Staging: testare in sicurezza

Modulo 8: Backup, sito di staging e aggiornamenti PHP · Tempo di lettura: 9 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di creare un ambiente di staging, proteggerlo e riportare in sicurezza le modifiche sul Suo sito reale.

Concetti chiave: staging, produzione, clonazione, sottodominio, noindex, password sulla cartella, email disattivate, provider di pagamento in modalità test, sincronizzazione, sovrascrittura del database, ambiente di sviluppo locale

Cos'è lo staging

Un ambiente di staging (o sito di test) è una copia del Suo sito reale, su un indirizzo proprio, dove può provare delle modifiche. Il Suo sito reale si chiama allora produzione. Sullo staging può permettersi di sbagliare: un nuovo tema, un aggiornamento importante, un aggiornamento PHP (lezione 8.4), un nuovo plugin. Solo quando funziona, applica la modifica in produzione.

Usa lo staging per le modifiche con rischio: versioni importanti di WordPress o di un plugin per negozio online, un tema diverso, un aggiornamento PHP, la pulizia dei plugin (lezione 5.4), un restyling. Per una modifica di testo o un piccolo aggiornamento di plugin non è necessario.

Modi per creare uno staging

Uno staging su un sottodominio (staging.example.com) è di solito meglio che in una sottocartella (example.com/staging): si comporta più come il Suo sito reale, e i cookie e le regole in .htaccess non si mescolano. Crei prima il sottodominio, con un certificato.

Protezione: tre cose da sistemare subito

Una copia del Suo sito è un sito a tutti gli effetti con tutti i Suoi contenuti, e a volte con tutti i dati dei Suoi clienti. Per questo sistemi subito:

1. Tenere lontani i motori di ricerca

Senza protezione, Google può trovare e indicizzare il Suo staging. In quel caso ha contenuti duplicati, e chi effettua ricerche finisce sul Suo sito di test. Faccia almeno una, preferibilmente due, di queste cose:

• Una password su tutto lo staging (autenticazione di base tramite il Suo pannello di hosting, una "cartella protetta"). In questo modo nessuno vede il sito senza password, nemmeno i motori di ricerca. È la protezione più forte.
• Scoraggiare i motori di ricerca in Impostazioni > Lettura (lezione 2.4). Questo imposta noindex su ogni pagina. I motori di ricerca di solito lo rispettano, ma è una richiesta, non una serratura.

Attenzione al contrario: se poi sincronizza lo staging con la produzione, non porti con sé la casella noindex. Un sito di produzione che dopo una sincronizzazione "riuscita" sparisce da Google è un classico. L'esercizio di questa lezione controlla entrambe le cose.

2. Nessuna email a persone reali

Una copia di un negozio online o di un sito con utenti registrati può inviare email: conferme, promemoria, newsletter, link per la password. I clienti riceverebbero email confuse dal Suo sito di test. Disattivi l'invio di email in uscita sullo staging o lo reindirizzi al Suo indirizzo personale (con un plugin per intercettare le email, oppure disattivando il plugin SMTP sullo staging, lezione 9.1). Disattivi anche le attività pianificate che inviano email.

3. Pagamenti e collegamenti in modalità test

Un negozio online sullo staging dovrebbe funzionare con la modalità test del provider di pagamento, non con pagamenti reali. Altri collegamenti (contabilità, magazzino, CRM) vanno disattivati o collegati a un ambiente di test, altrimenti riceveranno ordini di prova come se fossero reali.

Se lavora con dati reali dei clienti sullo staging, il GDPR si applica allo stesso modo (lezione 9.3): non conservarli più a lungo del necessario, ed eliminare lo staging una volta terminato.

Ritorno in produzione: l'insidia del database

Il passaggio più difficile è riportare le Sue modifiche in produzione. Gli installer e i plugin di staging hanno una funzione apposita (con Installatron "Synch", con altri "Push to live"). Il rischio:

• Lunedì crea uno staging. Da martedì a giovedì testa un nuovo tema.
• Nel frattempo, in produzione arrivano venti ordini, tre nuovi articoli e cinquanta commenti.
• Venerdì sincronizza il database dallo staging alla produzione. Il database dello staging è quello di lunedì: gli ordini, gli articoli e i commenti da martedì a venerdì scompaiono.

Per questo:

1. Faccia prima un backup della produzione (lezione 8.1), appena prima della sincronizzazione.
2. Sincronizzi solo ciò che è necessario. Aggiornare un tema o un plugin è una questione di file; il database spesso non deve essere incluso. Molte funzioni di sincronizzazione Le permettono di scegliere: solo file, oppure solo determinate tabelle.
3. In caso di negozio online o sito con traffico intenso: è preferibile rifare la modifica direttamente in produzione (gli stessi passaggi dello staging, ora che sa che funzionano) invece di trasferire il database. Oppure pianifichi un momento tranquillo con una breve interruzione del negozio.
4. Dopo di che controlli la produzione: l'elenco di controllo della lezione 8.2, e la casella noindex.

Lo staging è un luogo dove imparare cosa succede. La modifica stessa è più sicuro rieseguirla direttamente in produzione.

Pulizia

Uno staging che rimane attivo per mesi diventa un sito dimenticato: non aggiornato, con plugin vecchi e dati reali. Esattamente il punto debole descritto nella lezione 7.1. Elimini lo staging quando ha finito, oppure lo mantenga come un sito a tutti gli effetti (aggiornamenti, password). Un clone occupa anche tanto spazio quanto l'originale e ha un proprio database.

Riepilogo

• Lo staging è una copia del Suo sito su un indirizzo proprio per testare modifiche rischiose.
• Lo crei con il Suo installer, il Suo hosting, un plugin o manualmente, preferibilmente su un sottodominio con certificato.
• Lo protegga subito: password e/o noindex, nessuna email a persone reali, pagamenti in modalità test.
• Non sincronizzi ciecamente all'indietro: il database dello staging sovrascrive ciò che si è aggiunto in produzione. Faccia prima un backup, sincronizzi solo ciò che è necessario, oppure rieffettui la modifica.
• Elimini lo staging quando ha finito, e non porti con sé la casella noindex in produzione.

Quiz

Esercizio

Esercizio A8.3: Il Suo sito di staging è protetto? Inserisca l'indirizzo del Suo staging (un sottodominio del Suo dominio, ad esempio dall'esercizio D8.2) e del Suo sito reale. Dimostri con il codice dell'esercizio che il dominio è Suo. Il programma controlla sullo staging: risponde tramite https, ed è protetto (una richiesta di password, oppure noindex nell'HTML o nell'intestazione X-Robots-Tag)? Il riferimento REST (wp-json) punta allo staging stesso e non al Suo sito reale? E sul Suo sito reale: non è presente alcun noindex?

Per approfondire

Questi articoli descrivono i passaggi nei pannelli di WebOké; in altri pannelli funzionano in modo simile.

• Guida DirectAdmin 13.7: Clonazione e creazione di un ambiente di test (staging)
• Creare un ambiente di staging WordPress
• Guida DirectAdmin 15.9: Directory protette da password
• Guida DirectAdmin 4.5: Creazione ed eliminazione dei sottodomini
• Guida DirectAdmin 13.8: Eliminare un'installazione