به‌روزرسانی امن وردپرس، افزونه و قالب؛ ترتیب درست و رفع آپدیت نیمه‌کاره

به‌روز نگه داشتن وردپرس مهم‌ترین کار امنیتی سایت است؛ بیشتر نفوذها از افزونه‌ی قدیمی انجام می‌شود، نه از رمز ضعیف. ولی آپدیت بی‌برنامه هم می‌تواند سایت را پایین بیاورد. قاعده ساده است: قبلش بکاپ، بعد به این ترتیب: افزونه‌ها یکی‌یکی، بعد قالب، بعد هسته‌ی وردپرس؛ و بعد از هر قدم یک نگاه به سایت. آپدیت‌های بزرگ را اول روی نسخه‌ی آزمایشی امتحان کنید.

سه نوع آپدیت

قبل از آپدیت

1. بکاپ کامل از فایل‌ها و دیتابیس، و مطمئن شوید قابل برگرداندن است. (بکاپ وردپرس)
2. نسخه‌ی PHP را ببینید. نسخه‌ی تازه‌ی افزونه‌ها گاهی PHP بالاتر می‌خواهد. (نسخه‌ی PHP برای وردپرس)
3. یادداشت تغییرات آپدیت‌های بزرگ را بخوانید؛ مخصوصاً ووکامرس، صفحه‌ساز و قالب.
4. فضای خالی هاست: آپدیت به فضای موقت نیاز دارد و روی هاست پر، نیمه‌کاره می‌ماند.
5. زمان: ساعت کم‌بازدید، و وقتی که خودتان یک ساعت بعدش پای سایت هستید.
6. قالب را مستقیم ویرایش کرده‌اید؟ آپدیت قالب تغییرات شما را پاک می‌کند، مگر از پوسته‌ی فرزند استفاده کرده باشید.

ترتیب درست

1. افزونه‌ها، یکی‌یکی. بعد از هرکدام صفحه‌ی اصلی و یک صفحه‌ی داخلی را ببینید. «انتخاب همه و آپدیت» سریع‌تر است، ولی اگر چیزی خراب شود نمی‌دانید کدام بوده.
2. قالب.
3. هسته‌ی وردپرس.
4. اگر وردپرس خواست، «به‌روزرسانی پایگاه‌داده» را بزنید.
5. ترجمه‌ها.
6. کش سایت را خالی کنید.

برای فروشگاه، بعد از آپدیت یک سفارش آزمایشی تا مرحله‌ی درگاه ثبت کنید.

کدام‌ها را اول روی نسخه‌ی آزمایشی امتحان کنم؟

• نسخه‌ی اصلی ووکامرس و افزونه‌های پرداخت.
• صفحه‌ساز و افزونه‌های وابسته به آن.
• قالب، مخصوصاً قالب‌های پر از امکانات.
• نسخه‌ی اصلی وردپرس، اگر سایت افزونه‌های قدیمی دارد.
• تغییر نسخه‌ی PHP.

(ساخت نسخه‌ی آزمایشی)

آپدیت نیمه‌کاره ماند

آپدیت دستی

وقتی آپدیت خودکار کار نمی‌کند:

• افزونه: فایل zip نسخه‌ی تازه را بگیرید. در File Manager پوشه‌ی فعلی افزونه را تغییر نام دهید (حذف نکنید)، zip را در wp-content/plugins آپلود و Extract کنید. اگر همه‌چیز درست بود، پوشه‌ی قدیمی را حذف کنید.
• هسته: zip وردپرس را باز کنید و فقط پوشه‌های wp-admin و wp-includes و فایل‌های ریشه را جایگزین کنید. به wp-content و wp-config.php دست نزنید.

(کار با File Manager)

برگشت به نسخه‌ی قبل

• یک افزونه: نسخه‌های قبلی افزونه‌های مخزن رسمی در صفحه‌ی همان افزونه (بخش Advanced) قابل دانلود است. نسخه‌ی قبلی را دستی نصب کنید.
• بعد از آپدیت دیتابیس: اگر افزونه ساختار دیتابیس را عوض کرده، برگرداندن فایل‌ها کافی نیست و باید دیتابیس هم از بکاپ برگردد.
• کل سایت: بکاپ قبل از آپدیت را برگردانید.

نسخه‌ی قدیمی را فقط موقت نگه دارید. مشکل را به پشتیبانی افزونه گزارش کنید و با نسخه‌ی بعدی دوباره امتحان کنید.

آپدیت خودکار

افزونه‌هایی که دیگر آپدیت نمی‌شوند

افزونه‌ای که یک سال است آپدیت نشده یا از مخزن رسمی حذف شده، بدهی امنیتی است. جایگزینش کنید. افزونه و قالب غیرفعال را هم حذف کنید؛ کد غیرفعال هنوز روی هاست است و اگر حفره داشته باشد قابل سوءاستفاده است. قالب و افزونه‌ی نال‌شده اصلاً آپدیت نمی‌گیرند. (خطر قالب و افزونه‌ی نال‌شده)

سوال‌های رایج

هر چند وقت آپدیت کنم؟

هفته‌ای یک بار نگاه کنید. آپدیت‌هایی که در توضیحشان «امنیتی» آمده را همان روز انجام دهید.

اگر آپدیت نکنم چه می‌شود؟

حفره‌های شناخته‌شده را ربات‌ها خودکار اسکن می‌کنند. سایت قدیمی دیر یا زود آلوده می‌شود. (چک‌لیست امنیت وردپرس)

آپدیت‌ها از ایران دانلود نمی‌شوند.

اگر اتصال سرور به مخزن وردپرس کند یا قطع است، چند ساعت بعد دوباره امتحان کنید یا دستی آپدیت کنید. برای افزونه‌های پولی، لایسنس معتبر لازم است.