Frissítések nyomon követése

Modul 7: Biztonság · Olvasási idő: 8 perc

Tanulási cél: Ennek a leckének a végén be tudja állítani, hogy a frissítések gyorsan és biztonságosan történjenek, és tudni fogja, mit kell tenni egy olyan bővítménnyel, amely már nem kap frissítést.

Kulcsfogalmak: kis verzió, nagy verzió, biztonsági frissítés, automatikus frissítések (mag, bővítmények, sablonok), rollback, telepítő-frissítések, elhagyott bővítmény, changelog, staging nagy frissítésekhez

Miért fontosabb a gyors frissítés, mint az óvatos várakozás

A 7.1. lecke bemutatta: a betörők olyan ismert biztonsági réseket keresnek, amelyekhez már van frissítés. A javítás megjelenése és az első tömeges keresések között néha csak néhány óra vagy nap telik el. Aki „előbb vár egy hónapot, hogy jó-e a frissítés”, az azt a hónapot nyitva hagyja.

Ugyanakkor egy frissítés el is ronthat valamit. A megoldás nem a várakozás, hanem annak biztosítása, hogy a frissítés automatikusan, gyorsan és visszavonhatóan történjen:

• a kis frissítések és a bővítmény-frissítések automatikusan történjenek;
• közvetlenül a frissítés előtt készüljön biztonsági mentés, automatikus visszaállítással, ha valami elromlik;
• a nagy frissítéseket előbb teszteljük staging környezetben (8.3. lecke), de napokon, nem hónapokon belül.

A WordPress kis és nagy verziói

A WordPress a verziókat így számozza: 7.1.4:

• 7.1 a nagy verzió (major release). Évente néhány jelenik meg, új funkciókkal.
• .4 a kis verzió (minor release): javítások és biztonsági frissítések, nagyobb változtatások nélkül.

A 3.7-es verzió óta a WordPress automatikusan telepíti a kis verziókat és a biztonsági frissítéseket, hacsak Ön ezt ki nem kapcsolta. A nagy verziókat alapértelmezés szerint Önnek kell telepítenie, egy gombbal a Vezérlőpult > Frissítések menüpontban. A wp-config.php fájlban ezt a viselkedést lehet szabályozni:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // alapértelmezett: csak a kis verziók
define( 'WP_AUTO_UPDATE_CORE', true );     // a nagy verziók is
define( 'WP_AUTO_UPDATE_CORE', false );    // semmi sem automatikus (nem ajánlott)

Válassza ki a három sor egyikét. Az alapértelmezett (minor) a legtöbb weboldalhoz megfelelő; ha a telepítője vagy a tárhelyszolgáltatója frissíti Ön helyett a nagy verziókat is, az is rendben van.

A WordPress hivatalosan csak a legújabb nagy verziót támogatja. A biztonsági javításokat egy ideig a régebbi sorozatokba is visszaportolják, de erre nem szabad számítani.

Bővítmények és sablonok automatikusan

A WordPress 5.5 óta a Bővítmények menüpontban bővítményenként bekapcsolhatja az Automatikus frissítések engedélyezése funkciót, a Megjelenés > Sablonok menüpontban pedig sablononként. Kapcsolja ezt be a legtöbb bővítménynél: ott vannak a biztonsági rések (7.1. lecke).

A WordPress 6.6 óta a WordPress egy automatikus bővítményfrissítés után ellenőrzi, hogy a weboldal még működik-e. Ha a frissítés végzetes hibát okoz, a WordPress visszaállítja az előző verziót (egy rollback), és Ön kap egy e-mailt. Ez kezeli az automatikus frissítések legnagyobb kockázatát: egy fehér oldalt, amire csak egy hét múlva jön rá.

Az olyan telepítők, mint az Installatron (2.2. lecke), erre is képesek: előzetes biztonsági mentéssel és visszaállítással, ha a frissítés sikertelen. Használja tudatosan az egyik rendszert; nem zavarják egymást, de tudnia kell, melyik mit csinál.

Vannak kivételek, amikor az automatikus frissítéseket kikapcsolva tartja:

• egy olyan bővítmény, amelyről tudja, hogy a nagy verziók gyakran változtatnak valamin (egy oldalépítő, egy webáruház-bővítmény kapcsolódásokkal); ezeket staging környezetben tesztelve frissítse, de gyorsan;
• egy sablon, amelynek a fájljaiban Ön módosításokat végzett. Jobb megoldás: helyezze ezeket a módosításokat egy gyermek sablonba (child theme) (5.2. lecke), így a szülő sablon simán frissülhet automatikusan.

Fizetős bővítmények

A fizetős bővítmények csak addig kapnak frissítést, amíg a licence érvényes. A lejárt licenc azt jelenti: nincs biztonsági frissítés. Tartsa nyilván a licenceit (9.4. lecke). Egy letöltőoldalról származó fizetős bővítmény pedig egyáltalán nem kap frissítést (5.3. lecke).

