WordPress плъгини: защо обновяванията са най-важната защита

Какво се случи

Всяка седмица в плъгини за WordPress се откриват нови пропуски в сигурността. Това не означава, че WordPress е лоша система: просто на нея работи огромна част от интернет, а плъгините са писани от хиляди различни автори с различна грижа за качеството. Когато авторът открие грешка, той пуска нова версия с поправка и обикновено отбелязва, че е за сигурност.

Докато поправка няма, пропускът е известен на малцина. След като е пусната, промените са публични и всеки може да прочете къде е била слабостта. Автоматични програми започват да търсят сайтове, които още работят със старата версия, и да ги пробват един по един, често в рамките на часове или дни. Колкото по-дълго отлагате, толкова по-голям е шансът да ви дойде редът.

Засяга ли ме

Засяга ви, ако сайтът ви е на WordPress, а особено ако:

• имате повече от няколко плъгина;
• има плъгини, които не помните защо сте инсталирали;
• не сте влизали в таблото от месеци;
• сайтът е правен от външна фирма, която вече не го поддържа;
• използвате „безплатни“ версии на платени плъгини или теми от неофициални сайтове.

Последното заслужава отделно внимание. Платен плъгин, свален от сайт, който не е на неговия автор, често идва със скрит зловреден код. Икономията от няколко десетки евро може да струва цял сайт.

Обновяването важи не само за плъгините. Три неща се обновяват отделно: ядрото на WordPress, темата и плъгините. Ако едно от тях изостане, пропускът остава.

Какво да направя сега

1. Направете резервно копие, преди да обновите. Малка част от обновяванията предизвикват грешки, особено при стари теми. Копието е вашата застраховка. Повечето хостинг фирми го предлагат с един клик.

2. Влезте в таблото и отворете „Обновявания“. WordPress показва всичко, което чака. Започнете с ядрото, после плъгините, накрая темата. Обновяванията, които са за сигурност, не се отлагат.

3. Изтрийте плъгините, които не ползвате. Не е достатъчно да ги изключите: изключен плъгин с пропуск пак може да бъде използван, защото файловете му стоят на сървъра. По-малко плъгини значи по-малко места за нападение.

4. Проверете дали плъгинът още се поддържа. На страницата му в каталога на WordPress.org се вижда кога е обновяван за последно и с коя версия на WordPress е тестван. Ако не е обновяван от две или повече години, потърсете заместител.

5. Включете автоматични обновявания, където е разумно. WordPress сам прави малките издания на ядрото. За плъгините можете да включите автоматично обновяване поотделно, като започнете с най-популярните и добре поддържани. За сайт с поръчки или плащания е добре да ги преглеждате ръчно веднъж седмично.

6. Не обновявайте в най-натоварения ден. Ако имате онлайн магазин, обновявайте в тих час, а не в петък вечер преди промоция. После проверете основните неща: началната страница, формата за контакт, количката.

7. Следете новините за сигурността. Официалният блог на WordPress.org публикува такива новини. Добре е някой във фирмата или външен специалист да ги чете.

Ако нещо се счупи

Понякога обновяването разваля изгледа или някоя функция. Не се връщайте към старата версия на плъгина по подразбиране, защото с нея връщате и пропуска. По-добре:

• върнете цялото резервно копие, ако сайтът не работи;
• пишете на поддръжката на плъгина с точно описание на проблема;
• потърсете друг плъгин за същата работа.

Ако не можете сами да разрешите проблема, помолете специалист да го провери на копие на сайта. Това се нарича тестова среда и повечето хостинг фирми я предлагат.

Накратко

Един добър навик е да отделите петнадесет минути в една и съща сутрин всяка седмица за обновявания. Така сайтът не се натрупва с чакащи версии, а ако нещо се счупи, знаете какво точно сте променили последно.

Обновяването е най-евтината защита, която имате: безплатно е и отнема минути. Обновете сега, изтрийте ненужното и включете резервни копия.