Jauninājumu uzraudzība

7. modulis: Drošība · Lasīšanas laiks: 8 minūtes

Mācību mērķis: pēc šīs nodarbības Jūs varēsiet iestatīt jauninājumus tā, lai tie notiktu ātri un droši, un zināsiet, ko darīt ar spraudni, kas vairs nesaņem jauninājumus.

Galvenie jēdzieni: maza versija, liela versija, drošības jauninājums, automātiski jauninājumi (kodols, spraudņi, tēmas), atgriešana (rollback), instalētāja jauninājumi, pamests spraudnis, izmaiņu žurnāls, testa vide (staging) lieliem jauninājumiem

Kāpēc ātra atjaunināšana ir svarīgāka par piesardzīgu gaidīšanu

Nodarbība 7.1 to parādīja: uzlauzēji meklē zināmus caurumus, kuriem jau ir pieejams jauninājums. Starp labojuma publicēšanu un pirmo masveida skenēšanu dažkārt paiet tikai dažas stundas vai dienas. Kas "vispirms mēnesi pagaida, vai jauninājums ir labs," tajā mēnesī ir neaizsargāts.

Tajā pašā laikā jauninājums var kaut ko salauzt. Risinājums nav gaidīšana, bet gan nodrošināt, lai atjaunināšana notiktu automātiski, ātri un atgriežami:

• mazi jauninājumi un spraudņu jauninājumi automātiski;
• rezerves kopija tieši pirms jaunināšanas, ar automātisku atgriešanu, ja kaut kas noiet greizi;
• lieli jauninājumi vispirms tiek testēti testa vidē (staging) (nodarbība 8.3), bet dažu dienu, nevis mēnešu laikā.

WordPress mazas un lielas versijas

WordPress numurē versijas kā 7.1.4:

• 7.1 ir liela versija (major release). Gadā iznāk vairākas, ar jaunām funkcijām.
• .4 ir maza versija (minor release): labojumi un drošības jauninājumi, bez lielām izmaiņām.

Kopš versijas 3.7 WordPress mazas versijas un drošības jauninājumus instalē automātiski, ja vien Jūs to neesat izslēguši. Lielas versijas pēc noklusējuma instalējat pats, ar pogu sadaļā Panelis (Dashboard) > Atjauninājumi. Failā wp-config.php šo uzvedību varat vadīt:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // standaard: alleen kleine versies
define( 'WP_AUTO_UPDATE_CORE', true );     // ook grote versies
define( 'WP_AUTO_UPDATE_CORE', false );    // niets automatisch (afgeraden)

Izvēlieties vienu no trim rindiņām. Noklusējuma iestatījums (minor) lielākajai daļai vietņu ir piemērots; ja Jūsu instalētājs vai Jūsu mitināšanas pakalpojumu sniedzējs par Jums atjaunina arī lielās versijas, tas arī ir labi.

WordPress oficiāli atbalsta tikai jaunāko lielo versiju. Drošības labojumi kādu laiku tiek atgriezti arī vecākām sērijām, taču uz to nevarat paļauties.

Spraudņi un tēmas automātiski

Kopš WordPress 5.5 sadaļā Spraudņi (Plugins) katram spraudnim varat noklikšķināt Iespējot automātiskos jauninājumus, un sadaļā Izskats > Tēmas katrai tēmai. Ieslēdziet to lielākajai daļai spraudņu: tieši tur atrodas caurumi (nodarbība 7.1).

Kopš WordPress 6.6 WordPress pēc automātiska spraudņa jaunināšanas pārbauda, vai vietne joprojām darbojas. Ja jauninājums izraisa kritisku kļūdu, WordPress atgriež iepriekšējo versiju (rollback) un Jūs saņemat e-pastu. Tas novērš lielāko automātisko jauninājumu risku: baltu vietni, ko pamanāt tikai pēc nedēļas.

Arī tādi instalētāji kā Installatron (nodarbība 2.2) to var: ar iepriekšēju rezerves kopiju un atgriešanu, ja jauninājums neizdodas. Izmantojiet apzināti vienu no abām sistēmām; tās savstarpēji netraucē, bet Jums jāzina, kas ko dara.

Izņēmumi, kuros automātiskos jauninājumus dažkārt atstāj izslēgtus:

• spraudnis, par kuru zināt, ka lielas versijas bieži kaut ko maina (lapu veidotājs, interneta veikala spraudnis ar savienojumiem); atjauniniet to pēc testēšanas testa vidē, bet ātri;
• tēma ar izmaiņām pašos failos. Labāk: ievietojiet šīs izmaiņas bērna tēmā (child theme) (nodarbība 5.2), tad vecāku tēma var tikt atjaunināta automātiski bez problēmām.

Maksas spraudņi

Maksas spraudņi saņem jauninājumus tikai tik ilgi, kamēr Jūsu licence ir derīga. Beigusies licence nozīmē: nav drošības jauninājumu. Sekojiet līdzi savām licencēm (nodarbība 9.4). Un maksas spraudnis, kas lejupielādēts no lejupielāžu vietnes, vispār nesaņem jauninājumus (nodarbība 5.3).

