Jak włączyć automatyczne aktualizacje w WordPress? Dwie drogi

Podsumowanie

• Zamkniesz najczęstszą drogę włamań na WordPressa, czyli okno między wydaniem łatki a jej instalacją u Ciebie.
• Włączysz automatyczne aktualizacje rdzenia, wtyczek i motywów, klikając w panelu, bez wtyczek i bez kodu.
• Sprawdzisz w kilkanaście sekund, kto zarządza aktualizacjami na Twojej stronie, bo od tego zależy, gdzie je włączysz.
• Poznasz drugą drogę, z panelu hostingu, która robi kopię zapasową przed aktualizacją.
• Dowiesz się, czego żaden automat za Ciebie nie zrobi, żeby nie kupić sobie fałszywego spokoju.

W ciągu trzech tygodni WordPress zaliczył dwa poważne zdarzenia bezpieczeństwa: lipcową lukę wp2shell, przy której CERT Polska ostrzegał przed masowym atakiem, i sierpniowe wydanie 7.0.3 z dwunastoma załatanymi podatnościami. W obu przypadkach łatka była gotowa, zanim większość ludzi w ogóle usłyszała o problemie. Cała gra toczy się o to, ile czasu mija od wydania łatki do jej instalacji u Ciebie. Ten poradnik sprowadza ten czas do zera.

Dwie sytuacje, w zależności od tego, gdzie stoi Twoja strona

Zanim zaczniesz klikać, jedna rzecz na trzydzieści sekund, bo inaczej możesz szukać przełącznika, którego u siebie nie masz.

Wejdź w Wtyczki i spójrz na prawą stronę listy. Widzisz kolumnę Automatyczne aktualizacje? Jeśli tak, to jest zwykły WordPress i wszystko ustawisz sam w panelu, czyli obowiązuje Cię rozdział pierwszy. Jeśli tej kolumny nie ma, aktualizacjami zarządza autoinstalator hostingu i obowiązuje Cię rozdział drugi, znacznie krótszy (i lepszy) – ale o tym później.

Czy WordPress robi aktualizacje sam z siebie

Zanim cokolwiek włączysz, warto wiedzieć, ile już masz za darmo.

Od wersji 3.7 WordPress sam instaluje wydania konserwacyjne i bezpieczeństwa, czyli dokładnie takie jak 7.0.3. Ogłoszenie tego wydania mówi to wprost: witryny z włączonymi aktualizacjami w tle zaczną się aktualizować w ciągu najbliższych chwil. Jeśli nikt Ci tego nie wyłączył, jesteś już załatany i nic nie musisz robić.

Od wersji 5.6 nowe instalacje mają domyślnie także wydania główne, czyli przeskok w rodzaju 7.0 na 7.1. Istniejące instalacje zostały przy starym zachowaniu, więc jeśli Twoja strona ma swoje lata, prawdopodobnie dostaje wyłącznie łatki bezpieczeństwa.

Czego rdzeń nie robi sam z siebie w żadnym z tych wariantów:

• nie aktualizuje wtyczek, a to one odpowiadają za większość włamań na WordPressie,
• nie aktualizuje motywów.

I to jest właśnie ta luka, którą zamykamy niżej.

Rozdział 1: zwykły WordPress, czyli wszystko w panelu

Ta część dotyczy stron, których nie obsługuje autoinstalator: instalacji na serwerze VPS, postawionych ręcznie albo przeniesionych z innego serwera. Nic nie instalujesz i nic nie dopisujesz w plikach. Wszystko jest w panelu, w trzech miejscach, bo WordPress trzyma te przełączniki osobno dla rdzenia, wtyczek i motywów.

Rdzeń: wszystkie wersje, nie tylko łatki

Wejdź w Kokpit, Aktualizacje. Pod numerem wersji WordPress mówi wprost, na czym stoisz. Najczęściej zobaczysz zdanie „Witryna jest automatycznie aktualizowana tylko z wykorzystaniem wydań konserwacyjnych i bezpieczeństwa WordPressa”, a pod nim odnośnik Włącz automatyczne aktualizacje dla każdej nowej wersji WordPressa. Jedno kliknięcie i rdzeń aktualizuje się w całości.

