עדכוני אבטחה בוורדפרס: מה עושים ובאיזו תדירות

אבטחת אתרים היא נושא שמדברים עליו בטון מאיים, ובדרך כלל בלי צורך. אצל רוב העסקים התמונה פשוטה למדי: וורדפרס הוא התוכנה הנפוצה בעולם לבניית אתרים, הקוד שלה והתוספים שלה פתוחים ונבדקים כל הזמן, וכשמתגלה נקודה שצריך לסגור — מוציאים גרסה שסוגרת אותה. העבודה שלכם היא בעיקר להתקין את הגרסה הזו.

זה הכול. ברוב המקרים, אתר מעודכן הוא אתר משעמם, וזה בדיוק המצב שאנחנו רוצים להיות בו.

עדכון אבטחה בוורדפרס הוא גרסה חדשה שמפתחי הליבה או מפתחי התוסף מוציאים כדי לסגור נקודה שהתגלתה בקוד. גרסאות התחזוקה והאבטחה הקטנות של ליבת וורדפרס מותקנות אוטומטית כברירת מחדל, ואילו תוספים ותבנית דורשים עדכון יזום — פעם בחודש כסבב מרוכז, ומיד כשיוצא עדכון שמוגדר כעדכון אבטחה. לפני כל עדכון שומרים גיבוי, ואחריו בודקים את דף הבית, עמוד פנימי אחד וטופס אחד.

מי מוציא עדכוני אבטחה, ואיך יודעים עליהם?

שני גופים, ובשני קצבים שונים:

• צוות הליבה של וורדפרס מוציא גרסאות גדולות כמה פעמים בשנה, וביניהן גרסאות קטנות של תחזוקה ואבטחה. הגרסאות הקטנות האלה מתקינות את עצמן ברוב האתרים, כברירת מחדל, ובדרך כלל אתם תדעו עליהן ממייל קצר שמגיע אחרי שזה כבר קרה.
• מפתחי התוספים והתבנית מוציאים עדכונים בקצב שלהם. כשעדכון הוא עדכון אבטחה, זה נכתב במפורש בתיאור הגרסה בעמוד התוסף. זה ההבדל היחיד שצריך לחפש: האם זה עדכון שמוסיף יכולות, או עדכון שסוגר נקודה.

נקודה אחת שמרגיעה הרבה בעלי עסקים: כמעט כל הניסיונות שאתר עסקי רגיל פוגש הם סריקות אוטומטיות שעוברות על כתובות אתרים ומחפשות גרסאות ישנות ומוכרות של תוספים. זה לא אישי ואף אחד לא בחר אתכם — ולכן זה גם לא דורש מבצר. אתר שהגרסאות בו מעודכנות פשוט לא עונה לסריקה הזו.

באיזו תדירות צריך לעדכן מה?

שני דברים ששווה לדעת על הטבלה הזו. הראשון: אל תכבו את העדכון האוטומטי של גרסאות האבטחה של הליבה. זו אחת ההחלטות הטובות שקיבלו בוורדפרס, והיא עושה בשקט את העבודה הדחופה ביותר. השני: אם מישהו מציע לכם לכבות עדכונים כדי „שלא יישבר כלום”, זה פתרון שמחליף בעיה קטנה שמטפלים בה בבעיה גדולה שמצטברת.

מה עושים כשיוצא עדכון אבטחה לתוסף?

1. מסתכלים מה התוסף הזה מפעיל באתר. טופס? חנות? הגלריה בדף הבית? זו הרשימה שתבדקו אחר כך.
2. שומרים גיבוי של הקבצים ושל מסד הנתונים. בעדכון אבטחה מפתה לדלג על זה כי יש תחושת דחיפות. אל תדלגו, זה לוקח דקה.
3. קוראים את תיאור הגרסה בעמוד התוסף. לפעמים כתוב שם במפורש שהעדכון דורש גם גרסת וורדפרס מסוימת או גרסת PHP מסוימת, וזה חוסך הפתעה.
4. מעדכנים תוסף אחד בלבד, לא את כולם ביחד. אם משהו ייראה אחרת, תדעו מיד מה גרם לזה.
5. בודקים את העמודים שהתוסף מפעיל, במחשב ובנייד, ואם זו חנות — גם מוצר, עגלה ותשלום.
6. אם משהו נראה אחרת — חוזרים לגיבוי, ומטפלים בזה בנחת מול התמיכה של התוסף. עדכון אבטחה שמחכה שעתיים הוא בסדר; אתר שנשאר לא בדוק שבוע הוא פחות.