Az elhagyott bővítmény

Egy olyan bővítmény, amely hosszú ideje nem kapott frissítést, vagy amelyet eltávolítottak a wordpress.org bővítménytárából („Ez a bővítmény le van zárva”), többé nem kap javítást. Mit tegyen:

1. Nézze meg, miért. Egy lezárt bővítménynél gyakran fel van tüntetve az ok (például egy biztonsági probléma). Ha biztonsági problémáról van szó, azonnal cselekedjen.
2. Keressen egy alternatívát, amelyet aktívan karbantartanak (5.3. lecke), vagy nézze meg, hogy egyáltalán szüksége van-e még a funkcióra.
3. Cserélje le staging környezetben, tesztelje, majd utána teljesen távolítsa el a régi bővítményt.

Egy elhagyott bővítményt „a biztonság kedvéért” fenntartani pontosan az a kockázat, amit el szeretne kerülni.

A changelog olvasása

Minden frissítéshez tartozik egy changelog: mi változott. Megtalálható a Vezérlőpult > Frissítések menüpontban vagy a bővítmény oldalán (Fejlesztés vagy Changelog fül). Figyeljen különösen az olyan szavakra, mint „security”, „biztonság” vagy „fix vulnerability”: ekkor a lehető leghamarabb frissítenie kell. És az olyanokra, mint „breaking change”, „requires PHP 8.x” vagy „új verziója”: ekkor előbb tesztelje.

Egy frissítés után

• Tekintse meg röviden a weboldalát, a legfontosabb funkciókat is beleértve (űrlap, kosár, bejelentkezés).
• Olvassa el a WordPress vagy a telepítője e-mailjeit a sikeres, sikertelen vagy visszaállított frissítésekről. Egy rollback azt jelenti, hogy a régi (sebezhető) verzió fut újra: oldja meg a problémát, gyakran úgy, hogy frissíti a PHP-t, a sablont vagy egy másik bővítményt, vagy lecseréli a bővítményt.
• Nézze meg a Webhely Egészség menüpontban (5.4. lecke), hogy vannak-e még figyelmeztetések.

A gyakorlatban: így néz ki egy vezérlőpulton

A WordPress admin felületén:

1. Vezérlőpult > Frissítések: a WordPress, a bővítmények és a sablonok állapota. Itt látható az is, hogy a nagy verziók automatikus frissítése be van-e kapcsolva.
2. Bővítmények: az Automatikus frissítések oszlopban bővítményenként „engedélyezés” vagy „letiltás”. Felül a Tömeges műveletek segítségével egyszerre többet is bekapcsolhat.
3. Megjelenés > Sablonok: kattintson egy sablonra az automatikus frissítések gombhoz.

Az Installatronban (DirectAdmin) ezt telepítésenként a Szerkesztés > Beállítások > Auto-Update menüpontban állíthatja be. A Softaculousban (cPanel) és a WP Toolkitben (Plesk) ugyanez a lehetőség a telepítés beállításainál található.

Összefoglalás

• Az ismert biztonsági réseket gyorsan kihasználják; a frissítésnek gyorsnak, automatikusnak és visszavonhatónak kell lennie.
• A WordPress automatikusan telepíti a kis verziókat (3.7 óta); a nagy verziókat alapértelmezés szerint egy kattintás után, vagy automatikusan, ha Ön úgy választja.
• Kapcsolja be az automatikus frissítéseket a legtöbb bővítménynél és sablonnál; 6.6 óta a WordPress visszaállítja a sikertelen bővítményfrissítéseket.
• Egy lejárt licenc vagy egy elhagyott bővítmény azt jelenti: nincs biztonsági frissítés: cserélje le.
• Olvassa el a changelogot és az e-maileket egy frissítés után; egy rollbacket aktívan oldjon meg.

Kvíz

Feladat

Feladat A7.2: Naprakész a WordPress-e? Nézze meg weboldala admin felületén a Vezérlőpult > Frissítések menüpontban, hogy melyik WordPress-verziót használja, és írja be azt a domainjével együtt. A program lekéri a legújabb verziót a wordpress.org nyilvános verzió-API-jából és összehasonlítja: zöld, ha a legújabbat használja, narancssárga, ha ugyanabban a nagy verzióban van, de hiányzik egy kis frissítés, piros, ha egy régebbi nagy verziót futtat. Azt is írja be, hány bővítményénél van bekapcsolva az automatikus frissítés és hánynál nincs, és hogy miért nincs.

További olvasnivaló

Ezek a cikkek a WebOké paneljeiben bemutatott lépéseket írják le; más paneleken hasonlóan működnek.

• DirectAdmin útmutató 13.5: Frissítések és automatikus frissítések
• WordPress és Joomla frissítése az Installatron segítségével
• 500-as hiba vagy „kritikus hiba” a weboldalán (WordPress-frissítés után is)
• Automatikus frissítések beállítása (wordpress.org, angol): https://wordpress.org/documentation/article/configuring-automatic-background-updates/