Jeśli widzisz zdanie odwrotne, czyli „Witryna jest automatycznie aktualizowana dla każdej nowej wersji WordPressa„, masz już wszystko włączone, a odnośnik pod spodem służy do przełączenia się z powrotem na same łatki.

Wtyczki: tu jest największy zysk

Wejdź w Wtyczki. W kolumnie Automatyczne aktualizacje jest odnośnik przy każdej wtyczce z osobna.

Klikanie po kolei przy dwudziestu wtyczkach nie ma sensu. Zaznacz je wszystkie polem w nagłówku tabeli, rozwiń listę Działania masowe, wybierz Włącz automatyczne aktualizacje i kliknij Zastosuj. Cała lista załatwiona za jednym razem.

Efekt sprawdzisz od razu nad listą: WordPress pokazuje tam filtr Automatyczne aktualizacje wyłączone z liczbą wtyczek. Jeśli po zapisaniu liczba spadła do zera, masz wszystko włączone.

Jeśli masz wtyczkę, która robi coś krytycznego dla sprzedaży, na przykład integrację płatności albo wysyłki, zostaw akurat ją na ręcznej aktualizacji i pilnuj osobno. Reszta niech chodzi sama.

Motywy: krótko, bo jest ich zwykle jeden

Wejdź w Wygląd, Motywy i kliknij swój motyw. W okienku ze szczegółami, tuż pod nazwą autora, jest odnośnik Włącz automatyczne aktualizacje. To samo zrób z motywem nadrzędnym, jeśli używasz motywu potomnego.

Jednej rzeczy nie znajdziesz i to nie jest błąd: motywy spoza katalogu WordPressa tego odnośnika nie mają. Motyw zrobiony na zamówienie albo kupiony poza katalogiem nie ma skąd pobierać aktualizacji, więc WordPress nie oferuje dla niego automatu. Takie motywy aktualizuje się ręcznie, zgodnie z tym, co mówi ich autor.

Dla zaawansowanych: to samo z pliku wp-config.php

Zachowanie rdzenia da się ustawić także poza panelem, jedną linijką w pliku wp-config.php. Służy do tego stała WP_AUTO_UPDATE_CORE, która przyjmuje trzy wartości:

define( 'WP_AUTO_UPDATE_CORE', true );    // wszystkie aktualizacje rdzenia
define( 'WP_AUTO_UPDATE_CORE', 'minor' ); // tylko wydania konserwacyjne i bezpieczeństwa, np. 7.0.2 na 7.0.3
define( 'WP_AUTO_UPDATE_CORE', false );   // żadnych automatycznych aktualizacji rdzenia

Dwie rzeczy warto wiedzieć, zanim tam zajrzysz.

Stała nadpisuje ustawienie z panelu. Tak mówi dokumentacja WordPressa i to jest najczęstsza przyczyna sytuacji, w której odnośnika opisanego wyżej po prostu nie ma. Skoro decyzja zapadła w pliku, WordPress nie pokazuje przełącznika, bo nie miałby czego przełączać. Jeśli więc szukasz go na próżno, a Twoja strona nie stoi na autoinstalatorze, zajrzyj właśnie tutaj.

false to nie jest to samo co „ostrożniej”. Wyłącza również wydania bezpieczeństwa, czyli dokładnie te, które chronią Cię przy takich zdarzeniach jak 7.0.3. Jeśli chcesz tylko uniknąć niespodzianek przy dużych wersjach, właściwą wartością jest 'minor', nie false. Osobna stała AUTOMATIC_UPDATER_DISABLED ustawiona na true wyłącza cały mechanizm, razem z wtyczkami i motywami, i jest to najgorszy możliwy stan dla strony, która stoi w internecie.

Zastrzeżenie: to droga dla osób, które mają dostęp do plików i wiedzą, co robią. Literówka w wp-config.php potrafi wyłożyć całą witrynę, więc rób kopię pliku przed edycją. Jeśli wystarczają Ci przełączniki z panelu, nie masz tu czego szukać.

