Gli aggiornamenti automatici per le versioni minori di WordPress hanno dimostrato la loro validità per anni. Ma questo funziona anche con gli aggiornamenti dei plugin? E se sì, a quali condizioni? Lo sviluppatore di WordPress Florian Simeth ha indagato su questa domanda.

Chiunque utilizzi WordPress da un po' di tempo sa che gli aggiornamenti automatici del software principale funzionano abbastanza bene e di solito senza problemi. Se non fosse per i plugin. In genere, il pensiero degli aggiornamenti automatici dei plugin fa rizzare i peli sulla nuca alla maggior parte dei manutentori di siti web. Chiunque abbia mai stretto i denti prima di cliccare sul pulsante di aggiornamento sa di cosa sto parlando.

Non c'è alcuna certezza fondamentale che gli aggiornamenti vengano eseguiti correttamente. Nemmeno se l'aggiornamento in sé non fallisce, ma gli errori si annidano da qualche parte - invisibilmente - nel sottosuolo. La maggior parte dei colleghi che ho interpellato non effettua l'aggiornamento automatico dei plugin, almeno non per tutti i plugin di WordPress. Ma perché è proprio così?

Aggiornamenti automatici dei plugin: i rischi

Centinaia di volontari contribuiscono alle nuove versioni di WordPress. Non tutti i progetti di plugin hanno questo potere. La maggior parte dei plugin gratuiti presenti nella directory dei plugin di WordPress sono sviluppati da una sola persona (o forse da un piccolo team). Questo non significa che questi plugin siano cattivi di per sé. Tuttavia, sappiamo per esperienza che di solito sono i plugin ad aprire falle nella sicurezza e quindi a trasformare la propria istanza di WordPress in una superficie di attacco per gli hacker.

Si può quindi ipotizzare che la qualità del codice soffra o non sia sufficientemente testata. Non voglio spiegare ulteriormente il perché di questa situazione. Ma questo spiega perché clicco rapidamente sul pulsante di aggiornamento per plugin noti come YoastSEO e non per altri.

"In pratica, puoi riconoscere i problemi perché qualcosa è già andato storto in passato", ha scritto lo sviluppatore di WordPress Marc Nilius in un'intervista via e-mail. Secondo le sue stesse informazioni, attualmente gestisce circa 200 istanze di WordPress e conosce fin troppo bene i suoi "amici".

Yoast ha sicuramente un grande team dietro al suo plugin gratuito YoastSEO, attivo su oltre cinque milioni di siti WordPress. Per il fiore all'occhiello dell'azienda, fa tutto il possibile per assicurarsi che nulla vada storto. Questo comporta uno sforzo. Uno sforzo che uno sviluppatore da solo potrebbe non essere in grado o disposto a gestire. Quindi cosa si può fare?

Come minimizzare il rischio dei plugin

1. non usare il vecchio plugin

La "democratizzazione dell'editoria" è un principio guida importante per WordPress. Il fatto che chiunque possa creare rapidamente un sito web WordPress è una cosa geniale, ma porta automaticamente queste persone a voler espandere il sito ad un certo punto. E lo fanno con i plugin. Poiché di solito non sono in grado di programmare da soli, cercano un rimedio nell'eterno WorldWideWeb. E ce ne sono molti. 

Attualmente ci sono quasi 55.000 estensioni solo nella directory dei plugin di WordPress. Ciò che funziona è ciò che viene utilizzato. Senza prestare attenzione se il plugin è in fase di sviluppo o se è compatibile con l'attuale versione di WordPress. Questo non è sempre vero e alla fine porta ad acquisire una sana diffidenza nei confronti degli aggiornamenti. Perché spesso questi plugin tendono a smettere di funzionare a un certo punto. Anche se questo può richiedere alcuni anni.

Naturalmente, ci sono anche esempi positivi. Ad esempio, c'è una grande azienda dietro a WooSidebars. Tuttavia, il plugin WooCommerce non ha ricevuto aggiornamenti per molto tempo. Non è stato testato con le ultime versioni di WordPress, ma in molti casi funziona ancora perfettamente. Per quanto tempo ancora? I commenti precedenti nella sezione di supporto indicavano già una fine. Tuttavia, l'utente non ha notato nulla al riguardo. Durante l'installazione, solo un piccolo avviso poco visibile indica questa mancanza. Una cosa pericolosa.

Naturalmente, quando si inizia la carriera di un blog, spesso non si hanno a disposizione soldi per lo sviluppo individuale. Per queste persone, a volte non c'è altra alternativa. Tuttavia, devi tenere presente che, a causa dei rischi per la sicurezza menzionati in precedenza, non devi utilizzare plugin WordPress obsoleti.

