Mnoho uživatelů bývá zaskočeno novými updaty WordPress. Koneckonců jen málokdo dodržuje harmonogram zveřejnění aktualizací, jako je tomu v současnosti u WordPress 5.8. Také dostupné aktualizace pluginů a šablon často dokážou znejistit. Jak si zachovat svůj WordPress aktuální a které updatové strategie se osvědčily, to vám dnes prozradí Johannes Mairhofer. 

Bezpečnost WordPress

WordPress je celosvětově nejrozšířenějším systémem pro správu obsahu (CMS). Podle serveru w3techs nyní WordPress používá 41 procent všech webových stránek a tento trend má stoupající tendenci. Je zcela reálné, že do roku 2025 bude polovina všech webových stránek založena na WordPress. Díky tomuto velkému rozšíření se WordPress stává zajímavým i pro potenciální útočníky. Jen velmi vzácně se stane, že vás někdo osobně napadne. Obvykle se tak děje prostřednictvím automatizovaných sítí botů, které po celém internetu hledají známá zranitelná místa a mezery v bezpečnosti a ty pak využívají.

Pro zabezpečení sebe a svého WordPress existuje samozřejmě celá řada nástrojů a tipů, které najdete i zde v časopise. Krom toho je také důležité udržovat celý svůj systém aktuální a provádět pravidelné aktualizace. Nyní vám ukážu, jak na to.

Aktualizace na WordPress Dashboard

Jestli máte nevyřízené aktualizace, můžete zjistit na panelu správce WordPress. Poznáte to přímo po přihlášení podle dvojité šipky, která se v horní části stavového řádku změní v kolečko. Pokud na tuto ikonu kliknete, zobrazí se v přehledu čekající aktualizace a vy je můžete snadno provést - buď všechny najednou, nebo zvlášť.

V mnou preferované updatové strategii rozlišuji mezi aktualizacemi pluginů a šablon a aktualizacemi ze samotného WordPress. Proč to tak doporučuji, vysvětlím následně.

WordPress šablonám

Obecně u šablon platí: méně je více.

Kromě aktivní šablony byste měli mít pro jistotu nainstalovanou ještě jednu aktuální standardní šablonu, která se používá jako "záložní". Takto může systém automaticky přepnout na standartní šablonu, způsobuje-li vaše aktuální šablona potíže.

Na mém příkladu instalace můžete vidět, že jsem si aktivoval a používám šablonu "Neve". K tomu jsem si nainstaloval už jen aktuální standartní šablonu WordPress "Twenty Twenty-One". Pokud dojde k chybám v mé vlastní šabloně "Neve", může WordPress automaticky přepnout na "Twenty Twenty-One". 

Aktualizace u šablon

U WordPress šablon doporučuji provést čekající aktualizace ihned. Riziko, že by aktualizace vedla k vážným škodám, je velmi nízké a v takovém případě může být zmírněno standartní šablonou. Přesto byste si měli před každým updatem udělat zálohu své webové stránky pro případ, že by přeci jen došlo k potížím.

Důležité: Pokud si na šablonách provedete vlastní úpravy a nechcete, aby se při aktualizaci ztratily, měli byste rozhodně použít podřízenou šablonu (tzv. child theme). A to proto, že při aktualizaci WordPress šablon se přepíší všechny šablonové soubory, včetně vašich úprav.

WordPress pluginy

WordPress se v posledních letech enormě rozrostl a obvykle obsahuje téměř vše, co potřebujete. Může se však stát, že budete muset požadovanou funkci rozšířit pluginem. 

Stejně jako u WordPress šablon platí i pro pluginy: Instalujte pouze to, co skutečně potřebujete a co nelze vyřešit jinak. Protože každý plugin otevírá dveře potenciálním útočníkům. Na konci každého pluginu je samozřejmě také kód, což web trochu zpomaluje.

Co mnozí také neberou v potaz: Kromě dvou zmíněných bodů "bezpečnost" a "výkon", které hovoří proti přílišnému počtu pluginů, se přidává už nějakou dobu ještě další argument: Mnoho populárních pluginů, jako je kontaktní formulář, je relevantních z hlediska ochrany údajů a musí být zahrnut do zásad ochrany osobních údajů. Při použití takovýchto pluginů, rozhodně doporučuji intenzivní průzkum, případně i kontaktování právníka. 

Instalace pluginů

Bohužel se pluginy často nainstalují velmi rychle a pak se na ně zapomene. Proto bych zde chtěl více probrat, kdy se vyplatí instalovat pluginy a na co si dát pozor:

Pluginy byste měli instalovat pouze v případě, že ...

• ...se bez funkce neobejdete.
• ... funkci nelze implementovat "in-house" prostřednictvím systému WordPress nebo přes vašeho hostitele.
• ... jste si vědomi důsledků v souvislosti s ochranou údajů.
• ... jste ochotni se starat o pravidelné aktualizace.

Pokud tyto body odpovídají vašim potřebám, můžete si nové pluginy nainstalovat prostřednictvím WordPress Dashboard v části pluginy → přidat.

Po vstupu na tuto stránku se zobrazí přehled všech dostupných pluginů. Pomocí funkce třídění umístěné nahoře můžete najít třeba oblíbené, nové nebo doporučené pluginy z oficiálního adresáře WordPress Plugin. Pokud si nejste jisti, zda je konkrétní plugin bezpečný, můžete se řídit čtyřmi následujícími faktory. Které to jsou, vám ukážu na výše zmíněném příkladu kontaktního formuláře.

Příklad kontaktního formuláře

Zadejte tedy do vyhledávacího pole "Kontaktní formulář". Nyní se dostanete na stránku s výsledky, která našla více než 5000 odpovídajících pluginů. Podívejme se na Contact Form 7 - jeden z nejoblíbenějších WordPress pluginů pro kontaktní formuláře. 

