WordPress en de plug-ins eromheen krijgen doorlopend updates. De vraag is niet of je ze moet doen maar hoe snel. Daar zijn twee soorten in.
Beveiligingsupdates: binnen een paar dagen
Als er een lek gevonden wordt in een plug-in, wordt dat openbaar gemaakt zodra de reparatie er is. Vanaf dat moment weet iedereen waar het gat zit, ook de mensen die er misbruik van maken. Geautomatiseerde scans gaan binnen dagen langs elke site die de oude versie nog draait.
Dat is geen doemscenario maar de gewone gang van zaken. Een site die maanden achterloopt op een bekende kwetsbaarheid wordt vroeg of laat gevonden, niet omdat iemand het op jou gemunt heeft maar omdat het automatisch gaat.
Gewone updates: maandelijks is genoeg
Verbeteringen, nieuwe functies en kleine reparaties hoeven niet dezelfde dag. Eén keer per maand alles bijwerken is voor de meeste sites prima, en heeft als voordeel dat de ergste kinderziektes van een nieuwe versie er dan al uit zijn.
Wat er gebeurt als je het laat liggen
Drie dingen, in deze volgorde. Eerst gaat er niets mis, soms jarenlang, en dat is precies waarom mensen het laten liggen. Dan wordt de achterstand zo groot dat updaten riskant wordt: sla je vijf grote versies over, dan is de kans dat er iets breekt veel groter dan bij vijf keer één stap. En op enig moment wordt er iets gevonden.
Het vervelendste geval is niet een site die plat gaat. Dat merk je en dat los je op. Het vervelendste is een site die gewoon blijft werken terwijl er op de achtergrond spam vanaf verstuurd wordt of doorverwijzingen in staan die alleen bezoekers vanuit Google zien. Dat merk je pas als Google je site markeert.
Hoe je het veilig doet
- Maak eerst een back-up. Niet op dezelfde server. Een kopie naast het origineel helpt niet als de server zelf het probleem is.
- Update in stappen. Eerst de plug-ins, dan het thema, dan WordPress zelf. Gaat er iets mis, dan weet je waardoor.
- Kijk daarna echt naar je site. Niet alleen de homepagina. Open een dienstpagina, de contactpagina en vul het formulier in. Dat laatste is wat het vaakst stilletjes stukgaat.
- Controleer op een telefoon. Een update die de opmaak verandert, valt daar het eerst op.
Automatisch updaten: wel of niet
WordPress kan zichzelf bijwerken. Voor beveiligingsupdates van WordPress zelf is dat verstandig en staat het standaard aan. Voor plug-ins is het een afweging: je bent sneller veilig, maar er kan iets breken op een moment dat niemand kijkt.
De praktische middenweg is beveiligingsupdates automatisch en de rest met de hand, met daarna een controle. Dat kost een kwartier per maand.
Als je het liever niet zelf doet
Dan is dat precies wat een onderhoudscontract is. Bij Hart IT kost dat 45 euro per maand: updates met controle achteraf, back-ups buiten de server en bewaking of de site nog online is. Meer daarover op WordPress onderhoud.
Veelgestelde vragen
Hoe snel moet een beveiligingsupdate erop?
Binnen een paar dagen. Zodra een lek gerepareerd is, wordt het openbaar gemaakt, en vanaf dat moment gaan geautomatiseerde scans langs elke site die de oude versie nog draait. Gewone updates kunnen maandelijks.
Kan ik updates automatisch laten draaien?
Voor WordPress zelf is dat verstandig en staat het standaard aan. Voor plug-ins is het een afweging: je bent sneller veilig, maar er kan iets breken terwijl niemand kijkt. De middenweg is beveiliging automatisch en de rest met de hand.
Wat controleer ik na een update?
Niet alleen de homepagina. Open een dienstpagina, de contactpagina en vul het formulier helemaal in, want dat is wat het vaakst stilletjes stukgaat. Kijk daarna nog even op een telefoon.
Liever niet zelf bijhouden?
Updates, back-ups buiten de server, beveiliging en controle op storingen elke vijftien minuten. Voor 45 euro per maand.
