Module 7 · 7.2
Updates bijhouden
Module 7: Beveiliging · Leestijd: 8 minuten
Leerdoel: Na deze les kun je updates zo inrichten dat ze snel en veilig gebeuren, en weet je wat je doet met een plugin die geen updates meer krijgt.
Kernbegrippen: kleine versie, grote versie, beveiligingsupdate, automatische updates (core, plugins, thema's), rollback, installer-updates, verlaten plugin, changelog, staging voor grote updates
Waarom snel bijwerken belangrijker is dan voorzichtig wachten
Les 7.1 liet het zien: inbrekers zoeken naar bekende lekken waarvoor al een update is. Tussen het verschijnen van een reparatie en de eerste massale scans zit soms maar een paar uur of dagen. Wie "eerst een maand afwacht of de update goed is", staat die maand open.
Tegelijk kan een update iets breken. De oplossing is niet wachten, maar zorgen dat bijwerken vanzelf, snel en terug te draaien is:
- kleine updates en plugin-updates automatisch;
- een back-up vlak voor de update, met een automatische terugval als het misgaat;
- grote updates eerst testen in staging (les 8.3), maar binnen dagen, niet maanden.
Kleine en grote versies van WordPress
WordPress nummert versies als 7.1.4:
- 7.1 is de grote versie (major release). Er komen er een paar per jaar, met nieuwe functies.
- .4 is een kleine versie (minor release): reparaties en beveiligingsupdates, zonder grote veranderingen.
Sinds versie 3.7 installeert WordPress kleine versies en beveiligingsupdates automatisch, tenzij je dat hebt uitgezet. Grote versies installeer je standaard zelf, met een knop bij Dashboard > Updates. In wp-config.php kun je dat gedrag sturen:
define( 'WP_AUTO_UPDATE_CORE', 'minor' ); // standaard: alleen kleine versies
define( 'WP_AUTO_UPDATE_CORE', true ); // ook grote versies
define( 'WP_AUTO_UPDATE_CORE', false ); // niets automatisch (afgeraden)Kies één van de drie regels. De standaard (minor) is voor de meeste sites goed; zet je installer of je hoster grote versies voor je bij, dan is dat ook prima.
WordPress ondersteunt officieel alleen de nieuwste grote versie. Beveiligingsreparaties worden een tijd ook naar oudere reeksen teruggezet, maar daar mag je niet op rekenen.
Plugins en thema's automatisch
Sinds WordPress 5.5 kun je bij Plugins per plugin Automatische updates inschakelen aanklikken, en bij Weergave > Thema's per thema. Zet dit aan voor de meeste plugins: daar zitten de lekken (les 7.1).
Sinds WordPress 6.6 controleert WordPress na een automatische plugin-update of de site nog werkt. Geeft de update een fatale fout, dan zet WordPress de vorige versie terug (een rollback) en krijg je een mail. Dat vangt het grootste risico van automatische updates op: een witte site waar je pas na een week achter komt.
Installers zoals Installatron (les 2.2) kunnen het ook: met een back-up vooraf en een terugval als de update mislukt. Gebruik één van beide systemen bewust; ze bijten elkaar niet, maar je wilt weten wie wat doet.
Uitzonderingen waar je automatische updates soms uit laat:
- een plugin waarvan je weet dat grote versies vaak iets veranderen (een paginabouwer, een webwinkelplugin met koppelingen); werk die bij na een test in staging, maar wel snel;
- een thema met aanpassingen in de bestanden zelf. Beter: zet die aanpassingen in een child theme (les 5.2), dan kan het parentthema gewoon automatisch.
Betaalde plugins
Betaalde plugins krijgen updates alleen zolang je licentie loopt. Een verlopen licentie betekent: geen beveiligingsupdates. Houd je licenties bij (les 9.4). En een betaalde plugin van een downloadsite krijgt helemaal geen updates (les 5.3).
De verlaten plugin
Een plugin zonder updates in lange tijd, of die uit de pluginmap van wordpress.org is gehaald ("Deze plugin is gesloten"), krijgt geen reparaties meer. Wat je doet:
- Kijk waarom. Bij een gesloten plugin staat vaak de reden (bijvoorbeeld een beveiligingsprobleem). Is het een beveiligingsprobleem, handel dan meteen.
- Zoek een alternatief dat actief onderhouden wordt (les 5.3), of kijk of je de functie nog nodig hebt.
- Vervang in staging, test, en verwijder de oude plugin daarna helemaal.
Een verlaten plugin "voor de zekerheid" laten staan, is precies het risico dat je wilt vermijden.
Changelog lezen
Bij elke update staat een changelog: wat er is veranderd. Bij Dashboard > Updates of op de pluginpagina (tabblad Ontwikkeling of Changelog). Kijk vooral naar woorden als "security", "beveiliging" of "fix vulnerability": dan wil je zo snel mogelijk bijwerken. En naar "breaking change", "requires PHP 8.x" of "nieuwe versie van": dan test je eerst.
Na een update
- Bekijk je site even, inclusief de belangrijkste functies (formulier, winkelwagen, inloggen).
- Lees de mails van WordPress of je installer over geslaagde, mislukte of teruggedraaide updates. Een rollback betekent dat de oude (kwetsbare) versie weer draait: los het op, vaak door ook PHP, thema of een andere plugin bij te werken, of door de plugin te vervangen.
- Kijk in Sitediagnose (les 5.4) of er nog meldingen zijn.
In de praktijk: zo ziet het eruit in een paneel
In het beheer van WordPress:
- Dashboard > Updates: de status van WordPress, plugins en thema's. Hier staat ook of automatische updates voor grote versies aan staan.
- Plugins: in de kolom Automatische updates per plugin "inschakelen" of "uitschakelen". Bovenaan kun je met Bulkacties meerdere tegelijk aanzetten.
- Weergave > Thema's: klik op een thema voor de knop automatische updates.
In Installatron (DirectAdmin) stel je het per installatie in bij Bewerk > Instellingen > Auto-Update. In Softaculous (cPanel) en de WP Toolkit (Plesk) zit dezelfde keuze bij de instellingen van de installatie.
Samenvatting
- Bekende lekken worden snel misbruikt; bijwerken moet snel, automatisch en terug te draaien zijn.
- WordPress installeert kleine versies automatisch (sinds 3.7); grote versies standaard na een klik, of automatisch als je dat kiest.
- Zet automatische updates aan voor de meeste plugins en thema's; sinds 6.6 rolt WordPress mislukte plugin-updates terug.
- Een verlopen licentie of verlaten plugin betekent geen beveiligingsupdates: vervang hem.
- Lees de changelog en de mails na een update; een rollback los je actief op.
Quiz
Opdracht
Opdracht A7.2: Is je WordPress bij? Kijk in het beheer van je site bij Dashboard > Updates welke versie van WordPress je hebt en vul die in, samen met je domein. Het programma haalt de nieuwste versie op bij de openbare versie-API van wordpress.org en vergelijkt: groen als je de nieuwste hebt, oranje als je in dezelfde grote versie zit maar een kleine update mist, rood als je een oudere grote versie draait. Vul ook in hoeveel plugins automatische updates aan hebben en hoeveel niet, en waarom die niet.
Verder lezen
Deze artikelen beschrijven de stappen in de panelen van WebOké; in andere panelen werken ze vergelijkbaar.
- DirectAdmin handleiding 13.5: Updates en automatische updates
- WordPress en Joomla updaten via Installatron
- Fout 500 of "kritieke fout" op je website (ook na een WordPress-update)
- Automatische updates instellen (wordpress.org, Engels): https://wordpress.org/documentation/article/configuring-automatic-background-updates/