2. plugin non si regola da solo

Per risparmiare tempo di sviluppo, i plugin ufficiali e non ufficiali di WordPress vengono spesso adattati dai loro stessi sviluppatori. Se il numero di versione o il nome del plugin non viene modificato, WordPress propone un aggiornamento, anche se questo potrebbe non essere eseguito perché altrimenti sovrascriverebbe le modifiche apportate.

" plugin personalizzato spesso dipende troppo dalle funzionalità di Theme", lo sa anche Marc. Se qualcosa cambia in Theme, il Plugin non funziona più correttamente. Quindi ci sono molti problemi. Ma fare tutto da soli da zero, cioè usare solo i propri sviluppi, non è nemmeno qui una vera alternativa.

3. non usare il cattivo plugin

Che cos'è un plugin "cattivo"? Non è facile rispondere a questa domanda. Soprattutto non per i profani. Naturalmente ci si può chiedere se vengono effettuati test automatizzati delle nuove versioni. Ma chi lo fa? Molti utenti di WordPress non sanno nemmeno che una cosa del genere è possibile. Inoltre, questi test (se vengono effettuati) spesso non hanno nulla a che fare con situazioni reali.

Il che è comprensibile dal punto di vista degli sviluppatori. Chi testa ogni plugin con ogni possibile tema di WordPress? O ogni plugin con ogni altro plugin? Non è possibile. Non puoi fidarti nemmeno di coloro che sviluppano i plugin di WordPress.

Anche in questo caso vale quanto segue: a volte non è possibile utilizzare plugin "cattivi" perché semplicemente non sono sempre riconoscibili. Anche se la valutazione della qualità è già il primo ostacolo per molti utenti, dovresti almeno testare attivamente i nuovi plugin prima di integrarli in una pagina live. Ma di questo parleremo tra un attimo.

Perché gli aggiornamenti automatici dei plugin falliscono

Il fatto è che non puoi semplicemente non usare i plugin di WordPress. I problemi di cui sopra esisteranno sempre. Quindi è necessario trovare un'altra soluzione. Quindi la domanda che devi porti è: "Come puoi, nonostante tutti i problemi, eseguire ancora gli aggiornamenti automatici dei plugin di WordPress?". E questa domanda porta inevitabilmente a quella successiva: "Cosa potrebbe mai andare storto?".

Ecco alcune possibilità:

1. PHP-Fatal-Error: Il sito web non funziona affatto a causa di un grave errore.
2. Il Plugin non funziona (più) con altri plugin e/o il Theme. Questo si manifesta in diversi modi:
   a) le funzioni non sono più disponibili o
   b) il layout cambia nel front end.
3. La compatibilità all'indietro inesistente rende difficile il rollback.
4. Il database è così grande che un backup richiederebbe molto tempo.

Approcci per il successo degli aggiornamenti dei plugin

Riconoscere il cattivo plugin

Iniziamo con gli utenti: all'interno. Come possono riconoscere un plugin "cattivo"? Poiché il profano non può verificare se la qualità del codice è buona, è necessario creare un sistema in grado di farlo. La domanda è: una cosa del genere funzionerebbe? La risposta è molto chiara: sì!

La cosa bella è che un piccolo team di WordPress sta già lavorando a questo sistema. Si chiama Tide. La visione di Tide è quella di effettuare test di qualità automatizzati per tutti i plugin e i temi di WordPress e di rendere visibili i risultati dei test sia per gli autori che per gli utenti di questi plugin e temi.

Non è ancora pronto, ma in futuro Tide aiuterà i non addetti ai lavori a identificare meglio il tipo di plugin WordPress che stanno installando. Fino ad allora, dovrai attenerti ai metadati dei plugin, visualizzati su wordpress.org nella directory dei plugin per ogni singolo plugin:

1. La data dell'ultimo aggiornamento. Aggiornamenti frequenti possono indicare un processo di sviluppo attivo. Nella maggior parte dei casi, gli sviluppatori si occupano anche della correzione dei bug.
2. Numero di installazioni. Un numero molto alto non solo indica popolarità, ma può anche essere un'indicazione del fatto che gli autori stanno guadagnando con il plugin (ad esempio tramite una versione pro). Questo crea una certa pressione da parte del produttore. Sicuramente hanno interesse a garantire che anche il plugin gratuito funzioni senza errori.
3. Testato fino a. Si tratta inoltre solo di un numero di versione che può essere modificato dal produttore in qualsiasi momento senza dover essere provato da terzi. Tuttavia, un numero di versione attuale indica che il plugin viene aggiornato regolarmente.
4. Versione PHP. Anche se è bello che gli sviluppatori continuino a supportare i numeri di versione bassi di PHP, una versione più alta sarebbe più sicura.