Czego ta droga nie daje

Natywny mechanizm zrobi aktualizację i wyśle Ci maila. Nie zrobi natomiast kopii zapasowej przed zmianą i nie cofnie aktualizacji, jeśli coś pójdzie nie tak. Kiedy wtyczka rozjedzie układ strony w środku nocy, dowiesz się o tym rano, w najlepszym razie od siebie, w gorszym od klienta.

Rozdział 2: WordPress pod AutoInstalatorem

Jeśli w Twoim panelu nie ma ani kolumny przy wtyczkach, ani odnośnika przy rdzeniu, nic nie jest zepsute. Najlepiej widać to po rozwinięciu listy Działania masowe na ekranie wtyczek. Zostają w niej tylko cztery pozycje: Włącz, Wyłącz, Aktualizuj i Usuń. Obu poleceń dotyczących automatycznych aktualizacji, które widziałeś w rozdziale pierwszym, po prostu nie ma:

Kto za tym stoi, sprawdzisz na tej samej stronie, klikając filtr Wymuszane nad listą wtyczek. Zobaczysz tam wtyczkę, która przejęła sterowanie:

W takim układzie aktualizacjami zarządza panel hostingu, a WordPress celowo chowa własne przełączniki, żeby dwa mechanizmy nie wchodziły sobie w drogę. Nie musisz nic naprawiać w WordPressie, tylko ustawić to samo w panelu, gdzie przy okazji dostajesz rzecz, której natywny mechanizm nie ma: kopię zapasową wykonywaną przed aktualizacją.

Tę drogę mamy u nas opisaną osobno, więc nie będę jej tu powtarzał:

• co potrafi AutoInstalator i jak włączyć w nim automatyczne aktualizacje WordPressa oraz wtyczek: instalacja jednym kliknięciem,
• masz stronę wgraną ręcznie i nie widzisz jej w panelu? import aplikacji do AutoInstalatora krok po kroku,
• wolisz jednak natywne przełączniki WordPressa? aplikację można odłączyć od autoinstalatora bez utraty plików i bazy, a potem wrócić do rozdziału pierwszego. Zrób to od razu po odłączeniu, żeby strona nie została bez żadnego automatu.

Którą drogę wybrać

Obie skracają czas między łatką a Twoją stroną do zera. Różnią się tym, co się dzieje, kiedy aktualizacja się nie uda.

Jeśli prowadzisz zwykłą stronę firmową, wystarczy pięć minut w tej drodze, którą masz dostępną. Jeśli na stronie są pieniądze, sklep albo klient, który zauważy awarię przed Tobą, celuj w wariant z kopią zapasową przed aktualizacją, bo to on odróżnia drobną wpadkę od wieczoru z odzyskiwaniem strony.

Czego żaden automat nie załatwi

Wtyczki porzucone przez autorów. Jeśli wtyczka nie miała aktualizacji od dwóch lat, automat nie ma czego zainstalować. Luka w niej zostanie luką. Raz na jakiś czas przejrzyj listę i wyrzuć to, czego nie używasz, bo najbezpieczniejsza wtyczka to ta, której nie masz.

Wersje główne i zmiany łamiące. Przeskok na nowe wydanie główne warto zrobić świadomie, po kopii zapasowej, najlepiej najpierw na kopii testowej strony.

Stare PHP i słabe hasła. Aktualny WordPress na przestarzałym PHP i z hasłem admin123 to nadal łatwy cel. Aktualizacje to jeden element, nie całość.

WordPress automatyczne aktualizacje – pytania

Jeśli prowadzisz stronę na WordPressie i chcesz, żeby te rzeczy działy się same, hosting pod WordPressa z AutoInstalatorem, automatycznymi kopiami i LiteSpeed załatwia to z poziomu panelu, bez dokładania kolejnych wtyczek. A jeśli wolisz pełną kontrolę i własne środowisko, sprawdź serwery VPS z administracją.