Pamestais spraudnis

Spraudnis bez jauninājumiem ilgu laiku, vai kurš ir izņemts no wordpress.org spraudņu mapes ("Šis spraudnis ir slēgts"), vairs nesaņem labojumus. Ko darīt:

1. Noskaidrojiet iemeslu. Slēgtam spraudnim bieži ir norādīts iemesls (piemēram, drošības problēma). Ja tā ir drošības problēma, rīkojieties nekavējoties.
2. Meklējiet alternatīvu, kas tiek aktīvi uzturēta (nodarbība 5.3), vai pārbaudiet, vai Jums šī funkcija vēl ir vajadzīga.
3. Nomainiet to testa vidē, testējiet, un pēc tam pilnībā noņemiet veco spraudni.

Pamesta spraudņa atstāšana "drošības pēc" ir tieši tas risks, no kura vēlaties izvairīties.

Izmaiņu žurnāla lasīšana

Katram jauninājumam ir pievienots izmaiņu žurnāls (changelog): kas ir mainīts. To atradīsiet sadaļā Panelis (Dashboard) > Atjauninājumi vai spraudņa lapā (cilne Izstrāde vai Changelog). Pievērsiet uzmanību īpaši vārdiem kā "security", "beveiliging" vai "fix vulnerability": tad jaunināt vajag pēc iespējas ātrāk. Un vārdiem "breaking change", "requires PHP 8.x" vai "nieuwe versie van": tad vispirms testējiet.

Pēc jaunināšanas

• Apskatiet savu tīmekļa vietni, tostarp svarīgākās funkcijas (veidlapu, iepirkumu grozu, pieteikšanos).
• Izlasiet WordPress vai Jūsu instalētāja e-pastus par veiksmīgiem, neizdevušamies vai atgrieztiem jauninājumiem. Atgriešana (rollback) nozīmē, ka atkal darbojas vecā (neaizsargātā) versija: atrisiniet to, bieži vien atjauninot arī PHP, tēmu vai citu spraudni, vai nomainot spraudni.
• Pārbaudiet sadaļā Vietnes veselība (nodarbība 5.4), vai nav vēl kādu paziņojumu.

Praksē: kā tas izskatās panelī

WordPress administrēšanā:

1. Panelis (Dashboard) > Atjauninājumi: WordPress, spraudņu un tēmu statuss. Šeit redzams arī, vai lielu versiju automātiskie jauninājumi ir ieslēgti.
2. Spraudņi (Plugins): kolonnā Automātiski jauninājumi katram spraudnim var "iespējot" vai "atspējot". Augšpusē ar Lielapjoma darbības varat ieslēgt vairākus vienlaikus.
3. Izskats > Tēmas: noklikšķiniet uz tēmas, lai redzētu automātisko jauninājumu pogu.

Installatron (DirectAdmin) Jūs to iestatāt katrai instalācijai sadaļā Rediģēt > Iestatījumi > Automātiskā atjaunināšana. Softaculous (cPanel) un WP Toolkit (Plesk) tāda pati izvēle atrodama instalācijas iestatījumos.

Kopsavilkums

• Zināmi caurumi tiek ātri izmantoti ļaunprātīgi; atjaunināšanai jābūt ātrai, automātiskai un atgriežamai.
• WordPress automātiski instalē mazas versijas (kopš 3.7); lielas versijas pēc noklusējuma pēc klikšķa, vai automātiski, ja to izvēlaties.
• Ieslēdziet automātiskos jauninājumus lielākajai daļai spraudņu un tēmu; kopš 6.6 WordPress atgriež neizdevušos spraudņu jauninājumus.
• Beigusies licence vai pamests spraudnis nozīmē, ka nav drošības jauninājumu: nomainiet to.
• Izlasiet izmaiņu žurnālu un e-pastus pēc jaunināšanas; atgriešanu (rollback) risiniet aktīvi.

Tests (quiz)

Uzdevums

Uzdevums A7.2: Vai Jūsu WordPress ir atjaunināts? Apskatiet savas tīmekļa vietnes administrēšanā sadaļā Panelis (Dashboard) > Atjauninājumi, kura WordPress versija Jums ir, un ierakstiet to kopā ar savu domēnu. Programma izgūst jaunāko versiju no wordpress.org publiskā versiju API un salīdzina: zaļš, ja Jums ir jaunākā versija, oranžs, ja esat tajā pašā lielajā versijā, bet trūkst mazs jauninājums, sarkans, ja darbojaties ar vecāku lielo versiju. Ierakstiet arī, cik spraudņiem ir ieslēgti automātiskie jauninājumi un cik nav, un kāpēc ne.

Papildu lasāmviela

Šie raksti apraksta soļus WebOké paneļos; citos paneļos tie darbojas līdzīgi.

• DirectAdmin rokasgrāmata 13.5: Atjauninājumi un automātiskie atjauninājumi
• Joomla un WordPress atjaunināšana ar Installatron
• Kļūda 500 vai "kritiska kļūda" Jūsu tīmekļa vietnē (arī pēc WordPress atjaunināšanas)
• Automātisko jauninājumu iestatīšana (wordpress.org, Angļu): https://wordpress.org/documentation/article/configuring-automatic-background-updates/