Tenere sotto controllo gli aggiornamenti

Modulo 7: Sicurezza · Tempo di lettura: 8 minuti

Obiettivo della lezione: dopo questa lezione saprà impostare gli aggiornamenti in modo che avvengano rapidamente e in sicurezza, e saprà cosa fare con un plugin che non riceve più aggiornamenti.

Concetti chiave: versione minore, versione maggiore, aggiornamento di sicurezza, aggiornamenti automatici (core, plugin, temi), rollback, aggiornamenti tramite installer, plugin abbandonato, changelog, staging per gli aggiornamenti importanti

Perché aggiornare rapidamente è più importante che aspettare con prudenza

La lezione 7.1 lo ha mostrato: i malintenzionati cercano falle note per le quali esiste già un aggiornamento. Tra la pubblicazione di una correzione e le prime scansioni di massa passano a volte solo poche ore o pochi giorni. Chi "aspetta prima un mese per vedere se l'aggiornamento funziona bene" resta esposto per tutto quel mese.

Allo stesso tempo, un aggiornamento può rompere qualcosa. La soluzione non è aspettare, ma fare in modo che l'aggiornamento sia automatico, rapido e reversibile:

• aggiornamenti minori e aggiornamenti dei plugin automatici;
• un backup appena prima dell'aggiornamento, con un ripristino automatico in caso di problemi;
• testare prima gli aggiornamenti importanti in staging (lezione 8.3), ma entro giorni, non mesi.

Versioni minori e maggiori di WordPress

WordPress numera le versioni come 7.1.4:

• 7.1 è la versione maggiore (major release). Ne escono alcune all'anno, con nuove funzionalità.
• .4 è una versione minore (minor release): correzioni e aggiornamenti di sicurezza, senza grandi cambiamenti.

Dalla versione 3.7, WordPress installa automaticamente le versioni minori e gli aggiornamenti di sicurezza, a meno che non lo abbia disattivato. Le versioni maggiori, di default, le installa Lei stesso, con un pulsante in Bacheca > Aggiornamenti. In wp-config.php può controllare questo comportamento:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // standaard: alleen kleine versies
define( 'WP_AUTO_UPDATE_CORE', true );     // ook grote versies
define( 'WP_AUTO_UPDATE_CORE', false );    // niets automatisch (afgeraden)

Scelga una delle tre righe. L'impostazione predefinita (minor) va bene per la maggior parte dei siti; se il Suo installer o il Suo hosting aggiorna automaticamente anche le versioni maggiori, va bene anche così.

WordPress supporta ufficialmente solo l'ultima versione maggiore. Le correzioni di sicurezza vengono distribuite per un certo periodo anche sulle serie precedenti, ma non può farci affidamento.

Plugin e temi automatici

Dalla versione 5.5 di WordPress, in Plugin può cliccare su Attiva aggiornamenti automatici per ogni plugin, e in Aspetto > Temi per ogni tema. Attivi questa opzione per la maggior parte dei plugin: è lì che si trovano le falle (lezione 7.1).

Dalla versione 6.6 di WordPress, dopo un aggiornamento automatico di un plugin, WordPress verifica che il sito funzioni ancora. Se l'aggiornamento provoca un errore fatale, WordPress ripristina la versione precedente (un rollback) e Lei riceve un'email. Questo scongiura il rischio più grande degli aggiornamenti automatici: un sito bianco di cui si accorge solo dopo una settimana.

Anche gli installer come Installatron (lezione 2.2) possono fare lo stesso: con un backup preventivo e un ripristino in caso di fallimento dell'aggiornamento. Utilizzi uno dei due sistemi in modo consapevole; non sono in conflitto tra loro, ma è bene sapere chi fa cosa.

Eccezioni in cui talvolta conviene disattivare gli aggiornamenti automatici:

• un plugin di cui sa che le versioni maggiori spesso cambiano qualcosa (un page builder, un plugin per negozio online con integrazioni); lo aggiorni dopo averlo testato in staging, ma rapidamente;
• un tema con modifiche apportate direttamente ai file. Meglio: inserisca quelle modifiche in un tema child (lezione 5.2), così il tema padre può aggiornarsi automaticamente senza problemi.

Plugin a pagamento

I plugin a pagamento ricevono aggiornamenti solo finché la Sua licenza è attiva. Una licenza scaduta significa: niente aggiornamenti di sicurezza. Tenga traccia delle Sue licenze (lezione 9.4). E un plugin a pagamento scaricato da un sito di download non riceve alcun aggiornamento (lezione 5.3).