Zda instalovat či neinstalovat plugin vám pomohou rozhodnout čtyři faktory:

1. Hvězdičky jsou hodnocením ostatních uživatelů. Podobně jako v internetových obchodech nebo v App Storu v operačním systému svého chytrého telefonu se můžete podívat, jak plugin hodnotili ostatní.
2. Počet instalací udává, jak často byl již plugin nainstalován. Několik milionů je velmi dobrým znamením pro rozšířené užívání. 
3. Poslední aktualizace ukazuje, kdy byla dostupná poslední aktualizace pro plugin. Čím kratší doba, tím líp, ale cokoli do půl roku bych viděl bez problému, pokud jsou zde všechny ostatní body pozitivní. Tak například mnoho instalací a dobré hodnocení.
4. Zda je plugin kompatibilní s vaší verzí WordPress, zjistíte v posledním bodě. Pokud přesně nevíte, co děláte, důrazně doporučuji: neinstalujte plugin, který zde není kompatibilní, nebo se ptejte u autora pluginu.

Na základě těchto čtyř faktorů můžete zjistit, zda je instalace rozumná a doporučená. Nicméně bych nejen deaktivoval, ale také odstranil všechny nepotřebné pluginy. Pokud máte možnost, je nejlepší nejprve otestovat nové pluginy v prostředí Staging, než je aktivujete "naostro" na svém webu.

Update pluginů

Stejně jako u již zmíněných šablon doporučuji včas spustit dostupné aktualizace pluginů. Pravděpodobnost, že dojde k závažné chybě, je opět velmi nízká. Pokud se tak stane, stačí obvykle jen odstranit plugin ze složky pluginů a váš web opět funguje. Před aktualizací byste si však vždy měli vytvořit zálohu svých webových stránek!

Již nějakou dobu nabízí web WordPress u mnoha pluginů možnost automatické instalace aktualizací. Nebo váš hostitel nabízí spravovaný hosting WordPress a postará se o všechny aktualizace a zálohování za vás.

U pluginů s vysokou distribucí a dobrým hodnocením jsou automatické aktualizace obvykle bezproblémové. U těch pluginů, u nichž si nejste jisti, můžete aktualizace provést ručně. Přestože je to spíše nepravděpodobné, existují případy, kdy během aktualizace pluginu dojde k chybě. Při ruční aktualizaci si toho všimnete okamžitě, u automatických aktualizací možná až později.

Kromě úspory času však automatické aktualizace přinášejí velkou výhodu v tom, že v případě zjištění chyb v zabezpečení budou vaše pluginy vždy spuštěni v nejnovější verzi a slabá místa tak nikdy nezůstanou dlouho odkrytá. Pokud aktualizujete pluginy ručně a vyčkáváte s aktualizací, jsou vaše webové stránky vystaveny riziku útoku déle než při automatických aktualizacích pluginů.

Update jádra WordPress

Tím se dostáváme k tomu nejdůležitějšímu. Zatímco aktualizace šablony a pluginu se vás mohou týkat jen minimálně, protože jste možná nenainstalovali žádnou z nich nebo jen některé, týkají se aktualizace vlastního systému WordPress - takzvané "updaty jádra" - všech uživatelů.

U aktualizací WordPress je důležité rozlišovat mezi malými aktualizacemi (tři číslice, např. WordPress 5.7.1) a velkými aktualizacemi (dvě číslice, např. WordPress 5.8). Drobné aktualizace lze obvykle implementovat bez problémů, protože opravují pouze drobné chyby nebo provádějí malé úpravy stávajících funkcí. Velké aktualizace naopak přinášejí větší úpravy a nové funkce v jádru WordPress.

Možná vás to překvapí, ale zejména u velkých aktualizací WordPress vám doporučuji počkat s aktualizací alespoň 10 dní. Důvodem je, že u velkých aktualizací je větší pravděpodobnost výskytu konfliktů s pluginy a šablonami, které způsobují rozsáhlé chyby. Příkladem takových problémů s kompatibilitou způsobených aktualizací byl přechod na WordPress 5.0, protože tato verze zavedla nový editor Gutenberg, na nějž v té době nebylo mnoho pluginů a šablon připraveno. Mezitím však výrobci pluginů a šablon následovali jejich příkladu a kompatibilita s blokovým editorem je dneska standardem. 

Můj tip: Když se objeví velké aktualizace, sledujte komunitu WordPress nebo požádejte svého hostitele o posouzení. Tímto způsobem se poměrně rychle dozvíte, zda aktualizace WordPress způsobuje chyby. Pouze pokud si po 10 až 14 dnech nepřečtete žádné upozornění na chybné aktualizace WordPress, měli byste systém aktualizovat. Jako vždy i zde platí důležitá rada: Nejprve proveďte zálohu a pak aktualizujte!

Závěr

Navzdory všem opatřením a zmírnění rizik se samozřejmě může stát, že se něco pokazí. Kromě toho je také pochopitelné, pokud se necítíte nebo nemáte čas se o tato témata postarat sami. V tomto případě existují specializované spravované hostitelé WordPress, jako jsou Raidboxeskteré vám pomohou spravovat vaše webové stránky. Rizika mohou být například zmírněna automatickým zálohováním, spravovanými aktualizacemi a ukládáním pluginů. 

Nejpozději od chvíle, kdy se vaše webové stránky stanou víc než hobby a musí stále fungovat, se doporučuje strategie updatu. Prémiový hosting se spravovanými zálohami a aktualizacemi na straně hostitele zmírňuje nebezpečí a umožňuje vám zůstat v klidu. Tak se můžete soustředit na nejdůležitější část svých webových stránek: obsah.