boją się aktualizować
Obawa nie jest bezpodstawna - czasem aktualizacja wtyczki faktycznie coś psuje, zwłaszcza jeśli wtyczki na stronie nie są ze sobą dobrze przetestowane albo strona ma niestandardowe modyfikacje. To realne ryzyko, ale rozwiązaniem nie jest rezygnacja z aktualizacji, tylko robienie ich w bezpieczny sposób: z aktualną kopią zapasową strony wykonaną tuż przed, najlepiej najpierw na kopii testowej, a nie od razu na działającej stronie produkcyjnej. Wtedy nawet jeśli coś pójdzie nie tak, cofnięcie zmian zajmuje kilka minut, a nie tygodnie.
Druga częsta sytuacja to strona, na której nikt regularnie nie sprawdza panelu administracyjnego - a tam właśnie WordPress pokazuje listę dostępnych aktualizacji. Jeśli nikt nie loguje się do panelu przez pół roku, te powiadomienia po prostu czekają, niewidziane, a strona przez cały ten czas jest coraz bardziej "w tyle" za łatkami bezpieczeństwa.
A co z aktualizacją samego WordPressa i motywu
Ten sam mechanizm dotyczy nie tylko wtyczek, ale też samego rdzenia WordPressa (czyli podstawowego oprogramowania, na którym wszystko stoi) oraz motywu, czyli szablonu odpowiadającego za wygląd strony. Każdy z tych elementów jest osobnym kawałkiem kodu, w każdym mogą znaleźć się luki, i każdy z nich publikuje aktualizacje na tych samych zasadach - z opisem tego, co zostało poprawione. WordPress zwykle sam instaluje drobne aktualizacje bezpieczeństwa swojego rdzenia automatycznie w tle, ale większe aktualizacje wersji i aktualizacje motywu już nie - te trzeba zatwierdzić ręcznie, dokładnie tak samo jak w przypadku wtyczek.
Warto też wiedzieć, że motyw kupiony czy pobrany "za darmo" z nieoficjalnego źródła - na przykład ze strony oferującej płatne motywy premium bez opłaty - to jeden z najczęstszych sposobów, w jaki złośliwy kod trafia na stronę od samego początku, jeszcze zanim padnie pytanie o jakiekolwiek aktualizacje. Motywy i wtyczki warto pobierać wyłącznie z oficjalnego katalogu WordPressa albo bezpośrednio od sprawdzonego autora.
Co z tego wynika
Aktualizacja wtyczki zajmuje zwykle kilka sekund kliknięcia w panelu. Sprzątanie po włamaniu, które wykorzystało lukę z nieaktualnej wtyczki, to zwykle wiele godzin pracy, czasem utracone dane, czasem okres, w którym strona w ogóle nie działa albo jest oznaczona przez Google jako niebezpieczna. Ta różnica w koszcie to najlepszy argument za tym, żeby aktualizacje traktować jako rutynę, a nie coś, co robi się "jak będzie czas".
W praktyce dobrym nawykiem jest ustalenie stałego, powtarzalnego terminu - na przykład raz w tygodniu - kiedy ktoś celowo loguje się do panelu strony wyłącznie po to, żeby sprawdzić listę dostępnych aktualizacji, zrobić kopię zapasową i je wdrożyć. To kilkanaście minut regularnie, zamiast wielogodzinnej akcji ratunkowej raz na dwa lata.
Jeśli samodzielne pilnowanie tego brzmi jak kolejny obowiązek, na który nie masz ani czasu, ani ochoty - to zupełnie naturalne, zwłaszcza gdy prowadzenie strony to dla Ciebie jedno z wielu zadań w firmie, a nie główne zajęcie. Właśnie dlatego regularne aktualizacje są jednym z podstawowych elementów opieki technicznej nad stroną, o czym więcej napiszę w dalszych częściach tej serii.
Chcesz to wdrożyć u siebie?
Opisz swój projekt, a odpiszę w ciągu 24h z konkretną propozycją.