Il plugin abbandonato

Un plugin senza aggiornamenti da molto tempo, o rimosso dalla directory dei plugin di wordpress.org ("Questo plugin è stato chiuso"), non riceverà più correzioni. Cosa fare:

1. Verifichi il motivo. Per un plugin chiuso viene spesso indicato il motivo (per esempio un problema di sicurezza). Se si tratta di un problema di sicurezza, agisca subito.
2. Cerchi un'alternativa mantenuta attivamente (lezione 5.3), oppure verifichi se ha ancora bisogno di quella funzionalità.
3. Sostituisca il plugin in staging, lo testi, e poi rimuova completamente il vecchio plugin.

Lasciare un plugin abbandonato "per sicurezza" è esattamente il rischio che vuole evitare.

Leggere il changelog

Ogni aggiornamento è accompagnato da un changelog: cosa è cambiato. Lo trova in Bacheca > Aggiornamenti o nella pagina del plugin (scheda Sviluppo o Changelog). Presti attenzione soprattutto a parole come "security", "sicurezza" o "fix vulnerability": in quel caso vuole aggiornare il prima possibile. E a "breaking change", "requires PHP 8.x" o "nuova versione di": in quel caso testi prima.

Dopo un aggiornamento

• Dia un'occhiata al Suo sito, comprese le funzioni principali (modulo di contatto, carrello, accesso).
• Legga le email di WordPress o del Suo installer riguardo ad aggiornamenti riusciti, falliti o annullati. Un rollback significa che la vecchia versione (vulnerabile) è di nuovo attiva: risolva il problema, spesso aggiornando anche PHP, il tema o un altro plugin, oppure sostituendo il plugin.
• Verifichi in Salute del sito (Site Health) (lezione 5.4) se ci sono ancora segnalazioni.

Nella pratica: come si presenta in un pannello

Nell'area di amministrazione di WordPress:

1. Bacheca > Aggiornamenti: lo stato di WordPress, dei plugin e dei temi. Qui trova anche se gli aggiornamenti automatici per le versioni maggiori sono attivi.
2. Plugin: nella colonna Aggiornamenti automatici, per ogni plugin, "attiva" o "disattiva". In alto può usare le Azioni di gruppo per attivarne più di uno insieme.
3. Aspetto > Temi: clicchi su un tema per il pulsante degli aggiornamenti automatici.

In Installatron (DirectAdmin) imposta questa opzione per ogni installazione in Modifica > Impostazioni > Auto-Update. In Softaculous (cPanel) e nel WP Toolkit (Plesk) la stessa opzione si trova nelle impostazioni dell'installazione.

Riepilogo

• Le falle note vengono sfruttate rapidamente; l'aggiornamento deve essere rapido, automatico e reversibile.
• WordPress installa automaticamente le versioni minori (dalla 3.7); le versioni maggiori, di default, dopo un clic, oppure automaticamente se Lei lo sceglie.
• Attivi gli aggiornamenti automatici per la maggior parte dei plugin e dei temi; dalla versione 6.6 WordPress annulla gli aggiornamenti dei plugin falliti.
• Una licenza scaduta o un plugin abbandonato significano niente aggiornamenti di sicurezza: lo sostituisca.
• Legga il changelog e le email dopo un aggiornamento; risolva attivamente un rollback.

Quiz

Esercizio

Esercizio A7.2: Il Suo WordPress è aggiornato? Controlli nell'area di amministrazione del Suo sito, in Bacheca > Aggiornamenti, quale versione di WordPress ha e la inserisca, insieme al Suo dominio. Il programma recupera l'ultima versione tramite l'API pubblica delle versioni di wordpress.org e confronta: verde se ha l'ultima versione, arancione se è nella stessa versione maggiore ma manca un aggiornamento minore, rosso se utilizza una versione maggiore precedente. Indichi anche quanti plugin hanno gli aggiornamenti automatici attivi e quanti no, e per quale motivo.

Per saperne di più

Questi articoli descrivono i passaggi nei pannelli di WebOké; in altri pannelli il funzionamento è simile.

• Guida DirectAdmin 13.5: Aggiornamenti e aggiornamenti automatici
• Aggiornare Joomla e WordPress tramite Installatron
• Errore 500 o "errore critico" sul Suo sito web (anche dopo un aggiornamento di WordPress)
• Configurazione degli aggiornamenti automatici (wordpress.org, in inglese): https://wordpress.org/documentation/article/configuring-automatic-background-updates/