Test automatizzati del browser

Ora diventa un po' più difficile. Soprattutto per chi non ha conoscenze di programmazione. Chiunque dipenda da funzioni importanti dovrebbe testarle regolarmente, preferibilmente in modo automatico.

Puppeteer è una libreria NodeJS che fornisce un'API di alto livello per controllare il browser Chrome tramite il protocollo DevTools. Puppeteer viene eseguito in modalità headless per impostazione predefinita, ma può essere configurato per aprire il browser in modo da poter osservare ciò che accade.

Test funzionali

Le applicazioni di questi test sono molteplici. Se hai un negozio online con WooCommerce , puoi verificare se i prodotti possono essere aggiunti al carrello. O se i moduli possono ancora essere inviati.

Naturalmente, non tutti i casi possono essere coperti. Tuttavia, un piccolo test automatico è nella maggior parte dei casi più efficace della semplice ispezione visiva. Dopo tutto, non è sempre possibile testare tutte le funzioni di una pagina dopo ogni piccolo aggiornamento. Soprattutto se è molto esteso.

Test di regressione visivi

Anche una "ispezione visiva" potrebbe essere automatizzata con i mezzi di oggi. Questo funziona in modo relativamente semplice, ad esempio con BackstopJS. La configurazione avviene rapidamente tramite un file JSON. Un test di backstop nella console è sufficiente per avviare il confronto. Infine, lo strumento apre una finestra del browser e visualizza le differenze.

Poiché BackstopJS dà anche un rapporto dettagliato e leggibile dalla macchina con un valore di distinzione in percentuale, si potrebbe, per esempio, essere avvisati via e-mail quando c'è stato un cambiamento significativo nel layout.

Rollback

Diciamo che tutti gli aggiornamenti sono stati fatti e i test automatici sono falliti. Cosa fare? Naturalmente, i backup possono essere importati automaticamente. Ma questo funziona solo in tre casi: 

1. Se l'host dispone di un'interfaccia attraverso la quale è possibile attivare automaticamente un rollback.
2. Oppure se hai accesso a SSH.
3. E se il backup è abbastanza piccolo. Altrimenti, il ripristino richiederà diverse ore nel peggiore dei casi.

Molti sviluppatori sanno fin troppo bene che spesso tutto questo non è possibile. O l'accesso SSH non è disponibile o ci sono dei timeout dovuti alla mancanza di risorse sul server.

Altre soluzioni?

Naturalmente, il mio punto di vista è solo uno dei tanti. Esistono altre soluzioni, perlopiù più costose. Ad esempio, invece di importare un backup a posteriori, è possibile creare una copia del sito in anticipo(concetto di staging come con Raidboxes, oltre ai backup di WordPress) e con essa effettuare tutti gli aggiornamenti e i test possibili. Se tutto va bene nel test, gli aggiornamenti possono essere installati anche sul sito live. Poi, ovviamente, (di solito) in modo del tutto automatico e senza far venire i peli sulla nuca.

Un'altra idea potrebbe essere quella di far creare a WordPress delle pagine statiche. In questo modo la pagina sarebbe un po' più indipendente dal nucleo effettivo. I plugin per questo scopo esistono da otto anni: WPStatic, ad esempio. Ma ancora una volta, questo non funziona per tutti i casi d'uso, sicuramente non per siti altamente dinamici come i negozi online.

La mia conclusione

Come lo fai, lo fai male, giusto? No. In definitiva, dipende dal tuo sito web, dai tuoi desideri e, ovviamente, dal tuo portafoglio. Se non gestisci siti critici e se è normale che un sito web presenti degli errori, puoi utilizzare gli aggiornamenti automatici.

Con il componente aggiuntivo Raidboxes puoi anche Fully Managed per attivare gli aggiornamenti automatici dei plugin e dei temi. Nelle impostazioni di BOX puoi anche escludere dagli aggiornamenti automatici i singoli plugin e temi con cui hai già avuto problemi.

Tuttavia, gli aggiornamenti automatici dei plugin probabilmente avvengono in modo relativamente semplice per la maggior parte dei siti di piccole dimensioni. Chi ha siti più grandi di solito dispone di maggiori mezzi finanziari per adottare misure adeguate. Chiunque si trovi nel mezzo deve trovare la propria soluzione.