Moduuli 7 · 7.2
Päivitysten seuranta
Moduuli 7: Tietoturva · Lukuaika: 8 minuuttia
Oppimistavoite: Tämän oppitunnin jälkeen osaat järjestää päivitykset niin, että ne tapahtuvat nopeasti ja turvallisesti, ja tiedät mitä tehdä lisäosalle, joka ei enää saa päivityksiä.
Keskeiset käsitteet: pieni versio, suuri versio, tietoturvapäivitys, automaattiset päivitykset (ydin, lisäosat, teemat), rollback, installer-päivitykset, hylätty lisäosa, muutosloki, testiympäristö suurille päivityksille
Miksi nopea päivittäminen on tärkeämpää kuin varovainen odottaminen
Oppitunti 7.1 näytti tämän: murtautujat etsivät tunnettuja aukkoja, joihin on jo olemassa korjaus. Korjauksen julkaisun ja ensimmäisten laajamittaisten skannausten välissä on joskus vain muutama tunti tai päivä. Se, joka "odottaa ensin kuukauden varmistaakseen että päivitys on hyvä", seisoo sen kuukauden auki.
Samaan aikaan päivitys voi rikkoa jotain. Ratkaisu ei ole odottaminen, vaan sen varmistaminen, että päivittäminen on automaattista, nopeaa ja peruttavissa:
- pienet päivitykset ja lisäosapäivitykset automaattisesti;
- varmuuskopio juuri ennen päivitystä, automaattisella palautuksella jos jokin menee pieleen;
- suuret päivitykset testataan ensin testiympäristössä (oppitunti 8.3), mutta päivien, ei kuukausien sisällä.
WordPressin pienet ja suuret versiot
WordPress numeroi versiot näin: 7.1.4:
- 7.1 on suuri versio (major release). Niitä julkaistaan muutama vuodessa, ja ne tuovat uusia ominaisuuksia.
- .4 on pieni versio (minor release): korjauksia ja tietoturvapäivityksiä, ilman suuria muutoksia.
Versiosta 3.7 lähtien WordPress asentaa pienet versiot ja tietoturvapäivitykset automaattisesti, ellet ole kytkenyt sitä pois. Suuret versiot asennat oletuksena itse, napilla kohdassa Ohjausnäkymä > Päivitykset. Tiedostossa wp-config.php voit ohjata tätä käytöstä:
define( 'WP_AUTO_UPDATE_CORE', 'minor' ); // oletus: vain pienet versiot
define( 'WP_AUTO_UPDATE_CORE', true ); // myös suuret versiot
define( 'WP_AUTO_UPDATE_CORE', false ); // ei mitään automaattisesti (ei suositella)Valitse yksi näistä kolmesta rivistä. Oletusasetus (minor) sopii useimmille sivustoille; jos installer tai webhotellisi hoitaa suuret versiot puolestasi, sekin on hyvä ratkaisu.
WordPress tukee virallisesti vain uusinta suurta versiota. Tietoturvakorjauksia tuodaan jonkin aikaa myös vanhempiin sarjoihin, mutta siihen ei kannata luottaa.
Lisäosat ja teemat automaattisesti
WordPress 5.5:stä lähtien voit kohdassa Lisäosat napsauttaa lisäosakohtaisesti Ota automaattiset päivitykset käyttöön, ja kohdassa Ulkoasu > Teemat teemakohtaisesti. Ota tämä käyttöön useimmille lisäosille: siellä aukot sijaitsevat (oppitunti 7.1).
WordPress 6.6:sta lähtien WordPress tarkistaa automaattisen lisäosapäivityksen jälkeen, toimiiko sivusto vielä. Jos päivitys aiheuttaa vakavan virheen, WordPress palauttaa edellisen version (rollback) ja saat siitä sähköpostin. Tämä poistaa automaattisten päivitysten suurimman riskin: valkoisen sivuston, jonka huomaat vasta viikon kuluttua.
Myös installerit kuten Installatron (oppitunti 2.2) osaavat tämän: varmuuskopio ennen päivitystä ja palautus, jos päivitys epäonnistuu. Käytä jompaakumpaa järjestelmää tietoisesti; ne eivät riitele keskenään, mutta haluat tietää kumpi tekee mitä.
Poikkeuksia, joissa automaattiset päivitykset kannattaa joskus jättää pois päältä:
- lisäosa, josta tiedät että suuret versiot muuttavat usein jotain (sivunrakennustyökalu, verkkokauppalisäosa jossa on liitäntöjä); päivitä se testiympäristössä testaamisen jälkeen, mutta nopeasti;
- teema, jossa on muutoksia suoraan tiedostoihin. Parempi ratkaisu: siirrä muutokset lapsiteemaan (oppitunti 5.2), jolloin emoteema voi päivittyä normaalisti automaattisesti.
Maksulliset lisäosat
Maksulliset lisäosat saavat päivityksiä vain niin kauan kuin lisenssisi on voimassa. Vanhentunut lisenssi tarkoittaa: ei tietoturvapäivityksiä. Pidä lisenssisi ajan tasalla (oppitunti 9.4). Ja lataussivustolta hankittu maksullinen lisäosa ei saa päivityksiä lainkaan (oppitunti 5.3).