מה שווה לסדר באתר פעם אחת, מלבד עדכונים?

אלה דברים שעושים פעם אחת והם עובדים לטובתכם מכאן והלאה:

• תעודת אבטחה (SSL) שמתחדשת לבד. האתר צריך לעלות ב-https, וההתחדשות צריכה להיות אוטומטית מצד האחסון. תעודה שפג תוקפה מציגה לגולש אזהרה בדפדפן, וזה מיותר לחלוטין.
• פחות תוספים. כל תוסף הוא עוד קוד שצריך להתעדכן. תוסף שהותקן פעם לניסיון ולא בשימוש — למחוק, לא רק לכבות. תוסף שכבוי עדיין יושב בקבצים של האתר.
• להתקין רק ממקור מוכר. המאגר הרשמי של וורדפרס, או ספק בתשלום עם רישיון. תוסף או תבנית בתשלום שמחולקים חינם במקום אחר („nulled”) הם הדרך הנפוצה ביותר להכניס לאתר קוד שלא ביקשתם.
• חשבון ניהול לכל אדם בנפרד. לא חשבון אחד משותף לכולם. כשספק או עובד מסיים את העבודה, מסירים את החשבון שלו — ככה רואים מי עשה מה, ואין חשבונות שנשארו מאחור.
• אימות דו-שלבי לחשבונות הניהול, אם האחסון או תוסף שאתם כבר מריצים מציע את זה.
• גיבוי אוטומטי שנשמר מחוץ לשרת של האתר. גיבוי שיושב רק על אותו שרת הוא חצי גיבוי. הרחבנו על זה במדריך הגיבוי.
• כתובת מייל מעודכנת בהגדרות האתר. לשם מגיעות ההודעות על עדכונים, כולל אלה שהותקנו לבד. אם היא כתובת של ספק שכבר לא עובד איתכם, אף אחד לא רואה אותן.

ואם לתוסף אין יותר עדכונים?

קורה. מפתח מפסיק לתחזק תוסף, או שהתוסף יורד מהמאגר. זה לא מצב חירום, אבל זה כן מצב שלא נשארים בו הרבה זמן, כי מכאן והלאה לא ייצאו לו עדכונים — גם לא כשיהיה צורך.

מה שעושים: בודקים מה התוסף עושה בפועל, ושואלים אם בכלל צריך אותו (לא פעם מתברר שלא). אם צריך, מחפשים תחליף מתוחזק, מתקינים אותו לצד הקיים, מעבירים את התוכן או ההגדרות, ורק כשהחדש עובד — מסירים את הישן. הסדר הזה חשוב: מחליפים בזמן שהכול עוד עובד, לא אחרי.

איך זה עובד כשמישהו אחר מחזיק את זה?

זה בדיוק מה שאנחנו עושים ב-NexoCare. עדכוני האבטחה של האתר נעשים בשעות הלילה, אחרי גיבוי, ובבוקר שאחרי מגיע אליכם מייל קצר עם מה שהתעדכן. אם אחרי עדכון משהו בעמוד נראה אחרת, אנחנו רואים את זה בבדיקה שלנו ומחזירים את העמוד בלחיצה — לפני שאתם בכלל פותחים את האתר.

האחסון והדומיין כלולים במנוי, כך שתעודת האבטחה והחידושים לא תלויים במי שזכר. ובמקביל, שינויי התוכן שאתם מבקשים בפורטל נעשים על ידי הצוות שלנו ללא הגבלה — אפשר לראות איך זה עובד או מה המחיר.