Dlaczego aktualizacje WordPressa są tak ważne
Strona na WordPressie składa się z kodu wielu autorów: zespołu rozwijającego sam system, twórcy motywu i autorów kilkunastu wtyczek. Gdy w którymś z tych elementów zostaje wykryta luka, autor wydaje poprawkę. Od tej chwili informacja o luce jest publiczna, a strony, których nikt nie zaktualizował, stają się łatwym celem dla automatycznych skanerów.
Drugi powód jest mniej oczywisty: zgodność. Serwery przechodzą na nowsze wersje PHP, przeglądarki zmieniają standardy, operatorzy płatności i usługi zewnętrzne zmieniają swoje interfejsy. Strona, której nikt nie aktualizował przez dwa lata, w pewnym momencie przestaje współpracować z otoczeniem — a wtedy aktualizacja wszystkiego naraz jest najtrudniejsza i najbardziej ryzykowna.
CERT Polska w zaleceniach dotyczących aktualizacji podkreśla, że oprogramowanie bez wsparcia producenta nie powinno działać produkcyjnie, nawet jeśli pozornie działa poprawnie. W świecie WordPressa dotyczy to zwłaszcza wtyczek, których autor przestał je rozwijać.
Co dokładnie aktualizujesz
„Aktualizacja WordPressa” to w rzeczywistości kilka różnych rzeczy. Każda wymaga trochę innego podejścia.
| Element | Co to jest | Na co uważać |
|---|---|---|
| Rdzeń — wydania drobne | Poprawki błędów i bezpieczeństwa w ramach tej samej wersji głównej | Zwykle bezpieczne; WordPress instaluje je automatycznie |
| Rdzeń — wydania główne | Nowe funkcje, zmiany w edytorze i panelu | Warto odczekać na pierwsze poprawki i sprawdzić zgodność wtyczek |
| Wtyczki | Formularze, SEO, kopie, sklep, kreatory stron | Najwięcej aktualizacji i najczęstsze źródło konfliktów |
| Motyw | Wygląd i część funkcji strony | Zmiany wprowadzone bezpośrednio w plikach motywu znikną po aktualizacji |
| Tłumaczenia | Pliki językowe systemu, motywu i wtyczek | Zwykle bezproblemowe |
| PHP na serwerze | Język, w którym działa WordPress | Zmiana wersji może ujawnić przestarzałe wtyczki; ustawiasz ją w panelu hostingu |
Uwaga o motywie jest szczególnie ważna przy stronach przejmowanych po innym wykonawcy. Jeśli ktoś wprowadzał poprawki wprost w plikach motywu, pierwsza aktualizacja je usunie. Zanim ją uruchomisz, sprawdź, czy strona korzysta z motywu potomnego (child theme), czy z oryginalnego.
Wersję PHP i inne problemy techniczne pokazuje wbudowane narzędzie WordPressa: Narzędzia → Zdrowie witryny. Warto tam zaglądać przed większymi aktualizacjami.
Zmiana wersji PHP
Wersję PHP zmienia się rzadziej niż wtyczki, ale ma ona duży wpływ na całą stronę. Starsze wersje PHP z czasem tracą wsparcie i poprawki bezpieczeństwa, a dostawcy hostingu wycofują je z serwerów. Zmianę najlepiej przeprowadzić najpierw na kopii testowej: przełączyć wersję, przejść przez najważniejsze podstrony i panel, zajrzeć do dziennika błędów.
Jeśli któraś wtyczka nie działa z nowszą wersją PHP, to zwykle sygnał, że wymaga aktualizacji albo została porzucona przez autora. Lepiej dowiedzieć się o tym na kopii testowej niż w dniu, w którym dostawca hostingu wyłączy starą wersję.
Automatyczne aktualizacje: włączać czy nie?
WordPress od lat sam instaluje drobne wydania rdzenia, czyli głównie poprawki bezpieczeństwa. Od wersji 5.5 administrator może też włączyć automatyczne aktualizacje wybranych wtyczek i motywów — osobno dla każdej wtyczki na liście wtyczek i dla każdego motywu w jego szczegółach. Według dokumentacji WordPressa system uruchamia automatyczne aktualizacje domyślnie dwa razy dziennie i informuje e-mailem o ich wyniku.
Mechanizm opiera się na wewnętrznym harmonogramie zadań WordPressa. Jeśli harmonogram nie działa poprawnie, aktualizacje mogą się nie wykonywać — sprawdzisz to właśnie w Zdrowiu witryny.
W praktyce stosuję taki podział:
- Drobne wydania rdzenia — automatycznie, zawsze.
- Proste, dobrze utrzymywane wtyczki bez wpływu na kluczowe funkcje — automatycznie, jeśli strona ma regularne kopie i ktoś czyta powiadomienia.
- Wtyczki kluczowe — sklep, płatności, formularze, kreator stron, wielojęzyczność — ręcznie, po kopii i teście.
- Wydania główne rdzenia — ręcznie, po kilku dniach od premiery i sprawdzeniu zgodności wtyczek.
Automatyczna aktualizacja bez kopii i bez nikogo, kto czyta powiadomienia, to loteria. Ręczna aktualizacja, której nikt nie robi, to loteria jeszcze gorsza.
Przed aktualizacją: checklista
- Zrób pełną kopię — pliki i bazę danych — i sprawdź, czy się zapisała. Oficjalna dokumentacja WordPressa nazywa sprawdzenie kopii krokiem niezbędnym.
- Przeczytaj listę zmian przy większych aktualizacjach. Autorzy wtyczek zwykle uprzedzają o zmianach, które wymagają uwagi.