Hylätty lisäosa
Lisäosa, joka ei ole saanut päivityksiä pitkään aikaan, tai joka on poistettu wordpress.org:in lisäosahakemistosta ("Tämä lisäosa on suljettu"), ei saa enää korjauksia. Näin toimit:
- Selvitä syy. Suljetun lisäosan kohdalla syy on usein näkyvissä (esimerkiksi tietoturvaongelma). Jos kyseessä on tietoturvaongelma, toimi heti.
- Etsi vaihtoehto, jota ylläpidetään aktiivisesti (oppitunti 5.3), tai mieti tarvitsetko toimintoa enää.
- Korvaa testiympäristössä, testaa, ja poista vanha lisäosa sen jälkeen kokonaan.
Hylätyn lisäosan jättäminen paikoilleen "varmuuden vuoksi" on juuri se riski, jota haluat välttää.
Muutoslokin lukeminen
Jokaisen päivityksen yhteydessä on muutosloki: mitä on muutettu. Löydät sen kohdasta Ohjausnäkymä > Päivitykset tai lisäosan sivulta (välilehti Kehitys tai Muutosloki). Katso erityisesti sanoja kuten "security", "tietoturva" tai "fix vulnerability": silloin kannattaa päivittää mahdollisimman pian. Ja sanoja kuten "breaking change", "requires PHP 8.x" tai "uusi versio": silloin testaat ensin.
Päivityksen jälkeen
- Käy sivustosi läpi, mukaan lukien tärkeimmät toiminnot (lomake, ostoskori, kirjautuminen).
- Lue WordPressin tai installerisi sähköpostit onnistuneista, epäonnistuneista tai peruutetuista päivityksistä. Rollback tarkoittaa, että vanha (haavoittuva) versio on jälleen käytössä: ratkaise se, usein myös päivittämällä PHP, teema tai toinen lisäosa, tai korvaamalla lisäosa kokonaan.
- Tarkista Sivuston eheys osiosta (oppitunti 5.4), onko siellä vielä ilmoituksia.
Käytännössä: näin se näyttää paneelissa
WordPressin hallinnassa:
- Ohjausnäkymä > Päivitykset: WordPressin, lisäosien ja teemojen tila. Täällä näkyy myös, ovatko automaattiset päivitykset suurille versioille käytössä.
- Lisäosat: sarakkeessa Automaattiset päivitykset voit per lisäosa valita "ota käyttöön" tai "poista käytöstä". Ylhäällä voit ottaa useita käyttöön kerralla Massatoiminnot-valikosta.
- Ulkoasu > Teemat: napsauta teemaa nähdäksesi automaattisten päivitysten napin.
Installatronissa (DirectAdmin) asetat tämän asennuskohtaisesti kohdassa Muokkaa > Asetukset > Automaattinen päivitys. Softaculousissa (cPanel) ja WP Toolkitissa (Plesk) sama valinta löytyy asennuksen asetuksista.
Yhteenveto
- Tunnettuja aukkoja hyödynnetään nopeasti; päivittämisen tulee olla nopeaa, automaattista ja peruttavissa.
- WordPress asentaa pienet versiot automaattisesti (vuodesta 3.7 lähtien); suuret versiot oletuksena napin painalluksella, tai automaattisesti jos niin valitset.
- Ota automaattiset päivitykset käyttöön useimmille lisäosille ja teemoille; vuodesta 6.6 lähtien WordPress peruu epäonnistuneet lisäosapäivitykset.
- Vanhentunut lisenssi tai hylätty lisäosa tarkoittaa ei tietoturvapäivityksiä: korvaa se.
- Lue muutosloki ja sähköpostit päivityksen jälkeen; rollback-tilanne ratkaistaan aktiivisesti.
Tietovisa
Tehtävä
Tehtävä A7.2: Onko WordPressisi ajan tasalla? Tarkista sivustosi hallinnasta kohdasta Ohjausnäkymä > Päivitykset, mikä WordPress-versio sinulla on, ja täytä se yhdessä verkkotunnuksesi kanssa. Ohjelma hakee uusimman version wordpress.org:in julkisesta versio-API:sta ja vertailee: vihreä jos sinulla on uusin, oranssi jos olet samassa suuressa versiossa mutta sinulta puuttuu pieni päivitys, punainen jos käytät vanhempaa suurta versiota. Täytä myös, kuinka monella lisäosalla automaattiset päivitykset ovat käytössä ja kuinka monella eivät, ja miksi eivät.
Lue lisää
Nämä artikkelit kuvaavat vaiheet WebOkén paneeleissa; muissa paneeleissa toiminta on vastaavaa.
- DirectAdmin-ohje 13.5: Päivitykset ja automaattiset päivitykset
- Joomlan ja WordPressin päivittäminen Installatronilla
- Virhe 500 tai "kriittinen virhe" verkkosivustollasi (myös WordPress-päivityksen jälkeen)
- Automaattisten päivitysten asetukset (wordpress.org, englanniksi): https://wordpress.org/documentation/article/configuring-automatic-background-updates/