- Sprawdź zgodność — z jaką wersją WordPressa i PHP wtyczka była testowana.
- Wybierz porę o małym ruchu, kiedy masz czas zareagować. Nie w piątek po południu i nie tuż przed urlopem.
- Zanotuj obecne wersje aktualizowanych elementów, żeby w razie problemu wiedzieć, do czego wrócić.
- Przygotuj kopię testową, jeśli strona jest dla firmy ważna — zwłaszcza sklep. Część firm hostingowych pozwala utworzyć taką kopię strony (tzw. staging) z poziomu panelu.
Bezpieczna aktualizacja krok po kroku
- Na kopii testowej zainstaluj aktualizacje — przy wielu wtyczkach pojedynczo albo w małych grupach, żeby wiedzieć, która ewentualnie powoduje problem.
- Sprawdź kopię testową: stronę główną, kilka podstron, menu na telefonie, formularz kontaktowy, a w sklepie dodanie do koszyka, wybór dostawy i płatność w trybie testowym.
- Jeśli wszystko działa, powtórz aktualizację na działającej stronie w tej samej kolejności. Niektóre rozbudowane wtyczki, np. sklepowe, po aktualizacji proszą jeszcze o aktualizację bazy danych — to kolejny powód, żeby mieć jej świeżą kopię.
- Wyczyść pamięć podręczną (cache) — we wtyczce i na serwerze — żeby odwiedzający zobaczyli aktualną wersję.
- Sprawdź działającą stronę i wyślij prawdziwą wiadomość z formularza na własny adres.
- Zapisz w dzienniku, co i kiedy zaktualizowałeś. Gdy po tygodniu pojawi się problem, łatwiej będzie znaleźć przyczynę.
Na prostej stronie wizytówce możesz pominąć kopię testową, ale nigdy kopii zapasowej i sprawdzenia strony po aktualizacji. Jak zaplanować kopie, żeby naprawdę dało się z nich wrócić, opisuję w artykule o tym, jak robić kopię zapasową strony.
Co zrobić, gdy po aktualizacji strona przestała działać
Najczęstsze objawy to biała strona, komunikat o krytycznym błędzie albo rozjechany wygląd. Przy aktualnej kopii to sytuacja do opanowania.
- Sprawdź skrzynkę administratora. Od wersji 5.2 WordPress przy krytycznym błędzie wysyła e-mail z linkiem do trybu odzyskiwania. Po zalogowaniu przez ten link wtyczka lub motyw, który powoduje błąd, jest wstrzymany, więc możesz wejść do panelu i go wyłączyć.
- Wyłącz wtyczkę przez serwer. Jeśli e-mail nie dotarł, zmień przez FTP albo menedżer plików nazwę katalogu podejrzanej wtyczki w wp-content/plugins — WordPress przestanie ją wczytywać.
- Wyczyść pamięć podręczną. Rozjechany wygląd bywa efektem starych plików stylów zapisanych w cache.
- Przywróć kopię. Jeśli nie wiesz, co jest przyczyną, a strona musi działać, wróć do kopii sprzed aktualizacji i szukaj przyczyny na spokojnie, na kopii testowej.
- Zgłoś problem autorowi wtyczki — z wersjami WordPressa i PHP oraz treścią komunikatu o błędzie.
Unikaj zostawiania strony na starej wersji wtyczki „na zawsze”. Cofnięcie aktualizacji to rozwiązanie na kilka dni, do czasu poprawki od autora, a nie stały stan.
Porzucone i niepotrzebne wtyczki
Najbezpieczniejsza wtyczka to ta, której nie ma. Wyłączona wtyczka nadal leży na serwerze, a jej pliki mogą zawierać lukę. Raz na jakiś czas przejrzyj listę i:
- usuń wtyczki wyłączone i nieużywane, a także zbędne motywy (zostaw jeden domyślny jako zapasowy);
- sprawdź, kiedy wtyczka była ostatnio aktualizowana. W katalogu WordPress.org przy wtyczkach, które nie były testowane z trzema ostatnimi głównymi wydaniami WordPressa, pojawia się ostrzeżenie — to sygnał, żeby poszukać zamiennika;
- nie instaluj płatnych wtyczek pobranych „za darmo” z nieoficjalnych źródeł — taki kod może zawierać złośliwe dodatki i nie dostaje aktualizacji;
- sprawdź, na kogo są wykupione licencje płatnych wtyczek. Bez aktywnej licencji wtyczka często nie dostaje aktualizacji.
Jak często aktualizować i kto ma to robić
Poprawki bezpieczeństwa instaluj możliwie szybko po wydaniu, zwłaszcza gdy dotyczą luki, którą da się wykorzystać zdalnie. Pozostałe aktualizacje rób w stałym rytmie, na przykład co tydzień lub co dwa tygodnie, zamiast raz na pół roku. Przy wydaniach głównych rdzenia odczekaj kilka dni na pierwsze poprawki — podobne podejście, czyli krótkie opóźnienie aktualizacji cyklicznych w celu ich weryfikacji, opisuje CERT Polska.
Ważniejsze od częstotliwości jest to, żeby ktoś konkretny za to odpowiadał. Może to być osoba w firmie z dostępem do panelu albo wykonawca w ramach opieki technicznej. U mnie opieka zaczyna się od 249 zł netto miesięcznie i obejmuje aktualizacje, monitoring, ochronę, kopie zapasowe oraz drobne zmiany w uzgodnionym zakresie — dla stron, które wykonałem lub przejąłem.
Jeśli rozważasz, czy WordPress jest w ogóle dobrym wyborem dla Twojej firmy, porównanie znajdziesz w tekście WordPress czy strona na zamówienie.